CVE-2014-125135

OctoPrint w wersjach do 1.11.2 włącznie zawiera podatność, która pozwala uwierzytelnionemu atakującemu przesłać plik o specjalnie spreparowanej nazwie, umożliwiając wykonanie dowolnego polecenia, jeśli nazwa pliku zostanie użyta w poleceniu zdefiniowanym w systemowym obsługiwaczu zdarzeń i zdarzenie zostanie wywołane. Podatność nie ma wpływu, jeśli nie skonfigurowano obsługiwaczy zdarzeń wykonujących polecenia systemowe z nazwami przesłanych plików.

OctoPrint w wersji 1.0.0 ma lukę w funkcji getSettings w pliku src/octoprint/server/ajax/settings.py, w komponencie obsługi kluczy API. Manipulacja pozwala na ujawnienie informacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a luka została naprawiona w wersji 1.1.0-rc1.

OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.

OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.