Katalog podatności CVE

Heym przed wersją 0.0.53 nie weryfikuje nagłówka X-Telegram-Bot-Api-Secret-Token na punktach końcowych webhooków Telegrama, gdy credential_id jest nieobecne lub secret_token jest pusty. Zdalni nieuwierzytelnieni atakujący mogą wysyłać sfałszowane aktualizacje Telegrama, aby wyzwalać przepływy pracy z skonfigurowanymi poświadczeniami właściciela i wykonywać akcje na danych dostarczonych przez atakującego.

Heym przed wersją 0.0.53 nie weryfikuje podpisów żądań Slacka, gdy węzły wyzwalające nie mają identyfikatorów poświadczeń lub mają puste sekrety podpisywania. Zdalni nieuwierzytelnieni atakujący mogą wysyłać sfałszowane zdarzenia Slacka na znane adresy URL webhooków, aby wyzwalać przepływy pracy z poświadczeniami właściciela.

Parse Server w wersjach >= 9.0.0 < 9.10.1-alpha.10 i >= 8.0.2 < 8.6.91 nie weryfikuje kodu autoryzacyjnego u dostawcy zewnętrznego podczas logowania z nazwą użytkownika i hasłem, gdy używane są adaptery uwierzytelniania oparte na kodzie (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo). Umożliwia to uwierzytelnionemu użytkownikowi o niskich uprawnieniach dołączenie dowolnej, niezweryfikowanej tożsamości dostawcy do swojego konta, a także przejęcie konta ofiary, która później zaloguje się przez tego dostawcę. Problem został naprawiony w wersjach 9.10.1-alpha.10 i 8.6.91.

Funkcjonalność odzyskiwania konta (reset hasła) w aplikacji vulnerability-lookup zawiera wyścig TOCTOU w konsumpcji jednorazowych tokenów odzyskiwania. Dwa równoczesne żądania HTTP z tym samym ważnym tokenem mogą przejść weryfikację przed zatwierdzeniem transakcji, co pozwala obu ustawić własne hasło na koncie docelowym. Dodatkowo, w tym samym punkcie końcowym (confirm_account) ważny link odzyskiwania może być użyty do ustawienia pustego lub bardzo krótkiego hasła (np. trzy znaki), ponieważ walidacja formularza nie jest wywoływana.

KitchenOwl do wersji 0.7.10 nie weryfikuje, czy identyfikatory kategorii należą do gospodarstwa domowego wywołującego w operacjach wydatków i pozycji. Uwierzytelnieni atakujący mogą enumerować identyfikatory kategorii z innych gospodarstw, aby odczytać ich nazwy kategorii, budżety i kolory, łamiąc izolację gospodarstw.

Navi do wersji 2.24.0 niepoprawnie escapuje wartości zmiennych cheatsheet przy podstawianiu ich do poleceń powłoki. Atakujący mogą wstrzyknąć metaznaki powłoki przez spreparowane nazwy plików w katalogach poleceń sugestii, aby wykonać dowolne polecenia z uprawnieniami ofiary.

Sylius przed wersjami 2.1.16 i 2.2.9 nie waliduje kwot płatności podczas przeliczania koszyka, co pozwala nieuwierzytelnionym atakującym zmodyfikować sumę zamówienia po inicjacji transakcji bramki płatniczej. Atakujący mogą zapłacić małą kwotę, powiększyć zamówienie po przechwyceniu przez bramkę, a system oznaczy zawyżone zamówienie jako w pełni opłacone, podczas gdy bramka przechwyciła tylko pierwotną kwotę.

Sylius przed wersjami 1.12.25, 1.13.17, 1.14.20, 2.1.16 i 2.2.9 nie uwzględnia identyfikacji zapory w tokenach JWT wydawanych przez osobne punkty końcowe API Admin i Shop. Atakujący mogą zarejestrować konto klienta sklepu używając adresu e-mail administratora i uzyskać token, który API Admin rozpoznaje jako administratora, dając pełny dostęp administracyjny.

Sylius przed wersjami 1.12.25, 1.13.17, 1.14.20, 2.1.16 i 2.2.9 buduje linki do resetowania hasła administratora używając nagłówka Host żądania bez walidacji, co pozwala nieuwierzytelnionym atakującym przekierować tokeny resetowania na domeny kontrolowane przez atakującego. Atakujący mogą żądać resetów haseł dla znanych adresów e-mail administratorów z sfałszowanymi nagłówkami Host, aby przechwycić ważne tokeny i przejąć konta administratorów.

Wersje Sylius przed 2.1.16 i 2.2.9 nie ograniczają akcji żądań płatności w punkcie końcowym Shop API, umożliwiając klientom wywoływanie zwrotów dla zakończonych zamówień. Atakujący posiadający tokeny zamówień mogą wysyłać dowolne akcje płatności, takie jak zwroty, które bramki płatności wykonują, podczas gdy Sylius nadal traktuje zamówienie jako opłacone.

Penpot przed 2.18.0 wiąże mostek WebSocket wtyczki serwera MCP ze wszystkimi interfejsami sieciowymi bez uwierzytelniania w trybie jednoużytkownikowym. Nieuwierzytelnieni atakujący w sieciach sąsiednich mogą połączyć się z portem WebSocket, podszyć się pod wtyczkę przeglądarki Penpot, przechwycić ładunki zadań i zwrócić sfałszowane wyniki do klienta MCP.

spaceship-prompt do wersji 4.22.5 nie usuwa znaków kontrolnych z pól wersji manifestu projektu przed wyświetleniem ich w znaku zachęty zsh. Atakujący mogą osadzić sekwencje ucieczki ANSI/OSC w polach wersji manifestów pakietów, aby manipulować wyjściem terminala, zmieniać tytuły okien lub podszywać się pod wyświetlany tekst, gdy ofiary wejdą do katalogu.

onefetch do wersji 2.28.1 zapisuje wartości pól informacyjnych repozytorium do terminala bez usuwania znaków kontrolnych, co umożliwia wstrzyknięcie sekwencji ucieczki terminala. Atakujący mogą osadzić sekwencje ucieczki ANSI/OSC w polach wersji i nazwy manifestu projektu, aby manipulować wyjściem terminala, zmieniać tytuły okien, ukrywać tekst lub wywoływać zachowania specyficzne dla emulatora, gdy ofiary uruchamiają onefetch.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność Reflected XSS oraz otwarte przekierowanie. Parametr „return” jest dekodowany z base64 i zapisywany w linku „Back” bez walidacji.

Rozszerzenie Event Gallery dla Joomla przed wersją 6.5.0 zawiera podatność na uwierzytelnione usuwanie dowolnych ścieżek w zadaniu 'clear cache'. Używając parametru 'images' zadania 'cache.process', można rekurencyjnie usuwać dowolne katalogi, do których serwer WWW ma uprawnienia zapisu.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność CSRF w akcjach czyszczenia w panelu administracyjnym. Usuwane są tylko osierocone wpisy plików i koszyki starsze niż 30 dni.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność CSRF w różnych akcjach koszyka.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność CSRF w przesyłaniu obrazów. Z powodu braku sprawdzania tokena CSRF, witryna trzeciej strony może przesłać pliki do wydarzenia i nadpisać istniejące pliki o tej samej nazwie.

Podatność w wolfSSL powoduje pominięcie sprawdzania listy CRL dla certyfikatów bez adresu OCSP, gdy włączone jest jednocześnie sprawdzanie OCSP i CRL. W rezultacie certyfikat odwołany przez CRL może zostać zaakceptowany, a brak odpowiedzi OCSP jest traktowany jako odpowiedź pozytywna. Problem dotyczy wersji do 5.9.2 włącznie i jest osiągalny w TLS 1.0-1.3 oraz DTLS.