Podatności Zulip

Zulip to narzędzie open-source do współpracy zespołowej. Od wersji 11.0 do 12.2 organizacje z włączonymi kanałami publicznymi w sieci udostępniały endpoint GET /json/users wylogowanym widzom, a brak sprawdzenia kontroli dostępu pozwalał parametrowi include_custom_profile_fields=true zwracać wartości niestandardowych pól profilu każdego użytkownika oprócz udokumentowanych ograniczonych danych katalogu. Ujawniało to te wartości niezalogowanym odwiedzającym. Problem naprawiono w wersji 12.2.

Zulip to narzędzie open-source do współpracy zespołowej. Od wersji 8.0 do 12.2, w organizacjach, w których ustawienie 'Who can view all other users in the organization' ograniczało gościom przeglądanie innych użytkowników, zapisywanie lub edytowanie szkicu wiadomości bezpośredniej nie weryfikowało, czy nadawca ma dostęp do odbiorców szkicu. Gość mógł w ten sposób uzyskać dostęp do informacji profilowych użytkowników, którzy w przeciwnym razie byliby ograniczeni, bez wysyłania wiadomości. Organizacje, które nie ograniczały dostępu gości, nie były dotknięte. Problem naprawiono w wersji 12.2.

Zulip przed wersją 11.6 ma podatność na path traversal w ./manage.py import, która pozwala na odczyt dowolnych plików z systemu plików serwera. Sfałszowany tarball eksportu powoduje kopiowanie plików do katalogu uploads podczas importu.

W Zulip przed wersją 11.6, nawet po wyłączeniu dostępu widza (spectator access), załączniki pochodzące z publicznych strumieni web-public nadal były dostępne anonimowo. Ponadto endpoint /users/me/<stream_id>/topics pozostawał osiągalny anonimowo, umożliwiając odczyt historii tematów dla tych strumieni.