Katalog podatności CVE

W Frappe HR do wersji 16.15.0 wykryto podatność w funkcjach get_expense_claims/get_shift_requests/get_attendance_requests w pliku hrms/api/__init__.py (komponent Permission Validation). Manipulacja argumentem employee prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie; producent potwierdził, że problem został już naprawiony.

Wykryto podatność w October CMS do wersji 4.3.4. Dotyczy funkcji validateExternalImageHost w pliku System/Classes/ResizeImages.php w komponencie SSRF Protection. Manipulacja prowadzi do podatności Server-Side Request Forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Rozszerzenie Joomla regularlabs.com Tabs & Accordions (Pro) w wersjach 2.3.0 - 3.1.0 jest podatne na uprzywilejowany przechowywany XSS poprzez atrybuty data-rlta-url. Wtyczka akceptuje opcję url dla elementu i zapisuje ją w generowanym atrybucie data-rlta-url, który jest przekazywany do window.open() po aktywacji elementu. Podatne wersje nie odrzucają schematów URL przeglądarki wykonujących JavaScript.

Rozszerzenie Joomla regularlabs.com Modules Anywhere w wersjach 1.5.0 - 9.0.5 dla Joomla jest podatne na LFI / SSRF. Modules Anywhere Pro pozwala dodatkowym atrybutom na tagu modułu zastępować dowolne parametry wybranego modułu. Nadpisania są stosowane bez sprawdzania, kto jest autorem treści zawierającej tag. Efekt bezpieczeństwa zależy od tego, jak wybrany moduł wykorzystuje zastępowany parametr; moduł Feed Joomla otwiera parametr rssurl po stronie serwera i akceptuje lokalne adresy file: oraz adresy sieciowe.

W notionnext-org NotionNext do wersji 4.10.10 wykryto podatność w funkcji cleanCache w pliku pages/api/cache.js (komponent Authentication Guard). Manipulacja argumentem token prowadzi do braku uwierzytelnienia. W wersjach 4.1.0 - 4.9.5.2 możliwe jest wykorzystanie bez uwierzytelnienia z powodu braku sprawdzenia metody; w wersjach 4.9.5.7 - 4.10.10 zabezpieczenie istnieje, ale działa tylko gdy ustawiono CACHE_REVALIDATION_TOKEN, więc domyślne wdrożenia pozostają niechronione. Producent nie odpowiedział na zgłoszenie.

W Cesanta Mongoose do wersji 7.21 zidentyfikowano słabość w funkcji fn w pliku tutorials/mqtt/mqtt-server/main.c (komponent MQTT Broker). Manipulacja prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 7.22 (patch a9df523f76f43a38bd53b4232b9cfd4c16869e71) rozwiązuje problem.

W urządzeniu Netcore NBR200V2 w wersji 1.3.241127.071246 wykryto lukę w funkcji system w pliku /usr/bin/network_tools, w komponencie obsługi narzędzia Ping. Manipulacja argumentem url prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W Google fuse-archive przed wersją 1.24 atakujący, który może dodać katalog do PATH lub umieścić złośliwy plik binarny w katalogu kontrolowanym przez atakującego lub zapisywalnym, może przejąć ścieżkę wykonywania. Pozwala to na wykonanie dowolnego kodu lokalnego w kontekście bezpieczeństwa użytkownika uruchamiającego proces fuse-archive. Problem został częściowo złagodzony w wersji 1.22 i w pełni rozwiązany w 1.24.

Podatność w Netcore NBR200V2 1.3.241127.071246 w funkcji eval pliku /www/cgi-bin/network_tools interfejsu zarządzania siecią. Manipulacja argumentem QUERY_STRING prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak możliwy zdalnie, exploit publicznie dostępny.

Podatność w Netcore NBR100V2 1.3.240614.030928 w funkcji uci.apply pliku /usr/share/rpcd/acl.d/unauthenticated.json komponentu ACL Handler. Manipulacja argumentem section prowadzi do braku autoryzacji. Atak możliwy zdalnie, exploit publicznie ujawniony.

Podatność w OctoberCMS do wersji 4.1.19/4.2.25/4.3.4 w funkcji getSourcePathForResize pliku modules/system/classes/ResizeImages.php. Manipulacja argumentem realSourcePath prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak możliwy zdalnie, exploit publiczny. Aktualizacja do wersji 4.3.5 lub 4.4.0 rozwiązuje problem.

Podatność w Eyeplus 57.0.0.0308 w nieznanej funkcji komponentu p2pcam HTTP Parser. Manipulacja prowadzi do przepełnienia bufora na stosie. Atak możliwy zdalnie, exploit publicznie ujawniony.

W Eyeplus 57.0.0.0308 w usłudze p2pcam w pliku /snapshot występuje nieznana funkcja, która prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.

W Eyeplus 57.0.0.0308 funkcja GetUsers w pliku /onvif/Device komponentu ONVIF prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty.

W projekcie mini-inventory-and-sales-management-system wykryto podatność na cross-site scripting (XSS) w pliku application/controllers/Items.php. Manipulacja argumentem itemName umożliwia zdalny atak. Exploit jest publicznie dostępny.

W GEOritm do wersji 2.45.1 w pliku /restapi/objects/obj-groups komponentu REST API manipulacja argumentem objectId prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Aktualizacja do wersji 2.46 łagodzi problem.

Podatność w Barco ClickShare CX-20 Gen2 do wersji 02.26.00.0007 dotyczy nieznanej funkcjonalności pliku /wallpaper w komponencie Wallpaper Upload. Manipulacja argumentem wallpaper powoduje nieprawidłową walidację poprawności składniowej danych wejściowych. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

Podatność w athlon1600 youtube-downloader do wersji 4.0.1 w funkcji stream pliku public/stream.php. Manipulacja argumentem url prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak możliwy zdalnie, exploit publiczny. Poprawka 6ffe823 nie ogranicza hosta docelowego.

W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja updateJiraProjects w pliku /jira-import komponentu Jira Import prowadzi do podrobienia żądania po stronie serwera (SSRF) poprzez manipulację argumentami host/username/token. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.

W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/MonthlyReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.