Podatności October CMS

Wykryto podatność w October CMS do wersji 4.3.4. Dotyczy funkcji validateExternalImageHost w pliku System/Classes/ResizeImages.php w komponencie SSRF Protection. Manipulacja prowadzi do podatności Server-Side Request Forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

October CMS w wersji do 1.0.428 nie blokuje użycia plików .htaccess w motywach, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez pobranie archiwum ZIP motywu z /backend/cms/themes, a następnie przesłanie i zaimportowanie zmodyfikowanego archiwum z dwoma nowymi plikami: plikiem .php i .htaccess.

Wersja 412 systemu October CMS jest podatna na wstrzykiwanie obiektów PHP w funkcjonalności przenoszenia zasobów, co umożliwia usuwanie plików ograniczonych przez uprawnienia plików na serwerze.

October CMS w wersji 412 jest podatny na wykonanie kodu PHP w funkcjonalności przesyłania plików, co może prowadzić do kompromitacji strony oraz potencjalnie innych aplikacji na serwerze.

October CMS w wersji 412 jest podatny na modyfikację ścieżki pliku w funkcjonalności przenoszenia zasobów, co może prowadzić do tworzenia złośliwych plików na serwerze.

October CMS w wersji 412 jest podatny na wykonanie kodu PHP w funkcjonalności menedżera zasobów, co może prowadzić do kompromitacji strony oraz potencjalnie innych aplikacji na serwerze.

Wersja 412 systemu October CMS jest podatna na modyfikację konfiguracji Apache poprzez funkcjonalność przesyłania plików, co może prowadzić do kompromitacji strony oraz innych aplikacji na serwerze.

October CMS w wersjach przed 3.7.17 i 4.2.21 zawiera podatność na iniekcję obiektów PHP w module systemowym. Backendowy trait `SessionMaker` przechowywał stan sesji widgetów jako `base64(serialize(...))` i odczytywał go przez `unserialize()` bez ograniczenia `allowed_classes`, co umożliwiało atakującemu wstrzyknięcie zserializowanych danych i wywołanie łańcuchów gadżetów PHP. Problem dotyczy tylko instalacji z włączonym trybem Safe Mode, który jest opcjonalny i stosowany głównie w scenariuszach z niezaufanymi użytkownikami.

Podatność w module systemu October CMS dotyczy polityki bezpieczeństwa sandboxa Twig, gdy włączony jest tryb cms.safe_mode. Poprzez łańcuch obejść można było uzyskać dostęp do magazynu sesji Laravel oraz surowych metod SQL, co pozwalało użytkownikowi backendu z uprawnieniami do edycji znaczników CMS odczytywać dowolne dane z bazy i podszyć się pod sesję innego użytkownika. Luka została naprawiona w wersjach 3.7.17 i 4.2.21.

W systemie CMS October przed wersjami 3.7.16 i 4.1.16 nie egzekwowano szczegółowych poduprawnień dla operacji na plikach zasobów i blueprintów w rozszerzeniach CMS oraz Tailor. Użytkownicy backendu z dostępem edytora, którym odebrano konkretnie uprawnienia editor.cms_assets lub editor.tailor_blueprints, mogli mimo to tworzyć, usuwać, zmieniać nazwy, przenosić i przesyłać pliki. Powiązany błąd priorytetu operatorów w nawigacji Tailor ujawniał drzewo katalogów blueprintów motywu.

W systemie CMS October przed wersjami 3.7.16 i 4.1.16 wykryto podatność typu reflected Cross-Site Scripting (XSS) w widżecie backendowym DataTable, gdzie parametr zapytania był renderowany bez prawidłowego kodowania wyjścia. Podatność została naprawiona w wersjach 3.7.16 i 4.1.16.

October to system CMS i platforma webowa. Przed wersjami 3.7.14 i 4.1.10 zidentyfikowano podatność w polityce bezpieczeństwa sandboxa Twig, która pozwalała na operacje zapisu do bazy danych przy włączonym cms.safe_mode. Użytkownicy backendu z uprawnieniami Developer mogli użyć znaczników szablonu Twig do wykonania operacji insert, update i delete na dowolnej tabeli bazy danych poprzez query builder znajdujący się na liście dozwolonych sandboxa. Podatność naprawiono w wersjach 3.7.14 i 4.1.10.

October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność polegającą na ujawnieniu informacji po stronie serwera podczas obsługi plików preprocesorów CSS. Użytkownicy backendu z uprawnieniami Editor mogą tworzyć pliki .less, .sass lub .scss wykorzystujące funkcję importu kompilatora do odczytu dowolnych plików z serwera, nawet przy włączonym cms.safe_mode. Podatność naprawiono w wersjach 3.7.14 i 4.1.10.

October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność na trwałe XSS w logice sanityzacji SVG. Wzorzec regex używany do usuwania atrybutów obsługi zdarzeń (np. onclick, onload) może zostać ominięty przez spreparowany ładunek, co pozwala na przesyłanie złośliwych plików SVG przez Menedżera Mediów z osadzonym JavaScriptem. Eksploatacja może prowadzić do eskalacji uprawnień, jeśli superużytkownik wyświetli lub osadzi złośliwy SVG, i wymaga uwierzytelnionego dostępu do backendu z uprawnieniami do przesyłania multimediów.

October CMS przed wersjami 3.7.14 i 4.1.10 zawiera podatność na ujawnienie informacji po stronie serwera w parserze ustawień INI. PHP parse_ini_string() obsługuje składnię ${} dla zmiennych środowiskowych, co pozwala atakującym z dostępem edytora na wstrzykiwanie wzorców, takich jak ${APP_KEY}, co prowadzi do ujawnienia wrażliwych zmiennych środowiskowych.

October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność przechowywanego XSS w funkcji podglądu wiadomości w dzienniku zdarzeń. Treść HTML była renderowana w iframe bez odpowiedniego sandboxingu, co umożliwiało wykonanie JavaScriptu w przeglądarce przeglądającego.

October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność Stored XSS w ustawieniach edytora backendu. Pola Markup Classes (używane do stylów akapitów, stylów inline, stylów tabel itp.) nie sanityzowały danych wejściowych do prawidłowych znaków nazw klas CSS. Złośliwe wartości były renderowane bez sanityzacji w menu rozwijanych edytora Froala, umożliwiając wykonanie JavaScriptu, gdy użytkownik otworzył RichEditor. Może to prowadzić do eskalacji uprawnień, jeśli superużytkownik otworzy RichEditor podczas rutynowej edycji treści, i wymaga uwierzytelnionego dostępu do backendu z uprawnieniami do ustawień edytora.

October CMS w wersjach przed 3.7.13 oraz 4.0.0 do 4.1.4 zawiera lukę obejścia sandboxa w opcjonalnym trybie safe mode Twig (CMS_SAFE_MODE). Niektóre metody helpera collect() nie były odpowiednio ograniczone, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do edycji szablonów na obejście zabezpieczeń sandboxa.

Wersja 3.4.4 October CMS zawiera podatność umożliwiającą przesyłanie dowolnych plików, co pozwala atakującym na wykonanie dowolnego kodu za pomocą odpowiednio przygotowanego pliku.