Versões do Saltcorn de 1.0.0 a 1.0.0-beta.13

Um usuário com permissão de administrador pode ler e baixar arquivos zip arbitrários ao baixar backups automáticos. O nome do arquivo usado para identificar o arquivo zip não é devidamente sanitizado quando passado para a API res.download. Esse problema pode levar à divulgação de informações por meio do download de arquivos zip arbitrários.

Para as versões do Saltcorn 1.0.0 a 1.0.0-beta.13, resolva o parâmetro filename antes de verificar se ele começa com backup file prefix para impedir downloads arbitrários de arquivos. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API /admin/auto-backup-download/:filename para minimizar o risco de exploração.