Vulnerabilidad en Flarum (CVE-2023-22487)

Flarum es un software de foro para construir comunidades. Usando la función de menciones proporcionada por la extensión flarum/mentions, los usuarios pueden mencionar cualquier ID de publicación en el foro con la sintaxis especial `@""#p`. El siguiente comportamiento nunca cambia, sin importar si el actor debería poder leer la publicación mencionada o no: se inserta una URL a la publicación mencionada en el HTML de la publicación del actor, filtrando su ID de discusión y número de publicación. La relación `mentionsPosts` incluida en las respuestas JSON `POST /api/posts` y `PATCH /api/posts/` filtra el payload JSON:API completa de todas las publicaciones mencionadas sin ningún control de acceso. Esto incluye el contenido, la fecha, el número y los atributos agregados por otras extensiones. Un atacante sólo necesita la capacidad de crear nuevas publicaciones en el foro para explotar la vulnerabilidad. Esto funciona incluso si las nuevas publicaciones requieren aprobación. Si tienen la capacidad de editar publicaciones, el ataque se puede realizar de manera aún más discreta usando una sola publicación para escanear cualquier tamaño de base de datos y ocultando el contenido de la publicación del ataque luego. El ataque permite la filtración de todas las publicaciones en la base de datos del foro, incluidas las publicaciones en espera de aprobación, las publicaciones en etiquetas a las que el usuario no tiene acceso y las discusiones privadas creadas por otras extensiones como FriendsOfFlarum Byobu. Esto también incluye publicaciones que no son comentarios, como cambios de etiquetas o cambios de nombre de eventos. El payload de la discusión no se filtra, pero utilizando el payload HTML de mención es posible extraer el ID de la discusión de todas las publicaciones y combinar todas las publicaciones nuevamente en sus discusiones originales, incluso si el título de la discusión sigue siendo desconocido. Todas las versiones de Flarum anteriores a la 1.6.3 se ven afectadas. La vulnerabilidad ha sido reparada y publicada como flarum/core v1.6.3. Como workaround, el usuario puede desactivar la extensión de menciones.