Podatności Grist

Grist przed wersją 1.7.15 zawierał dwie podatności na ataki XSS, w których wartość kontrolowana przez atakującego trafiała do atrybutu href linku bez walidacji schematu, umożliwiając wykonanie kodu JavaScript w kontekście ofiary po jednym kliknięciu. Na stronie wyboru konta parametr next był używany jako cel linku, a w dokumentacji tabeli GristDocTour kolumna Link_URL stawała się klikalnym przyciskiem, pozwalając edytorowi udostępnionego dokumentu na przechowywanie złośliwego adresu URL.

W Grist przed wersją 1.7.15 punkt końcowy GET /forms odczytywał metadane tabel i kolumn bez stosowania reguł dostępu do dokumentu i nie sprawdzał, czy żądana sekcja jest faktycznie formularzem. Użytkownik z częściowym dostępem do odczytu, w tym dostępem publicznym w publicznie widocznym dokumencie, mógł zażądać metadanych dowolnego widżetu i ujawnić strukturę tabel i kolumn, które reguły dostępu w przeciwnym razie ukrywałyby, nawet w dokumentach niezawierających formularzy.

Grist to arkusz kalkulacyjny wykorzystujący Python jako język formuł. Przed wersją 1.7.15 kilka stron renderowanych po stronie serwera osadzało wartości kontrolowane przez użytkownika bez pełnego ich escapowania, co umożliwiało ataki XSS. Na głównej stronie aplikacji nazwa lub opis dokumentu ustawione przez edytora są renderowane na stronie ładowanej przez innych użytkowników. Na stronie końcowej przepływu OAuth2 parametr openerOrigin jest odbijany z powrotem do strony.