Katalog podatności CVE

SendPortal sendportal-core w wersji do 4.0.1 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym członkom obszaru roboczego przypisywać subskrybentów do tagów innych obszarów roboczych poprzez podanie niezweryfikowanych identyfikatorów tagów. Atakujący może przesłać kolejne identyfikatory tagów za pomocą formularza subskrybenta lub importu CSV, aby otrzymywać treści kampanii ofiar i zniekształcać raporty ofiar.

W MacCMS v10 do wersji 2026.1000.4056 nie ograniczono liczby prób wprowadzenia sześciocyfrowego kodu odzyskiwania hasła, co pozwala nieuwierzytelnionym atakującym przejąć konta członków. Atakujący znający adres e-mail lub numer telefonu ofiary może zażądać kodu i brute-force'ować findpass_reset, aby nadpisać hasło członka.

zhontai Admin.Core w wersji do 10.1.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym użytkownikom ignorować ograniczenia DataScope działu poprzez podanie identyfikatorów rekordów spoza zakresu. Atakujący posiadający uprawnienia do modułu użytkownika lub organizacji z zakresem Dept lub Self mogą wywoływać metody by-id w UserService i OrgService, aby odczytywać, modyfikować, wyłączać i usuwać użytkowników w innych działach.

crmeb_java w wersji do 3.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom odczytywać zamówienia innych członków poprzez podanie ich numerów zamówień. Atakujący może wywołać /api/front/order/express/{orderId} lub /api/front/order/apply/refund/{orderId}, aby zobaczyć numery śledzenia, ślady logistyczne, kwoty płatności i pozycje produktowe ofiar.

Peppermint w wersji do 0.5.5 zawiera podatność polegającą na braku autoryzacji, która pozwala dowolnemu uwierzytelnionemu użytkownikowi tworzyć wpisy czasu i załączniki jako inni użytkownicy poprzez podanie identyfikatora użytkownika w treści żądania. Atakujący może wysyłać żądania POST do /api/v1/time/new lub /api/v1/storage/ticket/:id/upload/single, aby dołączać pliki i rekordy czasu do dowolnego zgłoszenia pod tożsamością innego użytkownika.

W ThinkCMF do wersji 8.0.1 występuje podatność nieprawidłowej autoryzacji w RestAdminBaseController, która pozwala ograniczonym administratorom backendu wywoływać wszystkie endpointy REST API administratora, ponieważ Auth::check() zawodzi w sposób otwarty, gdy nie istnieje reguła admin_api. Atakujący z ważnym tokenem API typu admin mogą wyświetlać e-maile i numery telefonów członków, wyłączać członków oraz wywoływać PUT admin/roles/{id}/authorize, aby przyznać sobie pełne uprawnienia administratora.

metasfresh do wersji 5.175 zawiera podatność braku autoryzacji na poziomie rekordów w BoardRestController, umożliwiającą uwierzytelnionym użytkownikom o niskich uprawnieniach obejście kontroli dostępu opartych na rolach i organizacji. Atakujący mogą wywoływać handlery getBoard, getCard, addCard, removeCard i patchCard, aby odczytywać rekordy poza swoim zakresem i modyfikować przypisania kart tablicy.

Papermark do wersji 0.22.0 zawiera podatność braku autoryzacji w API grup widzów data room, umożliwiającą uwierzytelnionym użytkownikom usuwanie grup widzów i linków udostępniania innych zespołów. Atakujący znający identyfikatory data room i grup ofiary mogą wysyłać żądania DELETE, odczytywać linki grup lub przepisywać uprawnienia do dokumentów grupowych między zespołami.

Craftplan do wersji 0.7.5 zawiera podatność braku autoryzacji w zasobie CRM Customer, umożliwiającą nieuwierzytelnionym atakującym tworzenie rekordów klientów przez JSON:API i GraphQL. Atakujący mogą wysyłać anonimowe żądania POST /api/json/customers lub mutację create_customer, aby wstawić wybrane przez siebie nazwy, dane kontaktowe i adresy do CRM operatora.

Likeshop do wersji 3.5.1 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w AfterSale.php i AfterSaleLogic.php, umożliwiającą uwierzytelnionym użytkownikom dostęp do rekordów posprzedażowych innych klientów poprzez podanie ich identyfikatorów. Atakujący z samodzielnie zarejestrowanymi kontami mogą wywoływać akcje detail, goodsInfo, cancel, express i again, aby odczytywać dane o zwrotach i zamówieniach, anulować zwroty, nadpisywać szczegóły przesyłki zwrotnej lub ponownie otwierać odrzucone zwroty.

go-ldap-admin do wersji 0.6.2 zawiera wbudowany na stałe prywatny klucz RSA, opublikowany w publicznym repozytorium, który chroni zaszyfrowane hasła logowania. Nieuwierzytelnieni atakujący, którzy przechwycą zaszyfrowane hasła, mogą je odszyfrować offline lub przez punkt końcowy /base/decryptpwd, odzyskując jawne poświadczenia LDAP do ponownego użycia.

ZenTao PMS do wersji 22.6 zawiera podatność obejścia autoryzacji w action::editComment, umożliwiającą uwierzytelnionym użytkownikom odczytywanie i nadpisywanie komentarzy innych użytkowników poprzez podanie dowolnego actionID. Atakujący mogą iterować kolejne identyfikatory akcji, aby modyfikować komentarze do błędów, historii, zadań i dokumentów w produktach i projektach, do których nie mają dostępu, oraz przeglądać zawartość docelowych komentarzy i załączników.

Trudesk do wersji 1.2.11 zawiera podatność obejścia autoryzacji, umożliwiającą każdemu uwierzytelnionemu użytkownikowi odczytywanie prywatnych rozmów poprzez podanie identyfikatora innej rozmowy. Atakujący mogą wysyłać żądania GET /api/v1/messages/conversation/:id, które nie sprawdzają uczestnictwa, aby uzyskać pełną historię wiadomości oraz nazwy użytkowników, pełne imiona i adresy e-mail uczestników.

APITable do wersji 1.14.0-beta zawiera podatność obejścia autoryzacji, umożliwiającą uwierzytelnionym użytkownikom odczytywanie opisów węzłów z innych przestrzeni poprzez podanie kontrolowanego przez użytkownika nodeId. Atakujący mogą wysyłać żądania GET /node/{nodeId}/description, które pomijają sprawdzanie członkostwa w przestrzeni i uprawnień do węzła, ujawniając opisy arkuszy danych, folderów i formularzy między dzierżawcami.

pig do wersji 4.1.1 zawiera podatność braku autoryzacji w SysUserController.user, umożliwiającą każdemu uwierzytelnionemu użytkownikowi odczytywanie profili innych użytkowników poprzez GET /admin/user/details/{id}. Atakujący o niskich uprawnieniach mogą enumerować kolejne identyfikatory użytkowników, aby uzyskać nazwy użytkowników, prawdziwe imiona, numery telefonów, adresy e-mail, powiązane konta stron trzecich i przypisania ról.

OxiCloud w wersjach od 0.9.1 do 0.9.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala anonimowym odwiedzającym zachować dostęp do udostępnień po dodaniu ochrony hasłem. Atakujący posiadający istniejące ciasteczko oxi_shares share-ring może zażądać treści poprzez GET /api/files/{id}, aby odczytać udostępnione pliki lub zawartość folderów pomimo nowego hasła.

Dokploy do wersji 0.30.8 zawiera obejście autoryzacji między organizacjami w routerze tRPC portów, umożliwiające uwierzytelnionym właścicielom lub administratorom dowolnej organizacji zarządzanie portami innych dzierżawców, ponieważ organizacja docelowej aplikacji nigdy nie jest weryfikowana. Atakujący podający znany portId lub applicationId do port.create, port.one, port.update lub port.delete mogą odczytywać, modyfikować, usuwać lub dodawać mapowania portów, zakłócając publikowanie usług ofiary.

JuggleIM im-server do wersji 1.8.16 przechowuje hasła konsoli administracyjnej jako niesolone skróty SHA-1 (funkcja tools.SHA1 w services/accountservice.go). Atakujący, który uzyska dostęp do tabeli kont poprzez bazę danych lub kopie zapasowe, może złamać hasła konsoli za pomocą gotowych tablic lub brute force na GPU.

JuggleIM im-server do wersji 1.8.16 zawiera domyślne poświadczenia administratora admin/123456, które pozwalają nieuwierzytelnionym zdalnym atakującym na dostęp do konsoli administracyjnej na porcie 8090. Atakujący mogą zalogować się jako administrator, nawet po usunięciu konta, ponieważ CheckLogin odtwarza je, aby kontrolować aplikacje dzierżawcy i sekrety aplikacji.

rustdesk-api do wersji 2.7 zawiera lukę obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym nadpisać istniejące rekordy peerów, podając jedynie identyfikator urządzenia docelowego w POST /api/sysinfo. Atakujący mogą nadpisać hostname, nazwę użytkownika, system operacyjny i uuid bez weryfikacji uuid, a następnie zalogować się z tym uuid, aby przypisać peer do swojego konta.