Podatności Wanderer

W Wanderer przed wersją 0.19.3 uwierzytelniony lokalny użytkownik może przesłać spreparowane wartości waypoint.name i waypoint.icon, które wykres wysokości trasy interpoluje do szablonu innerHTML w web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts bez kodowania HTML lub walidacji ikony. Ofiara przeglądająca profil wysokości wykonuje kontrolowany przez atakującego skrypt w swojej przeglądarce. Ponadto sfederowane waypointy mogą dostarczyć te same złośliwe pola między instancjami bez konieczności posiadania lokalnego konta na instancji odbierającej. Skrypt może ujawnić dane sesji lub wykonać działania w kontekście ofiary.

W Wanderer przed wersją 0.19.3 uwierzytelniony użytkownik może zapisać spreparowaną wartość waypoint.icon, którą createMarkerFromWaypoint() przekazuje do FontawesomeMarker, gdzie insertAdjacentHTML wstawia niezwalidowaną wartość do znacznika mapy. Otwarcie dotkniętej mapy trasy wykonuje kontrolowany przez atakującego skrypt w przeglądarce przeglądającego, co może ujawnić tokeny sesji lub wykonać działania jako ofiara. Sfederowane dane waypointów mogą również dotrzeć do tego miejsca bez lokalnego konta na instancji odbierającej.

Wanderer przed wersją 0.19.3 udostępnia nieuwierzytelnione endpointy GET /activitypub/trail/{id} i GET /activitypub/comment/{id}, które zwracają pełne rekordy szlaków i komentarzy bez stosowania reguł widoku kolekcji PocketBase. Atakujący mogący wyliczyć lub odgadnąć identyfikatory rekordów może pobrać prywatne nazwy szlaków, opisy, współrzędne GPS, adresy URL plików GPX i zdjęć oraz komentarze.

W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.