Katalog podatności CVE

W Tenda G0 do wersji 20260625 stwierdzono podatność w funkcji formSetPortMirror pliku /goform/module w komponencie httpd Web Management Interface. Manipulacja argumentem portMirrorMirroredPorts prowadzi do przepełnienia bufora na stosie. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W Tenda AC1206 w wersji 15.03.06.23_multi_TD01 stwierdzono podatność w funkcji set_wl_guest_iplist pliku /goform/WifiGuestSet w komponencie httpd web management interface. Manipulacja argumentem shareSpeed prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.

W Tenda AC1206 w wersji 15.03.06.23_multi_TD01 stwierdzono podatność w funkcji set_device_name pliku /goform/SetOnlineDevName w komponencie httpd web management interface. Manipulacja argumentem devName prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wtyczka W3 Total Cache dla WordPressa do wersji 2.10.3 włącznie jest podatna na trwały atak XSS przez nazwę autora komentarza z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Atak jest możliwy tylko gdy włączona jest funkcja Lazy Load Images, ponieważ niebezpieczne ponowne wyświetlenie występuje wyłącznie w kroku przepisywania tagów img w mutatorze LazyLoad.

W urządzeniu Baicells EG3661M z oprogramowaniem BaiCE_BQ6_2.0.5.3_NA stwierdzono podatność w interfejsie LuCI Web Interface, w pliku /cgi-bin/luci. Manipulacja argumentami MaxHops/Timeout/Size prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W platformie Raisecom Communication Command and Dispatch Management Platform do wersji 7.6.5 stwierdzono podatność na wstrzyknięcie SQL w pliku /app/users/getpwd.php. Manipulacja argumentem sip prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W systemie DTStack Taier 1.4.0 stwierdzono podatność na przechodzenie po ścieżkach (path traversal) w funkcji Paths.ge w pliku FileChunkController.java w komponencie Chunk-Check Endpoint. Manipulacja argumentem Name umożliwia dostęp do plików poza dozwolonym katalogiem. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W systemie dromara lamp-cloud do wersji 5.10.0 stwierdzono podatność na przechodzenie po ścieżkach (path traversal) w pliku FileChunkController.java w komponencie chunk-check endpoint. Manipulacja argumentem Name prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie Dromara lamp-cloud do wersji 5.10.0 stwierdzono podatność na przechodzenie po ścieżkach (path traversal) w pliku FileAnyoneController.java w komponencie File-Upload Controller. Manipulacja argumentami bucket/bizType prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W Model Context Protocol mcp-rdf-explorer 1.0.0 w funkcji explore_url pliku src/mcp-rdf-explorer/server.py występuje podatność na podrabianie żądań po stronie serwera (SSRF) poprzez manipulację argumentem url. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Producent nie odpowiedział na zgłoszenie.

OpenChoreo do wersji 1.2.0 zawiera podatność, w której autoryzacja dla komend i logów wirelogs używa parametru projektu dostarczonego przez wywołującego zamiast rzeczywistego właściciela komponentu. Użytkownik z uprawnieniami ograniczonymi do projektu może wykonywać komendy i czytać logi w komponentach innych projektów w tej samej przestrzeni nazw.

OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.0-rc.2 ma podatność w szablonach Workflow Plane, gdzie parametry kontrolowane przez programistę są interpolowane do kodu powłoki wykonywanego przez sh -c zamiast przekazywane przez container.env. Umożliwia to wykonanie dowolnych komend w podach workflow, a dotknięte szablony Podman nie miały hostUsers: false.

OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.1 ma podatność w backendzie Backstage, gdzie twardo zakodowano wyłączenie domyślnej polityki uwierzytelniania i zezwolono na dostęp gości poza środowiskiem deweloperskim. Skutkuje to brakiem uwierzytelnienia dla /api/*, umożliwiając nieuwierzytelniony odczyt katalogów, logów scaffolder oraz tworzenie lub usuwanie lokalizacji katalogów.

FreePBX od wersji 17.0.5.34 do 17.0.11 ma podatność w punkcie końcowym AJAX publicKeySave w Backup.class.php, który akceptuje klucz SSH administratora i dodaje go do authorized_keys bez wiarygodnego egzekwowania ograniczeń. Klucz daje trwały dostęp do powłoki z możliwością wykonywania dowolnych komend, dostępu do danych FreePBX i połączeń, modyfikacji plików systemowych i zakłócania usług.

FreePBX od wersji 17.0.1 do 17.0.7 ma podatność w module Music on Hold, która pozwala na niebezpieczne opcje wiersza poleceń dla /usr/bin/mpg123 i innych dozwolonych odtwarzaczy. Administrator może użyć opcji zapisujących pliki, otwierających kanały kontrolne lub tworzących pliki połączeń Asterisk, co prowadzi do wykonania dowolnych komend jako użytkownik asterisk.

FreePBX przed wersjami 16.0.47 i 17.0.30 ma podatność w module Framework, która pozwala na przywrócenie ukrytego ustawienia AUTHTYPE z wartością none przez spreparowaną kopię zapasową. Uwierzytelniony użytkownik z uprawnieniami do przywracania kopii zapasowych może wyłączyć uwierzytelnianie FreePBX podczas przywracania, omijając usuwanie AUTHTYPE=none w interfejsie.

FreePBX przed wersjami 16.0.6 i 17.0.5.4 ma podatność w module Text-To-Speech, która pozwala administratorowi zapisać nazwę miejsca docelowego TTS, która jest kodowana HTML, dekodowana podczas generowania dialplanu, przekazywana jako argument AGI i używana do budowy nazw plików w agi-bin/propolys-tts.agi. Nazwa docelowa trafia do surowego wykonania poleceń powłoki, umożliwiając wykonanie dowolnych komend systemowych jako użytkownik asterisk.

Trigger.dev od wersji 4.4.2 do 4.5.0 ma podatność w trasach presign pakietów, gdzie nazwa pliku kontrolowana przez wywołującego jest przekazywana do generowania presigned URL, umożliwiając trawersację katalogów i dostęp do payloadów zadań innych organizacji. Klucz API projektu może odczytać lub nadpisać dane innych organizacji w środowiskach self-hosted.

Trigger.dev od wersji 4.4.2 do 4.5.0-rc.5 ma podatność w Aws4FetchClient.buildUrl() i presign(), gdzie klucze pakietów kontrolowane przez użytkownika są przypisywane do URL.pathname, a trasa akceptuje parametry bez odrzucania segmentów kropek i bez walidacji własności zasobów. Normalizacja ścieżki WHATWG usuwa segmenty .. przed podpisaniem, umożliwiając uzyskanie presigned URL dla kluczy innego dzierżawcy i odczyt lub nadpisanie payloadów zadań.

JupyterLab od wersji 3.3.0 do 4.5.10 i 4.6.2 ma podatność w ustawieniach notebooka, gdzie ustawienia sideBySideLeftMarginOverride i sideBySideRightMarginOverride nie są poprawnie walidowane przed wstawieniem do stylu. Spreparowany plik overrides.json może zawierać instrukcje wykonywane jako kod, a zaimportowanie go lub automatyczne zastosowanie przez atakującego może prowadzić do wykonania kodu z uprawnieniami użytkownika.