CVE-2022-37454

Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer dla WordPress jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 2.34.10 włącznie poprzez funkcję compressCustom. Brak walidacji typu pliku i filtrowania rozszerzeń na parametrze page_id w połączeniu z publicznie czytelnym nonce omijającym uwierzytelnianie umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.

W Znuny do wersji 7.3.6 atakujący może ominąć standardowe procedury logowania i uzyskać nieautoryzowany dostęp do wrażliwych funkcji systemu poprzez manipulację określonym nagłówkiem żądania HTTP. Aplikacja błędnie ufa temu nagłówkowi, umożliwiając podszycie się pod dowolnego użytkownika, w tym administratora, bez podawania hasła. Moduły HTTPBasicAuth dla agenta i klienta odczytują nazwę użytkownika nie tylko z $ENV{REMOTE_USER}, ale także z $ENV{HTTP_REMOTE_USER}, który jest wypełniany bezpośrednio z kontrolowanego przez atakującego nagłówka "Remote-User".

Wheels w wersjach od 1.1.8 do 4.1.1 pozwala na wstrzyknięcie SQL, gdy wartości w cudzysłowach dostarczone przez wywołującego są ponownie parsowane jako SQL przez dynamiczne findery (takie jak findOneByEmail), metody where(property, value) i where(property, operator, value) buildera zapytań, ścieżki wyszukiwania po kluczu string/UUID (findByKey, updateByKey, deleteByKey i findOrCreateBy...) oraz validatesUniquenessOf. Parser błędnie traktuje podwojony apostrof jako koniec literału. Aplikacje przekazujące dane żądania do tych API mogą narazić uwierzytelnianie, resetowanie hasła lub wyszukiwanie tokenów oraz dane na nieautoryzowany dostęp; wartości kolumn numerycznych nie są dotknięte.

Better Auth od wersji 1.4.0-beta.18 przed 1.7.7 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako inni użytkownicy poprzez ponowne użycie wartości stanu OAuth jako tokenów Magic Link. Atakujący może rozpocząć logowanie OAuth z adresem e-mail ofiary i przesłać zwrócony stan do weryfikacji Magic Link, uzyskując sesje lub tworząc fałszywie zweryfikowane konta e-mail.

Gdy używany jest domyślny certyfikat samopodpisany, atakujący może uzyskać dostęp administracyjny do aplikacji. Certyfikat SSL interfejsu webowego jest używany do podpisywania tokenów dostępu JWT służących do weryfikacji zalogowania użytkownika; przy domyślnym certyfikacie atakujący może podpisywać tokeny JWT i ominąć logowanie. Atakujący może uzyskać dostęp administracyjny i wykonywać czynności takie jak konfiguracja usługi lub żądanie zbierania logów; dane uwierzytelniające urządzeń i dane klientów nie są dostępne przez tę lukę.

Gdy funkcja resetowania hasła jest włączona i skonfigurowano e-mail, atakujący może przejąć dowolne konto za pomocą ataku brute-force. Brak ograniczenia liczby prób wprowadzenia kodu resetowania umożliwia brute-force wyzwania resetowania hasła. Atakujący może uzyskać dostęp administracyjny do aplikacji i wykonywać czynności takie jak konfiguracja usługi lub żądanie zbierania logów; dane uwierzytelniające urządzeń i dane klientów nie są dostępne przez tę lukę.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobrancas_geracao.php przyjmuje dane POST przez extract($_REQUEST) i wstawia je bezpośrednio do zapytania INSERT. Parametry numeryczne nie są walidowane ani ujmowane w cudzysłowy, a tekstowe można wykorzystać do wyjścia z kontekstu SQL. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane rozliczeniowe, dane członków, pracowników, uprawnienia i poświadczenia, a także usuwać tabele bazy danych.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobranca.php przyjmuje dane POST przez extract($_REQUEST) i wstawia parametry valor, valor_pago, id_pessoa, id_socio oraz id_sociotipo bezpośrednio do zapytań UPDATE, INSERT i SELECT bez przygotowanych zapytań. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane bazy WeGIA, w tym rekordy rozliczeniowe i poświadczenia. Ten sam dostęp SQL umożliwia usunięcie lub wyczyszczenie tabel, powodując utratę danych aplikacji.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.

W Stirling-PDF przed wersją 2.13.2 uwierzytelniony administrator korzystający z domyślnej bazy H2 i trybu bezpieczeństwa może przesłać spreparowany plik SQL do POST /api/v1/database/import-database. Funkcja DatabaseService.validateSqlContent() dzieli znormalizowane dane wejściowe po średnikach i akceptuje instrukcję, jeśli zawiera dowolne dozwolone słowo kluczowe, co pozwala na obejście niewystarczającej białej listy przez niebezpieczne funkcje H2, takie jak FILE_READ i CSVWRITE, oraz CREATE ALIAS, i wykonanie efektów ubocznych podczas przetwarzania pliku przez RUNSCRIPT. Umożliwia to dowolny dostęp do plików. Zademonstrowany łańcuch wykonania poleceń systemu operacyjnego zapisuje kontrolowane przez atakującego pliki startowe w lokalizacji użytkownika, a następnie uruchamia interpreter Pythona aplikacji skonfigurowany do ładowania tych plików, co skutkuje wykonaniem poleceń jako konto usługi JVM.