English

Αναφορά προβλήματος ασφάλειας

Αν πιστεύετε ότι βρήκατε ευπάθεια στο OnPraxia by IXXO, πείτε μας εδώ. Δώστε μας χρόνο να τη διορθώσουμε πριν τη δημοσιοποιήσετε.

Τι υποσχόμαστε

• Απαντάμε μέσα σε 3 εργάσιμες ημέρες, αν αφήσετε διεύθυνση.
• Σας ενημερώνουμε όταν διορθωθεί και αναφέρουμε το όνομά σας αν το θέλετε.
• Δεν κινούμαστε νομικά για έρευνα που γίνεται καλόπιστα.
• Δημοσιεύουμε τι διορθώθηκε μόλις η διόρθωση είναι διαθέσιμη.

Τι ζητάμε

• Δοκιμάστε μόνο με τον δικό σας λογαριασμό, και μην βλέπετε, αλλάζετε ή κρατάτε δεδομένα άλλων.
• Μην επιβραδύνετε ή διακόπτετε την υπηρεσία.

Πείτε μας

Διορθώσεις ασφάλειας που κυκλοφόρησαν

• 1.0.0-rc.154 (high): Οι βιβλιοθήκες λήψης του αναγνώστη λογαριασμών (urllib3 2.6.3, requests 2.32.5) είχαν γνωστά κενά. Εγκαταστήστε αυτή την έκδοση, βεβαιωθείτε ότι ο διακομιστής έχει Python 3.12 ή 3.11 με το πακέτο venv (σε Ubuntu 22.04: add-apt-repository -y ppa:deadsnakes/ppa && apt-get install -y python3.12 python3.12-venv) και τρέξτε ξανά την εγκατάσταση με --ocr.
• 1.0.0-rc.149 (critical): Η βιβλιοθήκη εικόνων του αναγνώστη λογαριασμών (Pillow 11.3.0) είχε γνωστά κενά στους αποκωδικοποιητές εικόνων. Εγκαταστήστε αυτή την έκδοση, βεβαιωθείτε ότι ο διακομιστής έχει Python 3.10, 3.11 ή 3.12 με το πακέτο venv (για παράδειγμα: apt-get install python3.12 python3.12-venv) και τρέξτε ξανά την εγκατάσταση με --ocr.
• 1.0.0-rc.118 (medium): Ο κωδικός της φόρμας AML φυλασσόταν με τρόπο που το προσωπικό μπορούσε να τον διαβάσει ξανά. Εγκαταστήστε αυτή την έκδοση. Οι πελάτες που χρειάζονται ακόμη τον κωδικό τους λαμβάνουν νέο σύνδεσμο και κωδικό από AML › τη φόρμα του πελάτη.
• 1.0.0-rc.117 (low): Η εγγραφή και η επαναφορά κωδικού μπορούσαν να σταλούν χωρίς τον έλεγχο της σελίδας για ρομπότ. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Οι απαντήσεις έδειχναν την έκδοση της PHP. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Οι φυλλομετρητές δεν ενημερώνονταν να απαιτούν HTTPS στο Plesk και στον ιστότοπο. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ένα μικρό αρχείο Office μπορούσε να σταματήσει την εργασία εξαγωγής κειμένου. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Το όνομα ενός προμηθευτή μπορούσε να προσθέσει σήμανση στην επικεφαλίδα στήλης μιας αναφοράς. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Κείμενο σφάλματος βάσης δεδομένων μπορούσε να εμφανιστεί σε χρήστες της εταιρείας. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ο έλεγχος εξερχόμενων διευθύνσεων άφηνε να περάσουν ορισμένες μη δημόσιες περιοχές. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ένας ελεγκτής μόνο για ανάγνωση μπορούσε να αλλάξει το πρότυπο λογιστικού σχεδίου της εταιρείας. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Η δημοσίευση βάρδιας γραφόταν πριν από τον έλεγχο δικαιώματος. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Η παραγωγή δεχόταν απλή διεύθυνση http και το παράδειγμα κλειδιού υπογραφής. Εγκαταστήστε αυτή την έκδοση. Αν ο αυτοέλεγχος αναφέρει κάποιο από τα δύο, διορθώστε το όπως υποδεικνύει.
• 1.0.0-rc.107 (medium): Μια πρόσκληση επαναλάμβανε το όνομα που πληκτρολογήθηκε σε δημόσια φόρμα. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ένα αλλοιωμένο byte απενεργοποιούσε τον έλεγχο ανεπιθύμητων στις δημόσιες φόρμες. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ο έλεγχος ανεπιθύμητων στις δημόσιες φόρμες δεν έπιανε μεταμφιεσμένους συνδέσμους. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Το cookie του συνδέσμου υπαλλήλου λειτουργούσε ακόμη μετά την αποσύνδεση. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Η αποσύνδεση του Inside λειτουργούσε με απλό σύνδεσμο και άφηνε έγκυρη τη συσκευή. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Μια άκυρη εγγραφή έδειχνε αν μια διεύθυνση έχει λογαριασμό. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ο δεύτερος παράγοντας σε μία σύνδεση περνούσε τον πρόσθετο έλεγχο σε άλλη. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Μια σύνδεση χωρίς δεύτερο παράγοντα δεν είχε όριο αδράνειας. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Ένα αλλαγμένο αρχείο κλειδιού σε γνήσιο πακέτο μπορούσε να αντικαταστήσει το κλειδί που δέχεται τις ενημερώσεις. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Το πρωτότυπο ενός μεταφορτωμένου τιμολογίου προμηθευτή μπορούσε να εκτελέσει σενάριο στη διεύθυνση διαχείρισης. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Τέσσερα σημεία μεταφόρτωσης έλεγχαν μόνο τα πρώτα byte ενός αρχείου. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Μια τιμή σε ορισμένες εξαγωγές CSV μπορούσε να εκτελεστεί ως τύπος υπολογιστικού φύλλου. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Ένα άτομο που μπορούσε μόνο να διαβάζει αναφορές μπορούσε να διαγράψει αποθηκευμένες αναφορές και πακέτα λογιστή. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Το υποκατάστημα μιας συσκευής και το έγγραφο ενός αιτήματος μπορούσαν να δείχνουν σε άλλη εταιρεία. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Το «Ρωτήστε τον λογιστή μου» ήταν ανοιχτό σε όλους στην εταιρεία. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Μια κλειδωμένη σύνδεση μπορούσε να εγκρίνει εφαρμογή. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Η επαναφορά κωδικού άφηνε ενεργή την πρόσβαση των εφαρμογών. Εγκαταστήστε αυτή την έκδοση. Μετά την επόμενη επαναφορά κωδικού, τα άτομα συνδέονται ξανά στις εφαρμογές.
• 1.0.0-rc.107 (high): Μια γραφή της διεύθυνσης με τόνους παρέκαμπτε το κλείδωμα σύνδεσης. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (critical): Ένα λογιστικό γραφείο μπορούσε να αλλάξει τους αριθμούς εταιρείας άλλου λογαριασμού μέσω φακέλου ένταξης. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (critical): Ένα άτομο με δικαίωμα εξαγωγής σε μία εταιρεία μπορούσε να πάρει τα δεδομένα όλων των εταιρειών του λογαριασμού. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Το όνομα του διακομιστή αλληλογραφίας μιας εταιρείας ελεγχόταν κατά την αποθήκευση, όχι κατά τη σύνδεση. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Μέλος χωρίς ρόλο διάβαζε κέντρα κόστους, έργα και κανόνες έγκρισης. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Η λίστα ελεγκτών μιας εταιρείας ονόμαζε άτομα άλλων εταιρειών του λογαριασμού. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Ένα κατεστραμμένο byte σε μεγάλο πεδίο δημόσιας φόρμας έδινε σφάλμα διακομιστή. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Ο έλεγχος ανεπιθύμητων περνούσε κι άλλες γραφές διευθύνσεων ιστού. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (low): Το χρονικό όριο ξεκλειδωμένης φόρμας AML ή συνδέσμου αποστολής υπήρχε μόνο στο cookie. Εγκαταστήστε αυτή την έκδοση. Οι ανοιχτές φόρμες ζητούν τον κωδικό μία ακόμη φορά.
• 1.0.0-rc.107 (low): Μετά το όριο αδράνειας, άτομο χωρίς PIN δεν μπορούσε να δώσει μόνο τον δεύτερο παράγοντα. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Οι σελίδες εγγραφής και ξεχασμένου κωδικού έστελναν e-mail χωρίς έλεγχο ρομπότ σε ό,τι έστελνε η σελίδα. Εγκαταστήστε αυτή την έκδοση. Ενεργοποιήστε το captcha στην Κονσόλα, Προστασία φορμών, πριν ανοίξουν ξανά οι φόρμες.
• 1.0.0-rc.107 (low): Η πρώτη σύνδεση μείωνε το κόστος κατακερματισμού κωδικού από 12 σε 10. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ταυτόχρονες προσπάθειες σύνδεσης ξεπερνούσαν το όριο πέντε λανθασμένων κωδικών. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ο χρόνος απάντησης μπορούσε να δείξει αν μια διεύθυνση έχει λογαριασμό. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Κωδικός εφαρμογής από πριν την επαναφορά κωδικού πρόσβασης έδινε ακόμη έγκυρο διακριτικό. Εγκαταστήστε αυτή την έκδοση. Μετά από επαναφορά κωδικού, οι χρήστες συνδέουν ξανά τις εφαρμογές τους.
• 1.0.0-rc.107 (medium): Ο κύριος σύνδεσμος AML μπορούσε να διαβάσει και να αντικαταστήσει τις απαντήσεις προσκεκλημένου στελέχους. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Το γραφείο υποστήριξης πλατφόρμας καταχωρούσε e-mail που απέτυχε στο DMARC ως αίτημα του πελάτη. Εγκαταστήστε αυτή την έκδοση. Μη θεωρείτε το e-mail απόδειξη για αλλαγές λογαριασμού.
• 1.0.0-rc.107 (medium): Ο ορισμός κωδικού PIN άλλου ατόμου δεν άφηνε ίχνος και ίσχυε για οποιονδήποτε. Εγκαταστήστε αυτή την έκδοση. Ο διαχειριστής της εταιρείας επαναφέρει τους κωδικούς των υπολοίπων.
• 1.0.0-rc.107 (medium): Εταιρεία με δικά της κλειδιά Stripe μπορούσε να μειώσει την προμήθεια πλατφόρμας με συμβάν που υπέγραφε η ίδια. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (medium): Ο αυτοέλεγχος παραγωγής περνούσε χωρίς κλειδί υπογραφής. Εγκαταστήστε αυτή την έκδοση. Αν ο αυτοέλεγχος αναφέρει το κλειδί, δημιουργήστε ένα.
• 1.0.0-rc.107 (medium): Δημόσιοι σύνδεσμοι έγραφαν σε λογαριασμούς υπό μεταφορά ή που είχαν λήξει. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Τα πρότυπα λογιστικού σχεδίου γραφείου άλλαζαν και διαγράφονταν χωρίς δικαίωμα. Εγκαταστήστε αυτή την έκδοση. Ελέγξτε τα πρότυπα του γραφείου σας αν κάποιος χωρίς αυτό το δικαίωμα μπορεί να τα άλλαξε.
• 1.0.0-rc.107 (high): Άτομο αποκλεισμένο από πελάτη διάβαζε τις ερωτήσεις του στο γραφείο εξυπηρέτησης του λογιστικού γραφείου. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Το προσωπικό ταμείου μπορούσε να διαβάσει βιβλία και τιμολόγια της εταιρείας και να κλείσει ταμείο συναδέλφου. Εγκαταστήστε αυτή την έκδοση. Δώστε σε όποιον χρειάζεται τα βιβλία έναν ρόλο που τα περιλαμβάνει.
• 1.0.0-rc.107 (medium): Άτομο που δεν διαχειρίζεται κανέναν μπορούσε να δημοσιεύσει το πρόγραμμα της εταιρείας. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Η φόρμα καριέρας δεν είχε προστασία από ρομπότ και επαναλάμβανε πληκτρολογημένα ονόματα σε e-mail. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Το μυστικό εφαρμογής επαλήθευσης υπό ρύθμιση δινόταν σε κάθε συνεδρία με κωδικό. Εγκαταστήστε αυτή την έκδοση. Αν δεν ρυθμίσατε εσείς την εφαρμογή επαλήθευσης, ρυθμίστε την ξανά.
• 1.0.0-rc.107 (high): Κλειδί περιορισμένο σε ένα είδος παραστατικού διάβαζε συνημμένα, προεπισκοπήσεις και αμφισβητήσεις των άλλων. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Σύνδεσμος αποστολής εξακολουθούσε να παρέχει αρχείο που κρατούσε ο έλεγχος κακόβουλου λογισμικού. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (high): Η προσθήκη ταμείου, οι εξαγωγές, η πρόσβαση λογιστή και η σύνδεση εφαρμογής γίνονταν χωρίς νέο δεύτερο παράγοντα. Εγκαταστήστε αυτή την έκδοση. Το προσωπικό επιβεβαιώνει με το κλειδί πρόσβασης ή τον κωδικό του όταν ζητηθεί.
• 1.0.0-rc.107 (high): Πρόσκληση μπορούσε να επαναφέρει τον παλιό ρόλο λογαριασμού ατόμου που αφαιρέθηκε. Εγκαταστήστε αυτή την έκδοση. Ελέγξτε ποιοι έχουν ρόλο ιδιοκτήτη και διαχειριστή στην Ομάδα.
• 1.0.0-rc.107 (high): Εξουσιοδοτημένος εγκριτής μπορούσε να συνδεθεί χωρίς δεύτερο παράγοντα. Εγκαταστήστε αυτή την έκδοση. Όσοι καλύπτουν τέτοιο ρόλο ρυθμίζουν την επαλήθευση δύο βημάτων στις Ρυθμίσεις.
• 1.0.0-rc.107 (high): Συνδεδεμένη εφαρμογή συνεργάτη μπορούσε να εγκρίνει παραστατικά. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (critical): Οι αμοιβές γραφείου διάβαζαν τα στοιχεία εταιρείας πελάτη παρακάμπτοντας τους κανόνες πρόσβασης. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (critical): Εξαγωγή που ζήτησε γραφείο περιείχε εταιρεία που δεν ανέφερε η παραχώρησή του. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.107 (critical): Επικαλυπτόμενα συμβάντα επιστροφής μπορούσαν να καταγράψουν δύο φορές μία επιστροφή της πύλης. Εγκαταστήστε αυτή την έκδοση. Συγκρίνετε τις καταγεγραμμένες επιστροφές με την κατάσταση της πύλης για πληρωμές με μη κατανεμημένο μέρος.
• 1.0.0-rc.107 (critical): Γραφείο περιορισμένο σε εργασίες αγορών μπορούσε να πάρει την πλήρη εξαγωγή του πελάτη. Εγκαταστήστε αυτή την έκδοση. Ελέγξτε τυχόν πακέτα εξαγωγής που ζήτησε γραφείο πριν από αυτήν.
• 1.0.0-rc.107 (critical): Αρχεία που προστέθηκαν σε υπογεγραμμένο πακέτο έκδοσης περνούσαν τον έλεγχο ενημέρωσης. Εγκαταστήστε αυτή την έκδοση. Ανεβάζετε τα πακέτα ακριβώς όπως δημιουργήθηκαν.
• 1.0.0-rc.107 (critical): Το διακριτικό μιας συνδεδεμένης εφαρμογής μπορούσε να φτάσει στους πελάτες ενός λογιστικού γραφείου. Εγκαταστήστε αυτή την έκδοση. Δεν χρειάζεται τίποτε άλλο.
• 1.0.0-rc.103 (low): Το e-mail της ομάδας για ένα αίτημα από την ιστοσελίδα αντέγραφε ό,τι έγραψε ο επισκέπτης, έτσι ένα ρομπότ μπορούσε να βάλει έναν σύνδεσμο μπροστά στο προσωπικό. Εγκαταστήστε αυτή την έκδοση ή μια νεότερη. Δεν χρειάζεται τίποτε άλλο.