Resultados para “rails”
13 resultado(s)
Campfire (Basecamp): una clave de bot sin token permitía escribir mensajes en nombre de cualquier usuario
En Campfire, de Basecamp, una clave de bot con la parte del token vacía (por ejemplo `2-`) se aceptaba como válida y permitía, sin iniciar sesión, publicar mensajes en las salas haciéndose pasar por cualquier usuario.
3 min
Launchpad de 37signals enviaba tokens OAuth de la víctima a redirecciones sin verificar: acceso a la API de Basecamp
Cualquier cuenta de Basecamp podía registrar un cliente OAuth con un redirect_uri sin verificar. Launchpad enviaba allí el token de quien autorizaba, incluso sin client_secret, y con esos tokens se podían leer, cambiar y borrar proyectos.
6 min
Basecamp (Fizzy): los adjuntos privados de las tarjetas se podían abrir sin sesión con su URL de Active Storage
En app.fizzy.do, los ficheros subidos a una tarjeta y sus vistas previas se servían por URLs de Active Storage que cualquiera podía abrir, sin sesión y sin permisos sobre la tarjeta.
3 min
Redirección abierta en app.hey.com con "HTTPS://" en mayúsculas carga una web ajena dentro de la app de escritorio de HEY
El endpoint /proxy_image de app.hey.com comparaba el esquema distinguiendo mayúsculas. Con "HTTPS://" redirigía a cualquier web, y la app de escritorio la abría en una ventana propia de HEY.
6 min
Fizzy (Basecamp): importar una cuenta permitía mostrar contenido de otra mediante referencias de ActionText
La importación de cuentas de Fizzy convertía identificadores GID del ZIP subido en referencias firmadas SGID sin comprobar que el registro perteneciera a la cuenta que importaba, lo que permitía mostrar datos de otro cliente.
4 min
Rails: allowed_uri? daba por buenas URLs javascript: partidas con caracteres de control codificados como entidades
El ayudante Rails::HTML::Sanitizer.allowed_uri? devolvía true para valores como java script:alert(1). El navegador los convierte en javascript: y los ejecuta al pulsar el enlace.
4 min
DOM XSS en el nombre de fichero del importador de Fizzy (Basecamp) permite robar la cuenta con un solo clic
La vista previa del importador de cuentas de Fizzy pintaba el nombre del .zip con innerHTML. Un nombre de fichero preparado inyectaba un botón que, usando la sesión y el token CSRF de la víctima, cambiaba su email y permitía tomar la cuenta.
5 min
AWS Bedrock: sus API keys funcionaban en bedrock-mantle, fuera del Deny de IAM, de CloudTrail y de los logs
Las API keys de Bedrock también autenticaban en bedrock-mantle.{región}.api.aws, un segundo plano de inferencia que no cubrían el Deny de IAM, la detección en CloudTrail ni el registro de prompts que recomienda AWS.
7 min
Path traversal en ActiveStorage de Rails: una clave de blob manipulada permite escribir, leer y borrar ficheros
El DiskService de ActiveStorage construía rutas con la clave del blob sin validarla. Si una aplicación dejaba llegar datos del usuario al parámetro key: de attach(), se podía escribir, leer o borrar ficheros fuera del directorio de almacenamiento.
7 min
XSS de un clic en Fizzy (Basecamp): paginación de Turbo y blobs HTML sin adjuntar para robar un token de escritura
Un atacante con cuenta propia conseguía ejecutar JavaScript en el origen de Fizzy cuando una víctima de otra cuenta abría una URL de tablero público, y con ello crear y exfiltrar un token de escritura de la víctima.
8 min
ReDoS en Action Text de Rails: un blockquote manipulado bloquea to_plain_text con Ruby 3.1 o anterior
Una expresión regular de Action Text que convierte citas a texto plano sufría retroceso excesivo: con Ruby 3.1 o anterior, un blockquote lleno de tabuladores tardaba unos 39 segundos en procesarse.
4 min
Rails ActionText: una etiqueta <action-text-markdown> esquiva la validación de esquemas URI en to_markdown
En ActionText, un texto enriquecido con una etiqueta <action-text-markdown> escrita por el usuario salía tal cual en la exportación a Markdown, lo que permitía colar enlaces javascript: o data: que la validación de URI debía bloquear.
3 min