Podatności Typemill

Punkt logowania Typemill (POST /tm/login, ControllerWebAuth::login) nie wykonuje ograniczania szybkości, zliczania nieudanych prób ani blokady konta, gdy captcha jest wyłączona (domyślna konfiguracja). Nieuwierzytelniony atakujący może wysyłać nieograniczone żądania zgadywania haseł do dowolnego konta, w tym administratorów, bez ograniczeń.

W systemie Typemill do wersji 2.26.0 wykryto podatność w funkcji ControllerApiImage::saveImage w pliku system/typemill/Models/SvgSanitizer.php. Manipulacja danymi może prowadzić do cross-site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; aktualizacja do wersji 2.27.0 (patch 9ca43c4a7b6764c5a6ac11a2ccc099b036ee3cef) rozwiązuje problem.

Typemill to płaski, oparty na Markdown system zarządzania treścią przeznaczony do witryn z dokumentacją informacyjną. Wersje przed 2.23.0 są podatne na przechowywany atak polegający na wstrzyknięciu atrybutów HTML w polach metadanych strony (`og:title` i `og:description`). Uwierzytelniony użytkownik z uprawnieniami do modyfikacji metadanych strony może wstrzyknąć dowolne atrybuty HTML do generowanych tagów `<meta>` z powodu braku kodowania wyjścia. W pewnych scenariuszach interakcji z przeglądarką lub DOM może to prowadzić do przechowywanego cross-site scripting (XSS). Wersja 2.23.0 naprawia problem.

Typemill przed wersją 2.26.0 zawiera podatność na obejście autoryzacji w trasie pobierania plików multimedialnych, która pozwala nieuwierzytelnionym atakującym na dostęp do ograniczonych plików poprzez wysyłanie równoważnych wariantów URL. Atakujący mogą podstawić znormalizowane formy ścieżek, takie jak prefiksy dot-slash, podwójne ukośniki lub sekwencje percent-encoded, aby przejść kontrolę ograniczeń opartych na rolach, podczas gdy system plików rozwiązuje żądanie do chronionego pliku, umożliwiając nieautoryzowane pobieranie plików bez poświadczeń.

Typemill przed wersją 2.24.0 zawiera podatność na path traversal, która umożliwia uwierzytelnionym atakującym z uprawnieniami autora odczytywanie dowolnych plików poza katalogiem treści poprzez dostarczenie sekwencji przejścia w parametrze ścieżki przekazywanym do Storage::getFile() z pustym argumentem folderu. Atakujący mogą ominąć mechanizmy zapobiegające przejściom w Storage::getFolderPath(), aby uzyskać dostęp do wrażliwych plików.