CVE-2025-66028

OneUptime to platforma monitorująca open-source. W wersjach przed 10.0.42 serwis Worker udostępnia endpointy do uruchamiania workflowów bez uwierzytelnienia. Atakujący znający identyfikator workflow może uruchomić dowolny workflow z kontrolowanymi danymi wejściowymi, co umożliwia wykonanie kodu JavaScript, nadużycie powiadomień i manipulację danymi.

OneUptime przed wersją 10.0.42 umożliwia nieuwierzytelniony dostęp do punktów końcowych testowania powiadomień i zarządzania numerami telefonów, co pozwala na nadużywanie SMS-ów, połączeń, e-maili i WhatsApp oraz zakup numerów telefonów.

OneUptime w wersji od 14.0.2 do 14.0.69 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym członkom projektu na działania na klastrach poza ich zakresem poprzez wykorzystanie sprawdzeń uprawnień na poziomie całego projektu. Atakujący może wywołać funkcje testu dostępu AI, resetu agenta, zatwierdzania planu kubectl i rozmowy AI o incydentach, aby poznać uprawnienia RBAC agenta, rozłączyć agentów, zatwierdzić zmiany kubectl lub uruchomić polecenia na nieautoryzowanych zasobach.

Kontrola celu webhooka w OneUptime odrzuca adresy prywatne i pętli zwrotnej podane w formie IPv4 oraz mały zestaw form IPv6, ale nie obsługuje zakresu IPv4-mapped IPv6. Ścieżka dostarczania webhooka wywołuje SSRFProtection.validateWebhookTargetIsSafe, a sprawdzanie literałów hosta w Common/Server/Utils/SSRFProtection.ts, wykonywane przez isBlockedHostnameLiteral, odrzuca prywatne i pętli zwrotnej zakresy IPv4 i testuje wartość IPv6 przeciwko adresowi nieokreślonemu, pętli zwrotnej, prefiksowi link-local i prefiksom unique-local. Wartość taka jak [::ffff:127.0.0.1] nie pasuje do żadnego z nich. Wartość jest również rozpoznawana jako literał adresu, a nie nazwa, więc ścieżka ponownie sprawdzająca adresy uzyskane z rozwiązywania nazw nie jest wykonywana. Klient HTTP traktuje formę zmapowaną jako osadzony adres IPv4 i łączy się z nim, więc uwierzytelniony członek projektu, który może skonfigurować webhook, może skierować serwer do usług pętli zwrotnej, prywatnych zakresów sieciowych i punktów końcowych metadanych link-local, a odpowiedź jest rejestrowana tam, gdzie można odczytać wynik webhooka. Wersja 12.0.7 dodaje obsługę zmapowanego zakresu.

W OneUptime przed wersją 10.0.42 implementacja SAML SSO oddziela weryfikację podpisu od ekstrakcji tożsamości. Atakujący może dodać niepodpisaną asercję z dowolną tożsamością przed prawidłowo podpisaną, co prowadzi do ominięcia uwierzytelniania.

OneUptime przed wersją 10.0.42 rejestruje wiele endpointów API powiadomień bez middleware uwierzytelniającego, podczas gdy podobne endpointy w tym samym kodzie go używają. W połączeniu z wyciekiem projectId z publicznego API Status Page, nieuwierzytelniony atakujący może kupić numery telefonów na koncie Twilio ofiary i usunąć istniejące numery alarmowe.

OneUptime przed wersją 10.0.24 rejestruje pełny adres URL resetowania hasła, zawierający token resetowania w postaci jawnej, na poziomie logowania INFO, który jest domyślnie włączony w środowisku produkcyjnym. Każdy z dostępem do logów aplikacji może przechwycić tokeny resetowania i przejąć konto dowolnego użytkownika.

OneUptime to rozwiązanie do monitorowania i zarządzania usługami online. Endpoint resend-verification-code pozwala każdemu uwierzytelnionemu użytkownikowi wywołać ponowne wysłanie kodu weryfikacyjnego dla dowolnego rekordu UserWhatsApp po identyfikatorze, ponieważ własność nie jest weryfikowana (w przeciwieństwie do endpointu verify). Problem dotyczy endpointu UserWhatsAppAPI.ts oraz serwisu UserWhatsAppService.ts.

W OneUptime w wersji 9.0.5598 użytkownik o niskich uprawnieniach może tworzyć nowe konta poprzez bezpośrednie żądanie API zamiast być ograniczonym do zamierzonego interfejsu. Problem został naprawiony w wersji 9.1.0.