Podatności FileCodeBox

Wykryto podatność w vastsa FileCodeBox do wersji 2.3. Podatność dotyczy funkcji update_file_usage w pliku apps/base/views.py komponentu Pickup Limit Handler. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Aktualizacja do wersji 2.5.0 rozwiązuje problem.

FileCodeBox przed wersją 2.4 zawiera podatność na ominięcie ograniczeń szybkości w klasie IPRateLimit. Nieuwierzytelniony atakujący może dostarczyć kontrolowane nagłówki X-Real-IP i X-Forwarded-For bez weryfikacji zaufanego odwrotnego proxy, co pozwala na enumerację kodów udostępniania i pobieranie plików innych użytkowników.

W implementacji IPRateLimit w FileCodeBox do wersji 2.2 występuje podatność pozwalająca zdalnym atakującym obejść ograniczenia szybkości oparte na IP oraz limity nieudanych prób poprzez fałszowanie nagłówków HTTP X-Real-IP i X-Forwarded-For. Umożliwia to ataki DoS lub brute force kodów udostępniania.

W funkcji udostępniania tekstu w FileCodeBox w wersji 2.2 i wcześniejszych występuje podatność stored cross-site scripting (XSS). Niewystarczająca walidacja danych wejściowych pozwala atakującemu wstrzyknąć dowolny kod JavaScript do udostępnianych "codeboxów". Ładunek XSS jest automatycznie wykonywany w przeglądarkach użytkowników, którzy uzyskają dostęp do zainfekowanego codeboxa.

W FileCodeBox v2.2 i wcześniejszych występuje podatność path traversal umożliwiająca dowolny zapis plików, gdy aplikacja korzysta z lokalnego magazynu plików. Metoda SystemFileStorage.save_file w core/storage.py używa nazw plików z danych wejściowych użytkownika bez walidacji do budowy save_path, co pozwala na zapis poza docelowym katalogiem przez nieuwierzytelnione żądania POST do endpointu /share/file/.