Katalog podatności CVE

Podatność w Kibanie umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Uwierzytelniony użytkownik z uprawnieniami do funkcji Timeline w przestrzeni Kibany może wyliczać, odczytywać, modyfikować i usuwać wersje robocze obiektów Timeline należących do innych użytkowników w tej samej przestrzeni. Do wyliczenia i ujawnienia wystarczy dostęp tylko do odczytu, a do modyfikacji i usunięcia wymagane jest uprawnienie zapisu do Timeline.

Wtyczka Ultra Addons for Contact Form 7 dla WordPress jest podatna na dowolne przesyłanie plików z powodu niewystarczającej walidacji typu pliku w funkcji 'uacf7_wpcf7_mail_components' we wszystkich wersjach do 3.5.50 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny, co może umożliwić zdalne wykonanie kodu. Uwaga: jest to możliwe do wykorzystania tylko wtedy, gdy moduł PDF Generator wtyczki jest włączony, co jest domyślnie wyłączone.

Wtyczka miniOrange OTP Login, Verification and SMS Notifications dla WordPress jest podatna na obejście uwierzytelniania poprzez parametr mo_wp_login_intent we wszystkich wersjach do 5.5.5 włącznie. Wynika to z braku zabezpieczenia hasła w gałęzi konfiguracji skip_pass_fallback funkcji mo_by_pass_login(), która traktuje samo członkostwo w roli administratora jako wystarczające uwierzytelnienie, gdy nieuwierzytelniony, niezweryfikowany parametr POST mo_wp_login_intent zostanie przesłany z wartością otp, powodując pominięcie wp_authenticate_username_password() przez mo_get_user() i rozwiązanie WP_User wyłącznie na podstawie nazwy użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolne istniejące konto administratora poprzez podanie znanej nazwy użytkownika i pustego hasła wraz z mo_wp_login_intent=otp, bez wymogu weryfikacji hasła lub OTP. Wykorzystanie jest warunkowe: administrator witryny musi jednocześnie włączyć następujące opcje wtyczki: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password oraz Admin OTP Bypass.

Wtyczka Groups – Memberships and Access Control dla WordPressa w wersjach do 4.6.0 włącznie jest podatna na eskalację uprawnień. Funkcja groups_join() wyznacza uprawnienia do dołączenia do grupy na podstawie uprawnień autora posta (global $post->post_author), a nie zalogowanego użytkownika, jednocześnie generując ważny hash i nonce. Uwierzytelniony atakujący z poziomem Subscriber może zapisać się do dowolnej grupy, w tym uprzywilejowanej, i ostatecznie uzyskać uprawnienia Administratora.

Rozszerzenie Joomla UP (lomart.fr) w wersjach 5.0.0-5.2.0 oraz 6.0.0-6.0.29 zawiera podatność umożliwiającą nieuwierzytelnione zdalne zainstalowanie kodu. Osoba atakująca bez logowania może doprowadzić do instalacji złośliwego kodu w aplikacji.

Rozszerzenie UP plugin (wersje 5.0.0-5.2.0 oraz 6.0.0-6.0.29) dla Joomla zawiera wiele wektorów wstrzykiwania SQL. Podatność umożliwia atakującemu manipulowanie zapytaniami do bazy danych, co może prowadzić do nieautoryzowanego dostępu do danych.

Rozszerzenie Joomla UP (lomart.fr) w wersjach 5.0.0-5.2.0 oraz 6.0.0-6.0.29 zawiera różne wektory path traversal i dostępu do plików. Osoba atakująca może uzyskać dostęp do plików poza zamierzonym katalogiem.

Rozszerzenie Joomla UP (lomart.fr) w wersjach 5.0.0-5.2.0 oraz 6.0.0-6.0.29 zawiera podatność na wstrzyknięcie poleceń PHP przez uwierzytelnionego użytkownika z uprawnieniami. Osoba atakująca z odpowiednimi uprawnieniami może wykonać dowolne polecenia PHP.

Rozszerzenie Joomla AcyMailing Enterprise w wersjach poniżej 11.1.0 zawiera podatność umożliwiającą zdalne wykonanie kodu w funkcji obsługi skrzynki pocztowej. Części MIME przychodzących wiadomości były zapisywane do katalogu media/com_acym/upload/ bez sprawdzania rozszerzenia, więc każdy, kto mógł wysłać e-mail na monitorowaną skrzynkę, mógł zapisać plik PHP w katalogu głównym witryny.

Rozszerzenie AcyMailing Enterprise (wersje < 11.1.0) dla Joomla zawiera podatność na nieuwierzytelnione usuwanie dowolnych plików. Subskrybent może przechowywać ścieżkę w polu niestandardowym typu plik i spowodować usunięcie tego pliku przez AcyMailing po wyczyszczeniu pola, w tym plików poza folderem upload, takich jak configuration.php.

Rozszerzenie Joomla YouTube Gallery (joomlaboat.com) w wersjach poniżej 5.7.3 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL w funkcji wyszukiwania i sortowania filmów. Osoba atakująca może wstrzyknąć polecenia SQL do zapytań odczytu.

Froxlor 2.0.0 do 2.3.10 jest podatny na przechowywany cross-site scripting. Gdy klient (najniżej uprzywilejowana rola) przesyła certyfikat SSL dla własnej domeny, metody add()/update() API Certificates parsują go funkcją openssl_x509_parse() i przechowują wartość issuer organization bez sanityzacji. Renderer tabel Froxlor emituje komórki skalarne przez filtr `raw` Twig, wyłączając automatyczne escapowanie HTML, więc gdy administrator lub reseller otworzy Domeny > Certyfikaty SSL, wartość issuer dostarczona przez atakującego wykonuje się jako skrypt w sesji uprzywilejowanego użytkownika. Problem przekracza granicę uprawnień od klienta do administratora i może prowadzić do pełnego przejęcia konta administratora; ponieważ administrator Froxlor kontroluje serwer WWW, DNS i konfigurację PHP stosowaną przez cron działający jako root, problem może być dalej eskalowany do wykonania poleceń jako root na zarządzanym serwerze. Problem naprawiono w Froxlor 2.3.12.

Podatność ujawnienia poświadczeń w Froxlor przed wersją 2.3.12 w komendzie API DirProtections.listing, która zwraca hashe haseł htpasswd. Uwierzytelnieni użytkownicy API mogą pobrać hashe bcrypt haseł użytkowników katalogów chronionych, co umożliwia ataki offline i ujawnienie ponownie użytych poświadczeń.

Froxlor do wersji 2.3.10 nie egzekwuje polityki mail.allow_external_domains w poleceniu API EmailSender.add. Gdy administrator włączył funkcję dozwolonych nadawców, ale wyłączył zewnętrzne domeny (mail.enable_allow_sender = 1, mail.allow_external_domains = 0), uwierzytelniony klient z dostępem do API może nadal użyć EmailSender.add do zarejestrowania dowolnego zewnętrznego adresu nadawcy dla swojej skrzynki, który jest przechowywany mimo polityki. Tworzy to obejście między konfiguracją UI/administratora a API i — tam gdzie wygenerowana konfiguracja poczty korzysta z tabeli dozwolonych nadawców — umożliwia klientowi autoryzację tożsamości nadawcy spoza hostowanych domen, ułatwiając podszywanie się pod nadawcę. Naprawiono w wersji 2.3.12.

Froxlor w wersjach 2.3.10 i wcześniejszych zawiera niekompletną poprawkę podatności GHSA-c3p2 — funkcja Validate::validateUrl odrzuca znaki CR/LF tylko w ścieżce, zapytaniu i fragmencie, a nie sprawdza części userinfo (user:pass@). Uwierzytelniony klient z uprawnieniami do tworzenia subdomen może podać adres URL przekierowania subdomeny z ładunkiem CR/LF w części userinfo, który przechodzi walidację i jest zapisywany dosłownie w konfiguracji vhost nginx lub Apache. Froxlor regeneruje i przeładowuje konfigurację jako root, więc wstrzyknięte dyrektywy działają w całym serwerze.

Froxlor w wersjach 2.3.10 i wcześniejszych zawiera niekompletną poprawkę podatności GHSA-75h4-... — cron eksportu danych klienta (DataDump) nie waliduje pośrednich komponentów ścieżki docelowej. Funkcja Froxlor\FileDir::makeCorrectDir() ma błąd off-by-one w przechodzeniu komponentów ścieżki, pomijając pierwszy segment poniżej katalogu domowego klienta, a zabezpieczenie w ExportCron.php sprawdza tylko ostatni komponent przez is_link(). Uwierzytelniony klient z włączonym eksportem może zaplanować eksport do podkatalogu swojego webspace, a następnie zastąpić pośredni komponent ścieżki dowiązaniem symbolicznym przed uruchomieniem crona jako root. Wtedy 'chown -R' rekurencyjnie zmienia właściciela drzewa katalogów (np. /etc) na UID klienta, co prowadzi do przejęcia uprawnień roota i kompromitacji między dzierżawcami.

Froxlor w wersjach do 2.3.10 jest podatny na dowolne usuwanie plików poprzez podążanie za dowiązaniami symbolicznymi w zadaniu cron usuwania danych FTP. Zadanie cron 8 (deleteFtpData), kolejkowane przy usuwaniu konta FTP, wywołuje FileDir::makeCorrectDir() bez argumentu $fixed_homedir, więc przechodzenie komponentów ścieżki jest pomijane, a następnie wykonuje 'rm -rf' jako root na wynikowej ścieżce z jedynie tekstowymi zabezpieczeniami. Ponieważ makeCorrectDir() dodaje końcowy ukośnik, GNU rm podąża za dowiązaniem symbolicznym użytym jako pośredni lub końcowy komponent ścieżki. Uwierzytelniony klient mogący zapisywać w katalogu domowym FTP może umieścić dowiązanie symboliczne między wstawieniem zadania a wykonaniem crona, powodując rekurencyjne usunięcie dowolnych drzew katalogów przez zadanie roota.

Froxlor w wersjach przed 2.3.12 nie ogranicza ani nie escapuje ustawienia system.letsencryptchallengepath — w przeciwieństwie do innych ustawień wzmocnionych w GHSA-33mp, pole nie ma zabezpieczenia string_regexp ani required_otp, a jego wartość jest dołączana bez escapowania do wiersza poleceń acme.sh budowanego w lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php i wykonywanego przez cron roota przez FileDir::safe_exec. Ponieważ safe_exec blokuje tylko metaznaki powłoki takie jak ; | & > < \ $ ~ ?, spacje i cudzysłowy przechodzą, a wartość jest dzielona na dodatkowe argumenty acme.sh. Administrator lub dowolny podmiot mogący zapisywać ustawienia (np. przez API importu ustawień) może wstrzyknąć opcje acme.sh takie jak --renew-hook, --pre-hook lub --post-hook, aby uzyskać wykonanie dowolnych poleceń jako root przy następnym uruchomieniu crona Let's Encrypt, albo użyć --config-home/--cert-home do zapisu dowolnych plików.

Froxlor 2.3.10 i wcześniejsze zawierają wyścig TOCTOU w synchronizacji kluczy SSH (lib/Froxlor/Cron/System/SshKeys.php, SshKeys::generateFiles). Walidacja zawartości/symlinków wykonywana przez FileDir::makeCorrectDir()/makeCorrectFile() jest tylko w czasie sprawdzenia; ścieżka pliku jest ponownie rozwiązywana jako root w czasie zapisu, bez przypinania ścieżki lub deskryptora pliku. Na instalacjach z włączonym system.allow_customer_shell=1, klient może podmienić swój katalog ~/.ssh na symlink po sprawdzeniu, co powoduje, że cron działający jako root dopisuje klucz publiczny klienta do /root/.ssh/authorized_keys i zmienia właściciela /root/.ssh na klienta, prowadząc do pełnego przejęcia hosta panelu. Naprawiono w Froxlor 2.3.12.

Froxlor do wersji 2.3.10 wyłącza dwuskładnikowe uwierzytelnianie (2FA) użytkownika natychmiast po nieuwierzytelnionym żądaniu GET do strony zarządzania 2FA (np. /customer_index.php?page=2fa&action=delete), bez potwierdzenia, ponownego uwierzytelnienia ani tokena CSRF. Globalny middleware CSRF obejmuje tylko żądania POST/PUT/PATCH/DELETE, a ciasteczko sesji ma SameSite=Lax, więc nawigacja między witrynami (kliknięcie linku lub przekierowanie) przenosi sesję ofiary i cicho czyści type_2fa/data_2fa. Dotyczy to zarówno handlerów 2FA klienta, jak i administratora. Atakujący, który zwabi zalogowanego użytkownika panelu do kliknięcia spreparowanego linku, redukuje konto do uwierzytelniania tylko hasłem, co można połączyć z przejętym hasłem do przejęcia konta. Naprawione w 2.3.12.