Podatności Novu

Novu przed wersją 3.18.0 przypadki użycia mutacji integracji, w tym remove-integration, update-integration, auto-configure-integration i set-integration-as-primary, wyszukują integrację po integrationId i organizationId bez konsekwentnego wymuszania environmentId. Wywołujący z dostępem do jednego środowiska w organizacji może wskazać identyfikator integracji z innego środowiska i usunąć integrację, zmodyfikować jej poświadczenia, zmienić głównego dostawcę lub wyzwolić automatyczną konfigurację. Biuletyn bezpieczeństwa definiuje zarówno klucze API środowiska, jak i sesje pulpitu jako dotknięte. Zmiana w 3.18.0 wymusza granicę środowiska tylko dla uwierzytelniania kluczem API o zasięgu środowiska, podczas gdy testy celowo zachowują zachowanie sesji pulpitu między środowiskami, więc nie usuwa całkowicie zakresu zdefiniowanego w biuletynie. Wersja 3.18.0 jest częściową próbą naprawy, a zachowanie sesji pulpitu wymaga rozstrzygnięcia przez kuratora.

Novu przed wersją 3.18.0 nie waliduje adresów URL webhooków czatu pochodzących z różnych źródeł, przekazując je do surowych żądań HTTP. Uwierzytelniony użytkownik może wysyłać żądania POST do wewnętrznych usług sieciowych, co może prowadzić do nieautoryzowanych akcji.

Novu przed wersją 3.18.0 akceptuje adresy URL przekierowań z powiadomień bez walidacji schematu, umożliwiając użycie schematu javascript: w atrybucie redirect. Gdy odbiorca kliknie powiadomienie, kod JavaScript może wykonać się w kontekście aplikacji, potencjalnie ujawniając dane sesji.