CVE Vulnerability Catalog

sbt to narzędzie do budowy aplikacji w językach Scala, Java i innych. W wersjach od 0.9.5 do przed 1.12.7 na systemie Windows, sbt używa Process('cmd', '/c', ...) do uruchamiania poleceń VCS (git, hg, svn). Fragment URI (gałąź, tag, rewizja) jest kontrolowany przez użytkownika i przekazywany do tych poleceń bez walidacji.

W UniFi Network Server występuje podatność na niewłaściwą walidację danych wejściowych, która może umożliwić nieautoryzowany dostęp do konta, jeśli właściciel konta zostanie zmanipulowany do kliknięcia w złośliwy link.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. Przed wersjami 8.6.59 i 9.6.0-alpha.53, atakujący z dostępem do klucza głównego mógł wykonać dowolne polecenia SQL na bazie danych PostgreSQL poprzez wstrzykiwanie metaznaków SQL w parametrach nazw pól w etapie agregacji $group lub operacji distinct.

Parse Server, otwarte źródło backendu, przed wersjami 8.6.58 i 9.6.0-alpha.52, pozwalał nieautoryzowanym atakującym na wywołanie odmowy usługi poprzez wysyłanie żądań uwierzytelnienia z dowolnymi, niekonfigurowanymi nazwami dostawców. Serwer wykonuje zapytanie do bazy danych dla każdego niekonfigurowanego dostawcy, co prowadzi do pełnego skanowania bazy danych użytkowników.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. W wersjach przed 8.6.56 i 9.6.0-alpha.45 komponent LiveQuery nie egzekwował ustawienia requestComplexity.queryDepth podczas przetwarzania żądań subskrypcyjnych WebSocket, co mogło prowadzić do nadmiernej rekurencji i zużycia CPU.

Parse Server, otwarte źródło backendu działającego na Node.js, przed wersjami 8.6.55 i 9.6.0-alpha.44, jest podatny na atak, w którym napastnik może wysłać nieautoryzowane żądanie HTTP z głęboko zagnieżdżonym zapytaniem zawierającym operatory logiczne, co prowadzi do zawieszenia procesu serwera. Serwer staje się całkowicie nieodpowiedzialny i wymaga ręcznego restartu.

Froxlor to oprogramowanie do zarządzania serwerami typu open source. W wersjach przed 2.3.5, punkt końcowy API DomainZones.add (dostępny dla klientów z włączonym DNS) nie weryfikował pola content dla kilku typów rekordów DNS (LOC, RP, SSHFP, TLSA), co pozwalało atakującemu na wstrzykiwanie nowych linii i dyrektyw pliku strefy BIND (np. $INCLUDE).

A low-privilege Zabbix user with API access can exploit a blind SQL injection vulnerability in include/classes/api/CApiService.php to execute arbitrary SQL selects via the sortfield parameter. Although query results are not returned directly, an attacker can exfiltrate arbitrary database data through time-based techniques, potentially leading to session identifier disclosure and administrator account compromise.

Input validation for host and event action scripts in Zabbix uses regex (set by the administrator) but runs in multiline mode. If ^ and $ anchors are used, an injected newline lets authenticated users bypass the check and inject shell commands.

IDrive before version 7.0.0.64 has the id_service.exe process running with elevated privileges, reading config files from C:\ProgramData\IDrive\. These files can be modified by any standard user, allowing arbitrary executable execution with SYSTEM privileges.

Wallos to otwartoźródłowy, samodzielny tracker subskrypcji. W wersjach przed 4.7.0 poprawka dotycząca SSRF zastosowana w wersji 4.6.2 była niekompletna, co pozwalało uwierzytelnionym użytkownikom na zapisanie wewnętrznego adresu IP jako URL powiadomienia.

Craft CMS to system zarządzania treścią (CMS), w wersjach od 5.6.0 do przed 5.9.13 występuje podatność na zdalne wykonanie kodu (RCE), którą może wykorzystać każdy uwierzytelniony użytkownik z dostępem do panelu sterowania. Jest to obejście wcześniejszej poprawki.

In LibVNCServer versions 0.9.15 and prior, a null pointer dereference vulnerability exists in the httpProcessInput() function in httpd.c. Attackers can send specially crafted HTTP requests to exploit missing validation of strchr() return values in the CONNECT and GET proxy handling paths, causing a denial of service.

LibVNCServer versions 0.9.15 and prior (fixed in commit 009008e) contain a heap out-of-bounds read vulnerability in the UltraZip encoding handler. Improper bounds checking in the HandleUltraZipBPP() function allows a malicious VNC server to manipulate subrectangle header counts and read beyond the allocated heap buffer.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.2.2 miała lukę w metodzie `LinkSharing.ReadAll()`, umożliwiającą uwierzytelnionym użytkownikom z linkiem do udostępniania przeglądanie wszystkich linków udostępnionych dla projektu, w tym ich tajnych skrótów. Metoda `ReadAllWeb` omija odpowiednie sprawdzenie uprawnień, co pozwala atakującemu na uzyskanie dostępu do linków z wyższymi uprawnieniami.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.2.1 miała lukę w metodzie `TaskAttachment.ReadOne()`, umożliwiającą pobieranie załączników na podstawie ID, bez uwzględnienia ID zadania z URL. To pozwalało uwierzytelnionym użytkownikom na dostęp do załączników z innych projektów.

Vikunja to platforma do zarządzania zadaniami, która jest samodzielnie hostowana i open-source. W wersjach od 0.18.0 do 2.2.1, gdy konto użytkownika jest wyłączone lub zablokowane, weryfikacja statusu jest stosowana tylko w przypadku lokalnego logowania i odświeżania tokenów JWT. Inne ścieżki uwierzytelniania, takie jak tokeny API, podstawowa autoryzacja CalDAV i OpenID Connect, nie weryfikują statusu użytkownika.

Vikunja to platforma do zarządzania zadaniami, która w wersjach od 0.21.0 do 2.2.0 ma wbudowane `nodeIntegration` w głównym oknie przeglądarki, co pozwala na nieograniczone nawigacje w tym samym oknie. Atakujący może umieścić link w treści generowanej przez użytkownika, co prowadzi do wykonania złośliwego kodu na maszynie ofiary.

Vikunja to platforma do zarządzania zadaniami, która w wersjach od 0.21.0 do 2.2.0 ma lukę w zabezpieczeniach. Wrapper Electron dla Vikunji przekazuje adresy URL z wywołań `window.open()` bez walidacji, co pozwala atakującemu na otwieranie dowolnych schematów URI na systemie ofiary.

W DedeCMS w wersji 5.7.118 odkryto podatność typu Cross-Site Request Forgery (CSRF) w pliku /sys_task_add.php. Ta luka może umożliwić atakującym wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika.