Podatności Huly Platform

Huly Platform do wersji 0.7.426 zawiera podatność server-side request forgery w usłudze drukowania z powodu braku walidacji listy dozwolonych nazw hostów. Uwierzytelnieni członkowie przestrzeni roboczej mogą podać dowolne adresy URL do punktu końcowego drukowania, które Puppeteer renderuje i zwraca jako pliki PDF lub obrazy do pobrania, umożliwiając dostęp do wewnętrznych usług metadanych i hostów sieciowych.

Platforma Huly do wersji 0.7.423 zawiera uwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /import front pod. Umożliwia ona użytkownikom obszaru roboczego wykonywanie dowolnych żądań serwerowych poprzez dostarczenie złośliwych adresów URL.

Podatność w hcengineering Huly Platform do wersji 0.7.0. Funkcja getAccountInfo w pliku server/account/src/operations.ts (komponent User Information Handler) ma nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W hcengineering Huly Platform do wersji 0.7.0 w funkcji getMailboxSecret pliku server/account/src/operations.ts (komponent RPC Interface) stwierdzono nieprawidłową kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Platforma Huly (hcengineering) w wersji 0.7.382 zawiera podatność na SSRF w punkcie końcowym Import w pliku server/front/src/index.ts. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.