Podatności Tugtainer

W Tugtainer przed wersją 1.30.6 uwierzytelniony użytkownik może spowodować, że serwer backend wyśle zewnętrzne żądania HTTP na dowolne adresy URL podane przez użytkownika za pośrednictwem punktu końcowego testowania powiadomień. Punkt /settings/test_notification przyjmuje pole urls i przekazuje je bezpośrednio do Apprise bez ograniczeń protokołów, nazw hostów, adresów localhost, prywatnych zakresów IP ani adresów metadanych chmury. Może to być wykorzystane jako uwierzytelnione ślepe SSRF.

W Tugtainer przed wersją 1.30.3 uwierzytelnianie OIDC może być inicjowane nawet gdy OIDC_ENABLED=false. Punkt końcowy /auth/oidc/enabled poprawnie informuje, że OIDC jest wyłączone, ale bezpośrednie żądanie do /auth/oidc/login nadal uruchamia proces logowania OIDC, zwraca HTTP 302, ustawia ciasteczko oidc_state i przekierowuje użytkownika do skonfigurowanego punktu autoryzacji OIDC. To omija wyłącznik OIDC.

Tugtainer przed wersją 1.30.2 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w funkcji szablonów powiadomień. Pola `title_template` i `body_template` są renderowane przy użyciu niezabezpieczonego środowiska `jinja2.Environment`, co pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych poleceń systemu operacyjnego jako root w kontenerze.