Ya3Raj

Um problema de falta de autenticação existe na rota de informações meta agregadas de `utils.controller.ts`. Isso permite que atacantes não autenticados acessem metadados de toda a instância ao solicitar o endpoint. As informações expostas incluem a enumeração de bases, contagem de usuários, contagem de visualizações compartilhadas e protegidas por senha, contagem de webhooks e contagem de linhas ao vivo por base. Além disso, solicitações repetidas a este endpoint podem aumentar a carga de consultas ao banco de dados.

Os comandos RPC `get-comment-threads`, `get-comment-thread` e `get-comments` utilizam a função `check-comment-permissions!`, mas não aplicam as restrições de links de compartilhamento de páginas. Isso permite que um detentor de um link de compartilhamento com escopo de página recupere threads de comentários e corpos completos de comentários de outras páginas no mesmo arquivo, incluindo nomes de comentaristas, endereços de e-mail, fotos e identificadores de página. Os identificadores de página expostos também podem ser usados com a funcionalidade de leitura de páginas para acessar conteúdo de design não compartilhado.

Existe um problema no RPC `delete-team-member` onde um administrador de equipe pode remover qualquer membro, exceto a si mesmo, mas o sistema não protege o proprietário da equipe. Isso permite que um administrador que não seja o proprietário exclua a associação `team-profile-rel` do proprietário, bloqueando efetivamente o acesso do proprietário à equipe e a todos os projetos, arquivos, fontes e mídias associados.

A falta de escape HTML do campo `employee num` no gerador de PDF de aceitação permite que usuários com permissões de `users.edit` injetem tags `img` na função `writeHTML()` do TCPDF. Isso pode ser explorado para disparar requisições do lado do servidor para serviços internos, endpoints de metadados de nuvem ou alvos externos quando uma vítima assina a aceitação de um ativo. Este problema leva ao Server-Side Request Forgery (SSRF), uma condição em que o servidor é coagido a fazer requisições para um local não pretendido.

Um problema de cross-site scripting armazenado existe na função `formattedNameLink()` dentro de `DepartmentPresenter`. Isso ocorre porque os nomes dos departamentos são renderizados sem a devida filtragem no ramo de fallback para usuários sem a permissão `departments.view`. Um invasor com a permissão `departments.edit` pode injetar scripts maliciosos nos nomes dos departamentos, que são executados nos navegadores de todos os membros do departamento ao carregarem a página My Assets.