Podatności Oqtane Framework

Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu server-side request forgery w endpoincie UploadFile w FileController.cs, która pozwala uwierzytelnionym zarejestrowanym użytkownikom na wymuszenie na serwerze pobierania dowolnych adresów URL poprzez podanie kontrolowanego przez wywołującego parametru url do HttpClient.GetStreamAsync bez walidacji schematu, hosta lub adresu IP. Atakujący mogą żądać zasobów wewnętrznych, takich jak usługi metadanych instancji w chmurze lub interfejsy zarządzania powiązane z localhost, zapisać pobraną odpowiedź jako plik w swoim folderze użytkownika i pobrać ją przez endpoint pobierania, aby eksfiltrować wrażliwe dane wewnętrzne lub wyliczyć hosty i porty w sieci wewnętrznej.

Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu broken access control w SettingController.cs, która pozwala uwierzytelnionemu administratorowi witryny na odczyt i modyfikację ustawień należących do innych witryn w tej samej bazie danych dzierżawcy poprzez podanie dowolnego entityId dla ustawień typu Site lub Role, ponieważ IsAuthorized i FilterPrivate nie weryfikują, czy żądana witryna odpowiada bieżącemu aliasowi SiteId. Atakujący mogą wykorzystać endpointy /api/setting do ujawnienia prywatnych wartości, takich jak SMTPPassword, SMTPClientSecret i ExternalLogin ClientSecret, oraz do zmiany konfiguracji uwierzytelniania OIDC/OAuth2 innej witryny bez wymagania uprawnień hosta.

Oqtane Framework do wersji 10.2.6 zawiera lukę obejścia autoryzacji w SettingController, która pozwala administratorowi jednej witryny odczytać prywatne ustawienia innej witryny współdzielącej ten sam serwer. Atakujący z rolą Administrator może podać entityId innej witryny, aby uzyskać wartości SMTPPassword i SMTPClientSecret.