Podatności Flag Forge

Flag Forge w wersjach 2.3.2 i niższych ma podatność ReDoS (Regular Expression Denial of Service) w punkcie API profilu użytkownika (/api/user/[username]). Aplikacja dynamicznie konstruuje wyrażenie regularne z nieucieczonego wejścia użytkownika (parametr username). Atakujący może wykorzystać to, wysyłając specjalnie spreparowaną nazwę użytkownika zawierającą metaznaki regex (np. głęboko zagnieżdżone grupy lub kwantyfikatory), co powoduje nadmierne zużycie CPU przez silnik regex MongoDB. Może to prowadzić do odmowy usługi dla innych użytkowników. Problem naprawiono w wersji 2.3.3. Obejściem jest wdrożenie reguł WAF blokujących żądania z metaznakami regex w ścieżce URL.

Platforma Flag Forge w wersjach od 2.0.0 do przed 2.3.2 miała endpointy `/api/admin/badge-templates` (GET) i `/api/admin/badge-templates/create` (POST) dostępne bez uwierzytelnienia i autoryzacji. Umożliwiało to nieautoryzowanym użytkownikom pobieranie szablonów odznak wraz z metadanymi oraz tworzenie dowolnych szablonów w bazie danych. Luka została naprawiona w wersji 2.3.2.

Flag Forge to platforma Capture The Flag (CTF). Od wersji 2.0.0 do przed 2.3.1, punkt końcowy /api/resources umożliwiał wysyłanie żądań POST i DELETE bez odpowiedniego uwierzytelnienia lub autoryzacji. Mogło to umożliwić nieautoryzowanym użytkownikom tworzenie, modyfikowanie lub usuwanie zasobów na platformie. Problem został naprawiony w wersji FlagForge 2.3.1.

Platforma CTF Flag Forge w wersjach od 2.0.0 do przed 2.3.2 ujawnia adresy e-mail użytkowników w odpowiedzi JSON publicznego punktu końcowego /api/user/[username]. Poprawka dostępna od wersji 2.3.2 usuwa adresy e-mail z publicznych odpowiedzi API. Brak obejść.