Yu Sun

Um problema de path traversal ocorre durante a extração de arquivos, permitindo que atacantes gravem arquivos arbitrários fora do diretório de extração pretendido. Isso acontece quando os usuários baixam e extraem arquivos com o recurso AutoExtract ativado. Atacantes podem realizar isso criando arquivos maliciosos que contenham sequências de traversal de diretório que ignoram a validação.

Atacantes autenticados podem ler arquivos arbitrários explorando a falta de validação de caminho. Ao fornecer caminhos de arquivos absolutos no parâmetro `file path`, usuários com tokens de acesso válidos podem acessar qualquer arquivo que o serviço tenha permissão para ler. Este problema afeta os endpoints 'dev insert chunks from file' e 'dev insert metadata from file'. A divulgação é limitada a arquivos que correspondam às estruturas JSON esperadas, que são posteriormente gravados em conjuntos de dados.

Um problema de path traversal existe na função `can show()` do LocalFileHandler. O sistema utiliza a comparação de prefixo de string em vez de uma validação de caminho adequada, permitindo que atacantes leiam arquivos de diretórios irmãos fora da raiz configurada. Isso ocorre ao solicitar caminhos que compartilham a raiz como um prefixo textual, o que pode levar à divulgação de notebooks e credenciais não pretendidos.

O software renderiza markdown com HTML bruto habilitado em vinculações `v-html` sem a sanitização adequada, resultando em cross-site scripting armazenado. Isso permite que atacantes injetem HTML e JavaScript maliciosos por meio de conteúdo markdown em respostas de chat, descrições de habilidades ou mensagens de conhecimento, que são executados nos navegadores dos usuários ao serem visualizados.

Um problema de injeção de entidade externa XML existe nos analisadores SVG, FreeMind e OpenSearch porque eles não desativam a resolução de entidades externas. Isso permite que invasores publiquem documentos maliciosos contendo declarações DOCTYPE com entidades SYSTEM apontando para arquivos locais, permitindo que o crawler exfiltre o conteúdo desses arquivos para o índice de pesquisa.

Existe uma falha de bypass de autenticação no processo de verificação de token do Apple sign-in. A função `decodeAppleToken()` extrai o campo `alg` do cabeçalho JWT fornecido pelo usuário e o passa como o único algoritmo permitido para `jwt.verify()`. Ao utilizar o jsonwebtoken v8, que não valida a compatibilidade entre chave e algoritmo, um invasor pode definir `alg` como HS256 e assinar um token forjado usando a chave pública RSA da Apple como o segredo HMAC. Isso permite que o invasor ignore a verificação de assinatura e personifique qualquer conta vinculada à Apple.

O baixador de modelos desabilita a verificação de certificado TLS ao utilizar `ssl. create unverified context()` dentro da função `download with retry()` em `anylabeling/services/auto labeling/model.py`. Isso permite que um invasor intercepte conexões HTTPS e forneça conteúdo malicioso. A função `safe check model()` valida apenas o formato do arquivo e não verifica a procedência do arquivo por meio de hashes ou assinaturas. Para alvos ONNX, um invasor pode controlar o modelo usado para inferência. Para alvos `.pth` ou `.pt` utilizados pelas configurações SAM2 video, YOLOE, UPN e open vision, a aplicação chama `torch.load()` sem o parâmetro `weights only`, o que pode levar à execução de código arbitrário durante o processo de unpickling em versões anteriores do PyTorch.

Um problema de cross-site scripting armazenado existe, permitindo que atacantes remotos executem JavaScript arbitrário nos navegadores de outros usuários. Isso ocorre quando mensagens manipuladas contendo HTML não sanitizado são enviadas para um grupo compartilhado do Telegram. Especificamente, a função `highlightKeyword()` em `MessageList.vue` passa o conteúdo bruto da mensagem diretamente para `v-html` sem a devida filtragem ou sanitização de HTML. Isso permite a execução zero-click de payloads injetados, como manipuladores `onerror` de imagem, quando as vítimas navegam ou pesquisam mensagens.

Um problema de execução remota de código existe onde JavaScript arbitrário pode ser executado ao retornar código malicioso de um endpoint de LLM. Isso ocorre porque a resposta é passada sem sanitização para a função `window.eval()` em `views.ts`. A exploração pode ser alcançada por meio de injeção de prompt em PDFs, interceptação Man-in-the-Middle (MITM) de requisições de API ou o uso de um endpoint de LLM personalizado malicioso. A exploração bem-sucedida permite a execução de código arbitrário no contexto privilegiado do chrome do Zotero, concedendo ao invasor capacidades de leitura e gravação de arquivos, execução de processos e acesso a todos os dados do Zotero.

Existe uma injeção de ORM que permite que atacantes autenticados, incluindo aqueles com tokens de API de apenas leitura, injetem expressões de pesquisa arbitrárias do Django ORM em referências de objetos aninhados. Isso é feito fornecendo chaves de dicionário JSON manipuladas em requisições POST, PUT ou PATCH para qualquer endpoint de API REST. Ao explorar o queryset irrestrito usado pelo `WritableNestedSerializer`, atacantes podem realizar a extração de dados cega baseada em booleanos de valores de campos sensíveis e ignorar permissões de nível de objeto em vários módulos da aplicação, incluindo dcim, ipam, tenancy, virtualization, circuits e extras. Injeção de ORM é uma técnica onde um atacante manipula as consultas ao banco de dados geradas por um Mapeador Objeto-Relacional (ORM) para acessar ou modificar dados não autorizados.

O FlyEnv falha ao sanitizar conteúdo HTML proveniente da renderização de markdown e de mensagens de chat de IA quando passados para as diretivas `v-html` do Vue. Isso permite que atacantes injetem scripts maliciosos que são executados no processo de renderização do Electron, concedendo acesso não autorizado às APIs do Node.js e ao sistema de arquivos local.

Um problema de traversal de caminho existe na função `is within directory()`, que falha ao normalizar caminhos antes da validação. Isso permite que sequências `../` ignorem as verificações de contenção de diretório. Um invasor pode usar arquivos tar maliciosos contendo membros de link simbólico ou sequências de traversal para gravar arquivos em locais arbitrários do sistema de arquivos acessíveis ao processo.

O componente de painel SQText renderiza a saída do TinyMCE usando `v-html` sem a sanitização adequada. Isso permite que invasores com permissões para modificar o conteúdo do widget de texto do painel injetem HTML e JavaScript arbitrários, que são executados no navegador de qualquer usuário que visualize o painel.

A ausência de autenticação permite que atacantes remotos leiam arquivos arbitrários nos diretórios temp e static/music. Isso é feito através do acesso aos endpoints 'GET /api/tmp/:tmpFile' e 'GET /api/music/:fileName', permitindo a recuperação de áudios intermediários, artefatos de vídeo e legendas de outros usuários. Além disso, atacantes podem excluir vídeos por ID usando o endpoint 'DELETE /api/short-video/:videoId'. As variáveis vulneráveis incluem `tmpFile`, `fileName` e `videoId`.

Um problema de traversal de caminho existe na função `download polyhaven asset()`. Esta falha permite que atacantes escrevam arquivos arbitrários injetando sequências de traversal em chaves de inclusão de resposta de API. Utilizando ataques de Man-in-the-Middle (MITM) ou injeção de prompt, um atacante pode fornecer caminhos maliciosos, como `../../.bashrc`, para sobrescrever arquivos sensíveis e alcançar a execução persistente de código.

Um problema de seguimento de links simbólicos existe na função `Extractor.extract()`. Atacantes locais podem gravar arquivos arbitrários ao pré-plantar links simbólicos (atalhos que apontam para outro arquivo ou diretório) em caminhos de saída previsíveis. Em ambientes de cache compartilhado, isso permite o redirecionamento da extração de arquivos para locais arbitrários do sistema de arquivos, o que pode levar à sobrescrita de arquivos sensíveis, escalonamento de privilégios ou execução de código.

Um ataque de symlink existe na função `download and copy()` dentro de hopper/setup.py. O problema ocorre porque os arquivos do toolchain da NVIDIA são extraídos sem a validação de links simbólicos (symlinks) ou a filtragem de membros do tar. Um invasor local pode plantar um symlink no diretório de cache previsível para redirecionar os binários extraídos para um local escolhido pelo invasor, permitindo a gravação arbitrária de arquivos com os privilégios da vítima durante o tempo de compilação.

Um problema de injeção de SQL existe no backend do armazenamento de vetores MyScale. Isso ocorre quando parâmetros de pesquisa não sanitizados são passados para a função `search by full text()` sem a devida filtragem ou parametrização. Essa falha permite que invasores executem comandos SQL arbitrários para ler, modificar ou excluir dados no banco de dados ClickHouse subjacente.

Um controle de acesso inadequado permite que atacantes não autenticados sobrescrevam a configuração global do provedor de LLM. Ao registrar uma conta e chamar o endpoint '/api/v1/settings', que não realiza verificações de administrador ou superusuário, um atacante pode explorar o cache de configuração singleton de todo o processo. Isso permite o redirecionamento de todas as operações de LLM da instância para um endpoint controlado pelo atacante, possibilitando a exfiltração de prompts, documentos carregados, entidades extraídas e conteúdo do grafo de conhecimento de todos os usuários.

O componente de servidor auto-hospedado contém uma falha de autorização ausente. O endpoint 'POST /configure' permite a modificação das configurações globais do provedor de LLM e do embedder. Embora o sistema verifique a autenticação via JWT ou `X-API-Key`, ele não valida a função (role) do chamador. Consequentemente, qualquer usuário autenticado com uma chave de API distribuída pode redirecionar todo o tráfego de LLM e embedder para um servidor controlado por um invasor. Esta configuração maliciosa é persistida no PostgreSQL e permanece ativa após reinicializações do servidor, afetando todos os usuários e chaves de API na instância.