Podatności Scripta eScriptorium

Podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze URI importu METS i IIIF w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na zmuszenie serwera do wysyłania dowolnych żądań HTTP do wewnętrznych hostów, w tym do usługi metadanych instancji chmury, za pomocą parametru mets_uri lub iiif_uri w POST /api/documents/{pk}/imports/, ponieważ ustawienie IMPORT_ALLOWED_DOMAINS domyślnie ma wartość '*' i nie stosuje się filtrowania adresów, ograniczenia przekierowań ani limitu czasu.

Brak autoryzacji w widokach tworzenia i usuwania OcrModelRight w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na przyznanie sobie dostępu do prywatnego modelu OCR innego użytkownika oraz na odebranie dostępu do modelu OCR dowolnemu użytkownikowi za pomocą żądania POST, ponieważ sprawdzenie własności jest umieszczone w get_context_data() i dlatego wykonuje się tylko na ścieżce renderowania GET.

Obejście autoryzacji w punktach końcowych API Line, LineTranscription, VirtualCollection, tag i process w Scripta/eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na odczyt, modyfikację i usuwanie treści transkrypcji innych użytkowników za pomocą kluczy podstawowych dostarczonych w treści żądania, które są odpytywane względem globalnego menedżera modeli zamiast zapytania o zakresie żądania.