Podatności LinkAce

LinkAce przed wersją 2.5.7 nie waliduje formatu URL w endpointcie Bulk Link API, co pozwala uwierzytelnionemu użytkownikowi zapisać URI `javascript:`. Zapisany URI jest później renderowany jako `href` w szablonach Blade, a kliknięcie go wykonuje dowolny kod JavaScript w przeglądarce ofiary, umożliwiając kradzież ciasteczek i tokenów sesji. Wersja 2.5.7 naprawia ten problem.

Podatność w LinkAce przed wersją 2.5.6 pozwala atakującemu na wstrzyknięcie złośliwych zmiennych konfiguracyjnych poczty podczas konfiguracji bazy danych, co prowadzi do zdalnego wykonania kodu przy wysyłaniu wiadomości e-mail.

LinkAce przed wersją 2.5.6 zawiera podatność na trwały atak XSS, która pozwala użytkownikowi z niskimi uprawnieniami na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora. Atakujący może ustawić swoją nazwę wyświetlaną OAuth na złośliwy skrypt, a następnie utworzyć token API, co spowoduje umieszczenie trwałego ładunku XSS w dzienniku audytu. Gdy administrator przejdzie do /system/audit, ładunek wykonuje się w kontekście przeglądarki administratora.

LinkAce przed wersją 2.5.6 zawiera podatność Insecure Direct Object Reference (IDOR) w warstwie polityki autoryzacji. Umożliwia ona każdemu uwierzytelnionemu użytkownikowi modyfikację zasobów (linków, list, tagów, notatek) należących do innych użytkowników, zarówno przez interfejs webowy, jak i API REST. Problem wynika z błędnego sprawdzania dostępu w metodach update(), które zezwalają na edycję zasobów o widoczności publicznej lub wewnętrznej, ignorując własność.