CVE Vulnerability Catalog

Podatność w interfejsie administracyjnym Aimeos GraphQL API pozwala edytorowi na modyfikację i przejęcie konta administratora w zapleczu. Dotyczy to wersji od 2022.04.01 do 2022.10.10, 2023.10.6 oraz 2024.04.6, które naprawiają ten problem.

`yt-dlp` i `youtube-dl` to narzędzia do pobierania audio/wideo z linii poleceń. W wersjach przed poprawkami, nie ograniczały one rozszerzeń pobieranych plików, co mogło prowadzić do tworzenia dowolnych nazw plików w folderze pobierania oraz do ataków typu path traversal na systemach Windows.

GeoTools to otwartoźródłowa biblioteka Java, która oferuje narzędzia do danych geospatialnych. Przed wersjami 31.2, 30.4 i 29.6 istniała możliwość zdalnego wykonania kodu (RCE) w przypadku, gdy aplikacja korzystała z funkcji GeoTools do oceny wyrażeń XPath dostarczonych przez użytkownika.

Interfejs webowy w określonych okolicznościach akceptuje znaki, które nie są związane z oczekiwanym wejściem. Może to prowadzić do nieprzewidzianych zachowań aplikacji.

Usługi internetowe zarządzane przez Edito CMS w wersjach od 3.5 do 3.25 umożliwiają pobieranie plików konfiguracyjnych przez nieautoryzowanych użytkowników, co prowadzi do wycieku wrażliwych danych. Problem ten został usunięty w wersjach wydanych po 10 stycznia 2014 roku, a wyższe wersje nigdy nie były zagrożone.

Serwer WWW wykorzystuje podstawową autoryzację do logowania użytkowników do interfejsu konfiguracyjnego. Ponieważ szyfrowanie jest wyłączone na porcie 80, istnieje możliwość podsłuchiwania ruchu użytkowników, co umożliwia przechwycenie ich danych uwierzytelniających.

Sekcja zarządzania użytkownikami w aplikacji webowej pozwala na tworzenie kont użytkowników z nadmiernie słabymi hasłami, w tym hasłami składającymi się z pojedynczego znaku.

Podatność umożliwia atakującym pobieranie kodu źródłowego lub pliku wykonywalnego z zdalnej lokalizacji oraz jego uruchamianie bez wystarczającej weryfikacji pochodzenia i integralności kodu. Może to prowadzić do modyfikacji oprogramowania układowego przed jego załadowaniem do systemu.

Podatność umożliwia atakującym dostęp do konta root bez konieczności uwierzytelnienia. W szczególności, jeśli urządzenie jest skonfigurowane z adresem IP 10.10.10.10, użytkownik root jest automatycznie logowany.

Podatność umożliwia nieautoryzowany dostęp do funkcji, które są niewłaściwie ograniczone przez listy kontroli dostępu (ACL). Atakujący mogą wykorzystać tę lukę do nieautoryzowanego wykonywania poleceń, co może prowadzić do manipulacji danymi, dostępu do funkcji uprzywilejowanych lub nawet wykonania dowolnego kodu.

Niewystarczająca walidacja danych wejściowych naraża system na potencjalne ryzyko zdalnego wykonania kodu (RCE). Napastnicy mogą wykorzystać tę podatność, dodając polecenia powłoki do funkcji pomiaru prędkości, co umożliwia nieautoryzowane wykonanie kodu.

Wtyczka Email Subscribers by Icegram Express dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr db we wszystkich wersjach do 5.7.25 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka LA-Studio Element Kit dla Elementora w WordPressie jest podatna na atak Local File Inclusion we wszystkich wersjach do 1.3.8.1 włącznie, poprzez parametr 'map_style'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej do włączenia i wykonania dowolnych plików na serwerze.

Podatność związana z nieprawidłowymi domyślnymi uprawnieniami w Hitachi JP1/Extensible SNMP Agent dla systemu Windows umożliwia manipulację plikami. Problem ten dotyczy różnych wersji JP1/Extensible SNMP Agent oraz Job Management Partner1/Extensible SNMP Agent na Windows.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. Wersje przed 6.5.7 i 7.1.0 zawierają podatność na atak SQL injection, gdy Parse Server jest skonfigurowany do używania bazy danych PostgreSQL.

Podatność typu Cross Site Request Forgery (CSRF) w savignano S/Notify przed wersją 4.0.2 dla Confluence umożliwia atakującym manipulację certyfikatem S/MIME użytkownika lub kluczem PGP za pomocą złośliwego linku lub wiadomości e-mail.

Wersje Async do 2.6.4 oraz do 3.2.5 są podatne na atak ReDoS (Denial of Service z wykorzystaniem wyrażeń regularnych) podczas parsowania w funkcji autoinject. Dostawca kwestionuje tę podatność, twierdząc, że nie ma realistycznego modelu zagrożenia, ponieważ wyrażenia regularne nie są używane z niezaufanym wejściem.

W komponentach ControlCenter.sys/ControlCenter64.sys w ThundeRobot Control Center w wersji 2.0.0.10 występuje problem, który umożliwia atakującym dostęp do wrażliwych informacji, wykonanie dowolnego kodu lub eskalację uprawnień poprzez wysyłanie spreparowanych żądań IOCTL.

Podatność w gorilla/schema przed wersją 1.4.1 pozwala na ataki związane z alokacją pamięci podczas używania `schema.Decoder.Decode()` na strukturach zawierających pola typu `[]struct{...}`. Wykorzystanie funkcjonalności rzadkich slice'ów może prowadzić do wyczerpania pamięci.