Podatności OpenBoxes

Wykryto lukę bezpieczeństwa w OpenBoxes do wersji 0.9.1. Problem dotyczy funkcji DocumentController w pliku DocumentController.groovy, co prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 0.9.2 rozwiązuje problem.

W OpenBoxes do wersji 0.9.2 wykryto słabość w komponencie Product Supplier Edit Controller, w pliku RoleInterceptor.groovy. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W OpenBoxes do wersji 0.9.6 wykryto podatność w funkcji buildZebraTemplate w pliku DocumentController.groovy, prowadzącą do nieprawidłowej neutralizacji specjalnych elementów w silniku szablonów. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Aktualizacja do wersji 0.9.8-hotfix1 lub 0.9.8 rozwiązuje problem.

W OpenBoxes do wersji 0.9.7 wykryto podatność w komponencie Role Interceptor, w funkcji needManager pliku RoleInterceptor.groovy. Manipulacja może prowadzić do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W OpenBoxes do wersji 0.9.7 wykryto podatność w funkcji Upload pliku ProductController.groovy w komponencie Product Upload Endpoint. Manipulacja argumentem params.url prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.