Katalog podatności CVE

Rozszerzenie Mediawiki - Thanks Extension przed wersjami 1.43.10, 1.45.5 i 1.46.1 zawiera podatność typu Stored XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.

Wada w funkcji AgenticScopeSerializer.fromJson w komponencie LangChain4j-agentic powoduje problem z deserializacją. Atak zdalny jest możliwy, ale jego złożoność jest wysoka, a wykorzystanie trudne. Problem został naprawiony w wersjach 1.5.3-beta11, 1.11.10-beta19 i 1.18.1-beta28. Eksploit został opublikowany i może być użyty.

W projekcie sheshbabu zen do wersji 1.5.0 wykryto podatność typu cross-site scripting (XSS) w funkcji dangerouslySetInnerHTML w pliku features/notes/NotesEditor.jsx komponentu Note Editor. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Podatność w PostgreSQL Anonymizer pozwala nieuprzywilejowanym użytkownikom z rolą maskującą wielokrotnie wywoływać funkcję anon.hash() i zbierać pary (seed, hash_output) w celu przeprowadzenia ataku brute-force offline i odgadnięcia soli. Problem rozwiązano w wersji 3.2.3.

Rozszerzenie Mediawiki - Cargo do wersji 3.9.4 zawiera podatność typu Stored XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.

Przed wersjami 1.7.4 i 2.0.0-beta.4, dostawca OAuth Discord w FriendsOfFlarum nie weryfikuje pola 'verified' dla adresu e-mail przed przekazaniem go do rdzenia Flarum jako zaufanego. Umożliwia to nieuwierzytelnionemu atakującemu, znającemu adres e-mail ofiary, skonfigurowanie konta Discord z niezweryfikowanym adresem i zalogowanie się jako ofiara bez hasła.

W InvoicePlane w wersji 1.7.2-beta-1 wartość client_email jest przechowywana bez sprawdzania składni adresu e-mail i wyświetlana bez escape'owania wewnątrz atrybutów z podwójnymi cudzysłowami w formularzach mailerów. Administrator, który może edytować klienta, może zapisać dane łamiące atrybuty, a gdy mailer jest skonfigurowany, JavaScript wykonuje się po otwarciu strony mailera przez innego administratora. Problem naprawiono w wersji 1.7.2.

Przed wersją 1.7.2 w InvoicePlane kontroler User_Controller porównuje wartość user_type z sesji z wymaganą rolą za pomocą luźnego operatora nierówności PHP. W niestandardowym backendzie sesji, który zwraca niespodziewane typy skalarne, type juggling może spowodować, że wartość nie będąca ściśle wymaganą rolą przejdzie kontrolę autoryzacji. Problem naprawiono w wersji 1.7.2.

Przed wersją 1.7.2 w InvoicePlane metoda Users::change_password() przyjmuje user_id z URL i aktualizuje hasło tego konta bez autoryzacji na poziomie obiektu. Uwierzytelniony administrator drugorzędny może zmienić hasło konta administratora głównego bez znajomości obecnego hasła, a następnie przejąć konto i uzyskać jego dane oraz uprawnienia. Problem naprawiono w wersji 1.7.2.

Przed wersją 1.7.2 w InvoicePlane metoda Cron::recur() zapisuje nieprawidłowy klucz cron z adresu URL bezpośrednio do logu aplikacji bez neutralizacji znaków CRLF. Nieuwierzytelniony żądający może wstrzyknąć sfałszowane linie logów do ścieżki audytowej, co może zakłócić analizę kryminalistyczną i monitoring oparty na logach. Problem naprawiono w wersji 1.7.2.

Przed wersją 1.7.2 w InvoicePlane brakuje walidacji tokena CSRF w metodach usuwania, takich jak Payments::delete(), Recurring::delete() i User_clients::delete(). Mimo że trasy wymagają metody POST, nie sprawdzają tokena CSRF. Atakujący może wysłać formularz z innego origin przez przeglądarkę uwierzytelnionego administratora, aby usunąć dane finansowe i inne rekordy. Problem naprawiono w wersji 1.7.2.

Przed wersją 1.7.2 w InvoicePlane trasa Recurring::stop() jest dostępna przez GET i nie waliduje tokena CSRF. Gdy uwierzytelniony administrator załaduje treść kontrolowaną przez atakującego, która żąda /invoices/recurring/stop/{id}, aplikacja zatrzymuje wybraną fakturę cykliczną. Atakujący może celować w wiele identyfikatorów, przerywając cykliczne rozliczenia i powodując straty finansowe. Problem naprawiono w wersji 1.7.2.

W RabbitMQ w wersjach od 4.2.0 do 4.2.8 i 4.3.2 udane żądanie POST /login powodowało, że is_authorized/2 ustawiało ciasteczko autoryzacyjne zawierające zakodowane w base64 dane uwierzytelniające username:password bez zabezpieczeń HttpOnly, Secure, SameSite ani wygaśnięcia. Ponieważ base64 to kodowanie, a nie szyfrowanie, atakujący z XSS, dostępem do sieci lub lokalnym dostępem do przeglądarki może odzyskać rzeczywiste dane logowania.

W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.

Przed wersją 1.7.2 w InvoicePlane wartość custom_field_table jest przechowywana bez sprawdzania zgodności z dozwolonymi nazwami tabel pól niestandardowych. Metoda Mdl_custom_fields::used() później konkatenuje tę wartość w pozycje identyfikatorów tabeli i kolumny w zapytaniu, co powoduje wtórną iniekcję SQL po otwarciu formularza edycji pól niestandardowych. Iniekcja może odczytywać dowolne dane ze schematu i powodować błędy lub awarię usługi. Problem naprawiono w wersji 1.7.2.

W InvoicePlane przed wersją 1.7.2 metoda Invoices::generate_xml() dołącza pochodzący z bazy danych xml_id do katalogu pomocniczego XMLconfigs i włącza wynikową ścieżkę PHP bez walidacji identyfikatora. Atakujący z niskimi uprawnieniami, mogący wpłynąć na konfigurację e-faktury, może użyć sekwencji przejścia katalogów do włączenia istniejącego pliku PHP. Wykonanie kodu wymaga oddzielnego mechanizmu przesyłania lub zapisu plików.

W InvoicePlane przed wersją 1.7.2 metody Invoices::delete() i Invoices::delete_invoice_tax() są eksponowane jako trasy zmieniające stan bez wymogu POST i walidacji tokenu CSRF. Gdy uwierzytelniony administrator załaduje treść kontrolowaną przez atakującego, która wywoła odpowiednią trasę, aplikacja może usunąć fakturę lub rekord podatku. Akcja cross-origin może usunąć dane finansowe bez wiedzy administratora.

W Piwigo przed wersją 16.4.0 funkcja check_upgrade_access_rights() w admin/include/functions_upgrade.php escapuje nazwę użytkownika tylko warunkowo, gdy istnieje usunięta funkcja get_magic_quotes_gpc. W PHP 8 i późniejszych nieuwierzytelniona nazwa użytkownika jest konkatenowana bezpośrednio do zapytania SQL uwierzytelniającego aktualizację. Gdy aktualizacje bazy danych są oczekujące, spreparowany wynik zapytania może spełnić warunki statusu i hasła, ustawić PHPWG_IN_UPGRADE i autoryzować wykonanie aktualizacji bez ważnych poświadczeń administratora.

W Piwigo przed wersją 16.4.0 plik admin/element_set_ranks.php przechowuje kontrolowane przez administratora wartości image_order[] bez egzekwowania istniejącej białej listy pól sortowania. Zapisane wyrażenie image_order albumu jest później konkatenowane do klauzul ORDER BY przez admin/batch_manager_global.php, admin/batch_manager_unit.php, include/section_init.inc.php i include/ws_functions/pwg.categories.php. Gdy co najmniej jeden album zawiera co najmniej jedno zdjęcie, uwierzytelniony administrator może zapisać spreparowane wyrażenie i wywołać je w późniejszym zapytaniu albumu lub Batch Managera, aby ujawnić, zmodyfikować lub zakłócić dane w bazie danych.

W Piwigo przed wersją 16.4.0 plik admin/batch_manager.php przyjmuje kontrolowane przez administratora wartości szerokości, wysokości, proporcji oraz rozmiaru pliku z adresu URL filtra Batch Manager bez walidacji numerycznej. Wartości te są zapisywane w stanie sesji bulk_manager_filter i wstawiane do zapytań SQL, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie wyrażeń SQL. Podatność naprawiono w wersji 16.4.0.