Katalog podatności CVE

W produkcie NetGIS firmy Netcad Software Inc. wykryto podatność polegającą na nieprawidłowym ograniczeniu odwołań do zewnętrznych encji XML (XXE). Luka umożliwia atakującemu wykonanie zewnętrznego łącza danych seryjnych, co może prowadzić do ujawnienia poufnych informacji.

Podatność w systemie Proliz OBS umożliwia wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL). Problem dotyczy wersji przed 3.6.0.

W systemie Hospital Bed Management System 1.0 znaleziono podatność SQL injection w formularzu logowania. Atakujący może zdalnie manipulować polem nazwy użytkownika, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany i może być wykorzystany.

Wtyczka Dancer::Plugin::Auth::Google dla Perla przed wersją 0.08 ma wyłączoną weryfikację TLS. Domyślny agent użytkownika jest inicjalizowany z jawnie wyłączonym SSL_verify_mode. Atakujący z możliwością man-in-the-middle (MITM) między aplikacją Dancer a googleapis.com może przechwycić wymianę tokena OAuth2 i pobieranie danych użytkownika, zwrócić sfałszowany access_token i profil użytkownika, a następnie zalogować się do aplikacji jako dowolny użytkownik Google.

Podatność w bibliotece ZenHive mpp pozwala nieuwierzytelnionemu zdalnemu atakującemu na wyczerpanie portfela opłacającego opłaty w jednym żądaniu poprzez podanie dowolnie wysokiej ceny gazu. Biblioteka nie waliduje pól max_fee_per_gas i max_priority_fee_per_gas przed podpisaniem transakcji, co prowadzi do obciążenia portfela serwera zawyżonymi kosztami.

Podatność w bibliotece mpp (ZenHive) pozwala nieuwierzytelnionemu klientowi na zawyżenie kosztów gazu płaconych przez fee-payera poprzez dodanie dużej liczby wpisów do listy dostępu EIP-2930. Serwer podpisuje transakcję bez walidacji długości ani zawartości listy, co prowadzi do wielokrotnego wzrostu kosztów gazu.

Podatność w bibliotece mpp (ZenHive) pozwala nieuwierzytelnionemu zdalnemu klientowi na drenowanie portfela opłacającego opłaty (fee-payer) poprzez wysyłanie transakcji EVM z celowo zaniżonym limitem gazu. Powoduje to, że serwer współpodpisuje i rozgłasza transakcję, która kończy się niepowodzeniem z powodu braku gazu, ale portfel opłacający jest obciążany kosztami spalonego gazu, podczas gdy atakujący nie ponosi kosztów. W rezultacie dochodzi do odmowy usługi dla legalnych klientów, ponieważ portfel opłacający wyczerpuje środki.

W interfejsie webowym serwera Hashtopolis w komponencie aktywności fragmentów (chunk activity) przed wersją 0.14.8 występuje nieprawidłowa kontrola dostępu. Umożliwia to każdemu utworzonemu kontu odczyt wszystkich odszyfrowanych hashów z instancji serwera.

Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.3 nie weryfikuje, czy poziom członkostwa wybrany podczas publicznej rejestracji jest dozwolony przez formularz rejestracyjny. Umożliwia to niezautoryzowanym użytkownikom rejestrację do dowolnego opublikowanego poziomu członkostwa i uzyskanie przypisanej mu roli, włącznie z administratorem, jeśli taki poziom istnieje.

Wtyczka PhonePe Payment Solutions dla WordPressa przed wersją 3.1.0 nie weryfikuje poprawnie autentyczności przychodzących powiadomień o płatnościach. Sekret używany do walidacji podpisu callbacka jest pusty w witrynach skonfigurowanych przez obecny proces instalacji, przez co oczekiwany podpis sprowadza się do niekluczowanego hasha treści żądania, który każdy może obliczyć. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia o udanej płatności i oznaczenie nieopłaconych zamówień WooCommerce jako opłaconych bez dokonania płatności.

Sterownik ASUS AURA SYNC udostępnia funkcję IOCTL z niewystarczającą kontrolą dostępu, co pozwala lokalnemu użytkownikowi ominąć weryfikację sterownika i wywołać dowolne IOCTL, prowadząc do eskalacji uprawnień. Podatność ta jest nieobsługiwana (UNSUPPORTED WHEN ASSIGNED).

Wtyczka LearnPress dla WordPressa w wersjach do 4.4.1 włącznie zawiera podatność na ujawnienie wrażliwych informacji poprzez funkcję check_answer. Umożliwia ona nieuwierzytelnionym atakującym wyodrębnienie poprawnych odpowiedzi, pełnych list opcji, wyjaśnień oraz treści pytań dla dowolnego quizu na stronie, w tym pytań z płatnych kursów, do których atakujący nie ma dostępu.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.

Wtyczka Kali Forms dla WordPressa (wersje do 2.4.18) zawiera podatność na trwałe ataki XSS przez pole 'digitalSignature'. Brak odpowiedniej sanitacji wejścia i kodowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.0-rc.16 domyślnie ustawiała nagłówek Access-Control-Allow-Origin: * we wszystkich odpowiedziach, w tym w uwierzytelnionych punktach końcowych i odpowiedziach preflight (OPTIONS). Ponieważ wtyczka akceptuje poświadczenia przez nagłówki Authorization i X-API-Token (ustawiane programowo przez JavaScript, a nie przez ciasteczka), atakujący, który zdobędzie ważny token dostępu (np. przez wyciek logów, nagłówki Referer, historię przeglądarki lub przechwycenie sieci), może wysyłać w pełni uwierzytelnione żądania międzyoriginowe z dowolnej złośliwej strony, aby odczytać wrażliwe dane i wykonać operacje zapisu jako użytkownik tokena.

Podatność w Grav API plugin przed wersją 1.0.0-rc.16. Tokeny JWT są akceptowane przez parametr URL ?token=, co powoduje ich logowanie w logach serwera, wyciek przez nagłówek Referer, przechowywanie w historii przeglądarki i logach proxy/CDN. Wyciek tokena umożliwia nieautoryzowany dostęp API, w tym odczyt konfiguracji i danych użytkowników, tworzenie kont admina, modyfikację ustawień systemowych i usuwanie stron.

OpenRemote przed wersją 1.26.0 zawiera uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym eksportu tabeli przestawnej datapoint. Podatność ta wynika z konkatenacji nazw wyświetlanych zasobów bezpośrednio w zapytaniach PostgreSQL, co umożliwia atakującemu z uprawnieniami do tworzenia lub zmiany nazw zasobów wstrzyknięcie złośliwego kodu SQL.

Podatność w Grav przed wersją 2.0.4: brak ograniczeń protokołów cURL w webhookach. Uwierzytelnieni użytkownicy z uprawnieniami api.webhooks.write mogą tworzyć webhooki z URL-ami file://, dict:// lub gopher://.

Wtyczka Grav API przed wersją 1.0.6 nie weryfikuje statusu super-administratora w endpointach createApiKey, generate2fa i disable2fa, co pozwala zwykłym menedżerom api.users.write na eskalację uprawnień do super-administratora. Atakujący mogą tworzyć klucze API powiązane z kontami super-administratorów lub usuwać uwierzytelnianie dwuskładnikowe (2FA) z kont super-administratorów, co prowadzi do pełnego przejęcia instancji.

Grav przed wersją 2.0.4 zawiera podatność w logowaniu, która pozwala na ominięcie uwierzytelniania dwuskładnikowego (2FA). Atakujący znający hasło ofiary może wywołać zadanie regenerate2FASecret bez tokena CSRF, nadpisując tajny klucz 2FA własną wartością, a następnie wygenerować poprawny kod TOTP i zalogować się, redukując 2FA do ochrony tylko hasłem.