Podatności Baserow

Baserow przed wersją 2.3.0 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać wartości pól z innych przestrzeni roboczych poprzez endpoint API unique_row_values. Atakujący mogą enumerować sekwencyjne identyfikatory pól, aby pobrać do 100 różnych wartości komórek na pole z tabel w przestrzeniach roboczych, do których nie należą.

Baserow w wersjach 2.2.0 do 2.3.3 zawiera podatność SQL injection w funkcji formuły index(). Uwierzytelniony użytkownik z niskimi uprawnieniami, mogący tworzyć lub modyfikować pola formuł, może podać nieudokumentowany czwarty argument traktowany jako szablon SQL i wstawiany bezpośrednio do wyrażenia PostgreSQL. Zapytanie wykonuje się z uprawnieniami roli PostgreSQL Baserow, umożliwiając odczyt lub modyfikację danych poza uprawnieniami obszaru roboczego użytkownika.

Baserow wysyła źródło danych Application Builder bez sprawdzania wyniku kontroli uprawnień. Widoki dispatch i record-name są zadeklarowane z klasą uprawnień, która dopuszcza każdego wywołującego, a kontrola uprawnień nie powoduje przerwania wykonania. Nieuwierzytelnione żądanie może otrzymać wiersze i pola ze źródła danych, a identyfikatory są małymi liczbami całkowitymi, które można enumerować. Wersja 2.3.1 przekazuje raise_exception do tego samego wywołania.

Baserow interpoluje nazwę wyświetlaną użytkownika do znaczników wzmianek w formacie bogatym bez kodowania HTML. PATCH /api/user/account/ przechowuje wartość first_name dosłownie, a renderer wzmianek w web-frontend/modules/core/editor/mention.js buduje swój element za pomocą literału szablonu, który umieszcza nazwę w atrybucie data-label i treści elementu bez escapowania. Nazwa zawierająca cudzysłów zamyka ten atrybut i otwierający tag, więc dalszy znacznik trafia do treści elementu. Wynik jest renderowany przez v-html przez komponenty pól bogatych, więc każda komórka bogata wspominająca konto wykonuje zapisany skrypt dla każdego członka przestrzeni roboczej, który widzi tabelę, bez kliknięcia. Każdy członek przestrzeni roboczej, na najniższym poziomie uprawnień, może ustawić nazwę i dotrzeć do każdego innego członka przestrzeni roboczej, a ładunek pozostaje, dopóki nazwa nie zostanie zmieniona lub wiersz ze wzmianką nie zostanie usunięty. Wersja 2.3.0 escapuje wartość przed interpolacją.

W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.

W systemie Baserow do wersji 2.3.2 stwierdzono podatność w funkcji verify w pliku views.py komponentu 2FA Verify Endpoint, która prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością. Problem został naprawiony w wersji 2.3.3.