Podatności Payload

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach przed 3.90.0 oraz w wersjach canary przed 4.0.0-canary.34 nieuwierzytelniony atakujący znający adres e-mail lub nazwę użytkownika konta może wykorzystać mechanizm blokady konta w kolekcji z lokalnym uwierzytelnianiem, aby uniemożliwić temu kontu zalogowanie się.

W wersjach Payload przed 3.90.0 i canary przed 4.0.0-canary.34, specjalnie spreparowane żądanie do publicznej operacji first-register może zdalnie wykonać kod, gdy włączone jest lokalne uwierzytelnianie i nie utworzono jeszcze pierwszego użytkownika. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload przed 3.90.0 i 4.0.0-canary.34, atakujący z dostępem do odczytu i tworzenia lub aktualizacji kolekcji zawierającej pole json lub pole blocks z włączonym blocksAsJSON może wstrzyknąć SQL przez spreparowaną ścieżkę pola i operatory. Kolekcje bez tych pól oraz pola richText nie są podatne. Pakiety SQLite naprawiono w wersjach 3.90.0 i 4.0.0-canary.34, a Postgres w wersji 3.73.0.

W wersjach Payload przed 3.90.0 i canary przed 4.0.0-canary.34, serwer nie egzekwuje ograniczenia access.update na poziomie pola dla pola hasła w kolekcji uwierzytelniania. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, nieprawidłowo sformułowane żądanie multipart może spowodować bardzo długie przetwarzanie Content-Type multipart, prowadząc do niekontrolowanego zużycia zasobów. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, odpowiedzi na odświeżenie tokena i resetowanie hasła mogą niezależnie zwracać ukryte lub ograniczone odczytem pola, do których żądający użytkownik nie ma dostępu. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach przed 3.90.0 oraz w wersjach canary przed 4.0.0-canary.34 odpytywanie czytelnej kolekcji powiązanej relacją z inną kolekcją może ujawnić informacje o powiązanych dokumentach chronionych przez ograniczenia access.read.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, użytkownicy ze zwykłym dostępem do odczytu do innych dokumentów uwierzytelniania w kolekcji z włączonym useAPIKey mogą uzyskać aktywne klucze API i korzystać z uprawnień docelowych kont, dopóki te klucze nie zostaną obrócone lub wyłączone. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, użytkownik, który może zapytać kolekcję z polimorficznym joinem do wrażliwych pól, może wywnioskować ukryte lub ograniczone odczytem wartości, w tym tokeny resetowania hasła, przez filtry polimorficznego joina. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach od 3.40.0 przed 3.88.0 oraz w wersjach canary przed 4.0.0-canary.27 atakujący może spreparować parametr adresu URL przekierowania, który po zakończeniu procesu uwierzytelniania kieruje użytkownika-gościa do niezaufanego miejsca docelowego.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach przed 3.88.0 oraz w wersjach canary przed 4.0.0-canary.27 niezaufany użytkownik, który może odpytywać czytelną kolekcję, kontrolować jej sortowanie i wybrać chronione pole jako parametr sortowania, może wywnioskować ograniczone informacje o wartościach pól, których nie może odczytać.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach od 3.0.0 przed 3.90.0 oraz w wersjach canary od 4.0.0-canary.0 przed 4.0.0-canary.34 stosowany jest niższy niż zalecany współczynnik pracy PBKDF2 do hashowania haseł, co zmniejsza nakład obliczeniowy wymagany do testowania odzyskanych skrótów haseł.

W adapterze SQLite w Payload występowała podatność typu Session Fixation wynikająca z ponownego użycia identyfikatora podczas tworzenia konta. Atakujący mógł utworzyć konto, zapisać jego token JWT, usunąć konto (co nie unieważniało tokenu), a następnie wykorzystać ten sam identyfikator przypisany nowemu użytkownikowi do uwierzytelnienia się jako on. Problem naprawiono w wersji 3.44.0.

Payload używa JSON Web Tokens (JWT) do uwierzytelniania. Po wylogowaniu token JWT nie jest unieważniany, co pozwala atakującemu, który ukradł lub przechwycił token, na jego dowolne ponowne użycie do czasu wygaśnięcia (domyślnie 2 godziny, ale można to zmienić). Problem naprawiono w wersji 3.44.0.