Activepieces — это платформа автоматизации рабочих процессов с использованием искусственного интеллекта с открытым исходным кодом. До версии 0.83.0 конечная точка загрузки /v1/step-files/signed проверяла предоставленный JWT на соответствие общему секрету подписи, но не проверяла аудиторию токена, а в сочетании с отсутствующей нулевой проверкой декодированного fileId это позволяло любому вызывающему абоненту, имеющему любой действительный JWT Activepieces (включая только что созданный собственный токен доступа пользователя), получить файл шага, принадлежащий другому арендатору. Возвращенный файл был тем, что PostgreSQL сначала просканировал на предмет типа = FLOW_STEP_FILE, который менялся со временем по мере изменения базы данных, поэтому аутентифицированный пользователь мог получить вложения файлов шагов, принадлежащие другим арендаторам в том же экземпляре; злоумышленник не мог нацелиться на конкретную жертву или файл, а доступ был только для чтения без влияния на целостность или доступность.
Эта проблема исправлена в версии 0.83.0.
Показать оригинальное описание (EN)
Activepieces is an open source AI workflow automation platform. Prior to 0.83.0, the /v1/step-files/signed download endpoint verified the supplied JWT against the shared signing secret but did not check the token's audience, and combined with a missing null-check on the decoded fileId, this allowed any caller holding any valid Activepieces JWT (including a freshly created user's own access token) to receive a step-file belonging to another tenant. The file returned was whatever PostgreSQL happened to scan first for type = FLOW_STEP_FILE, varying over time as the database changed, so an authenticated user could obtain step-file attachments belonging to other tenants on the same instance; the attacker could not target a specific victim or file, and the access was read-only with no integrity or availability impact. This issue is fixed in version 0.83.0.
Характеристики атаки
Последствия
Строка CVSS v4.0