CVE-2025-4962
WysokieStreszczenie
Zidentyfikowano podatność typu Insecure Direct Object Reference (IDOR) w punkcie końcowym `POST /v1/templates` API Lunary, dotycząca wersji do 0.8.8. Umożliwia ona uwierzytelnionym użytkownikom tworzenie szablonów w projektach innych użytkowników poprzez zmianę parametru zapytania `projectId`.
Ocena ryzyka
Brak walidacji po stronie serwera pozwala na nieautoryzowany dostęp do projektów innych użytkowników, co może prowadzić do nieautoryzowanego tworzenia lub modyfikacji danych. To stwarza poważne ryzyko dla integralności danych w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.9.23, która naprawia tę podatność. Dodatkowo, warto wdrożyć odpowiednie mechanizmy walidacji po stronie serwera dla parametrów zapytań.
Powiązane podatności
- CVE-2026-96759Krytyczne
orval przed wersją 8.29.0 nie escapuje parametru operationId podczas emitowania go do wygenerowanych obiektów metadanych opcji mutatorów TanStack Query. Atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez spreparowany operationId w specyfikacji OpenAPI, który wykonuje się podczas wywoływania wygenerowanych hooków.
- CVE-2026-96758Krytyczne
orval @orval/core przed wersją 8.28.0 zawiera podatność na wstrzyknięcie kodu w serializerze form-data, który nie escapuje nazw właściwości multipart w wygenerowanych literałach szablonów. Atakujący mogą wstrzyknąć wyrażenia ${...} do nazw właściwości schematu OpenAPI, które wykonują się jako żywa interpolacja podczas budowania przez wygenerowany klient treści FormData z uprawnieniami procesu konsumenta.
- CVE-2026-96757Krytyczne
orval przed wersją 8.29.0 nie escapuje kluczy typów mediów OpenAPI podczas emitowania ich do literałów łańcuchowych Content-Type w pojedynczych cudzysłowach w wygenerowanym kodzie. Atakujący mogą wstrzyknąć JavaScript poprzez spreparowane klucze typów mediów w specyfikacjach OpenAPI, który wykonuje się podczas wywoływania wygenerowanych operacji fetch lub resolverów mock.
- CVE-2026-96755Krytyczne
orval w wersjach od 8.14.0 do 8.28.1 zawiera podatność na wstrzyknięcie kodu w generatorze @orval/effect, który konwertuje domyślne wartości schematu OpenAPI na literały szablonów. Atakujący mogą wstrzyknąć dowolne wyrażenia JavaScript poprzez domyślne wartości schematu zawierające składnię ${...}, które są wykonywane w zakresie modułu podczas budowania lub importowania wygenerowanego kodu.
- CVE-2026-96754Krytyczne
orval w wersjach przed 8.29.0 zawiera podatność na wstrzyknięcie kodu w generatorze @orval/hono, który nie escapuje wartości ścieżek OpenAPI w literałach tras w pojedynczych cudzysłowach. Atakujący mogą spreparować dokument OpenAPI z apostrofem w statycznym segmencie ścieżki, aby wstrzyknąć dowolny kod JavaScript, który wykonuje się podczas importowania wygenerowanego modułu TypeScript.
- CVE-2026-95848Krytyczne
Moquette to lekki broker MQTT napisany w Javie. Przed wersją 0.18.1, gdy skonfigurowana klasa uwierzytelniająca lub autoryzująca nie może zostać załadowana, Server.initializeAuthenticator i Server.initializeAuthorizatorPolicy traktują błąd tak, jakby nie skonfigurowano żadnej klasy niestandardowej i wracają do AcceptAllAuthenticator lub PermitAllAuthorizatorPolicy. Błędnie napisana nazwa klasy, brakująca zależność, błąd konstruktora lub problem ze ścieżką klas może zatem uruchomić brokera z wyłączonym uwierzytelnianiem lub autoryzacją, nawet jeśli operator skonfigurował te zabezpieczenia. Problem został naprawiony w wersji 0.18.1.
- CVE-2026-85724Krytyczne
Moquette to lekki broker MQTT w Javie. Przed wersją 0.18.1, gdy skonfigurowano reguły ACL oparte na wzorcach, AuthorizationsCollector.canDoOperation podstawia identyfikator klienta i nazwę użytkownika bezpośrednio do reguł zawierających %c lub %u, a następnie traktuje wynik jako filtr tematu MQTT. Klient używający + lub # w którejkolwiek z tych wartości może rozszerzyć podstawiony filtr i uzyskać dostęp do odczytu i zapisu między dzierżawami. Tożsamość z # może również wygenerować nieprawidłowy filtr, który powoduje wyjątek NullPointerException w Topic.match i zakłóca przetwarzanie sesji. Problem został naprawiony w wersji 0.18.1.
- CVE-2026-18872Krytyczne
IBM Financial Transaction Manager (FTM) dla RedHat OpenShift jest podatny na trwały cross-site scripting (CWE-79) w komponencie React NetworkAcknowledgement (NetworkAcknowledgement.jsx:42). Złośliwy aktor może wstrzyknąć skrypt do przechowywanych danych potwierdzenia sieciowego, który wykonuje się w przeglądarkach uwierzytelnionych operatorów, umożliwiając przejęcie sesji i nieautoryzowane działania płatnicze na poziomie operatora.
- CVE-2026-96276Krytyczne
Jeśli złośliwy kontener SDK deklaruje punkt rozszerzenia z spreparowaną ścieżką `directory`, a programista uruchomi `flatpak build-init --writable-sdk --sdk-extension` z tym SDK, pliki wybrane przez atakującego mogą zostać zapisane poza katalogiem roboczym, ponieważ ścieżka docelowa jest rozwiązywana przez funkcję, która pozwala na przejście `..`.
- CVE-2026-96560Krytyczne
LightLLM do wersji 1.2.0 zawiera podatność na zdalne wykonanie kodu w workerze KV-transfer, gdy jest uruchomiony z --pd_trans_mode nccl, co wystawia nieuwierzytelniony kanał kontrolny RPyC, który deserializuje dane dostarczone przez atakującego. Atakujący mogą wysyłać złośliwe obiekty pickle do wystawionego ThreadedServer RPyC, aby wykonać dowolny kod z uprawnieniami konta usługi LightLLM.
Oryginalny opis (angielski, źródło NVD)
An Insecure Direct Object Reference (IDOR) vulnerability was identified in the `POST /v1/templates` endpoint of the Lunary API, affecting versions up to 0.8.8. This vulnerability allows authenticated users to create templates in another user's project by altering the `projectId` query parameter. The root cause of this issue is the absence of server-side validation to ensure that the authenticated user owns the specified `projectId`. The vulnerability has been addressed in version 1.9.23.