Yzeirnials

Um problema de Referência Direta a Objeto Insegura (IDOR) existe no endpoint `/api/v1/responses`. Isso ocorre porque a função `get flow by id or endpoint name()` não verifica se o usuário autenticado é o proprietário do fluxo quando este é acessado via UUID. Um invasor autenticado pode executar qualquer fluxo pertencente a outro usuário ao especificar o ID do fluxo da vítima no parâmetro `model`. Isso pode levar à execução de fluxos de trabalho não autorizados, consumo de recursos de outros usuários e acesso a dados sensíveis processados por esses fluxos.

O roteador `/api/v1/monitor` expõe sete endpoints que permitem operações de leitura, gravação e exclusão em recursos de propriedade do usuário, incluindo mensagens, sessões, artefatos de build e logs de transações de LLM. O sistema não verifica se o solicitante autenticado é o proprietário do recurso solicitado, resultando em uma Referência Direta Insegura a Objeto (IDOR), também conhecida como Broken Object Level Authorization (BOLA). Um usuário autenticado pode ler, modificar, renomear ou excluir permanentemente os dados de outro usuário ao fornecer o ID do recurso ou o `flow id` do alvo. Detalhes técnicos incluem os seguintes endpoints vulneráveis: - 'GET /api/v1/monitor/builds' e 'DELETE /api/v1/monitor/builds' utilizando a variável `flow id`. - 'DELETE /api/v1/monitor/messages' utilizando a variável `message ids`. - 'PUT /api/v1/monitor/messages/{message id}' utilizando a variável `message id`. - 'PATCH /api/v1/monitor/messages/session/{old session id}' utilizando a variável `old session id`. - 'DELETE /api/v1/monitor/messages/session/{session id}' utilizando a variável `session id`. - 'GET /api/v1/monitor/transactions' utilizando a variável `flow id`.