Podatności Zulip Server

Zulip Server w wersjach do 12.1 ujawnia gościom zdarzenia nowych wiadomości z publicznych kanałów, do których nie są zapisani. Gość może zarejestrować kolejkę zdarzeń żądającą wiadomości z niezasubskrybowanego kanału publicznego lub istniejąca kolejka może pozostać aktywna po odebraniu dostępu do kanału.

W Zulip Server przed wersją 1.7.1 występuje podatność w systemie zaproszeń, która pozwala autoryzowanemu użytkownikowi z jednego realm na serwerze na utworzenie konta użytkownika w dowolnym innym realm.

Zulip Server do wersji 12.1 zawiera podatność w backendzie GenericOpenIdConnectBackend, która nie odrzuca fałszywego claimu email_verified=false. Jeśli skonfigurowany dostawca tożsamości zwróci adres e-mail, którego uwierzytelniający użytkownik nie kontroluje, Zulip może zalogować użytkownika na istniejące konto dla tego adresu. Wymaga to błędnie skonfigurowanego zaufanego dostawcy tożsamości.

Zulip, narzędzie do współpracy zespołowej, ma podatność na atak typu cross-site scripting (XSS) w podpowiedziach na liście wiadomości. Atakujący może stworzyć złośliwy temat wiadomości, który po najechaniu kursorem przez ofiarę uruchomi kontrolowany przez niego kod JavaScript.