Katalog podatności CVE

W Revive Adserver w wersji 5.5.2 zidentyfikowano podatność typu reflected Cross-Site Scripting (XSS). Atakujący może nakłonić użytkownika mającego dostęp do interfejsu Revive Adserver do kliknięcia specjalnie spreparowanego URL i wykonania wstrzykniętego kodu JavaScript w kontekście przeglądarki ofiary. Podatność występuje w pliku admin-search.php i jest wykorzystywana przez parametr compact.

Nagios XI w wersjach przed 2024R1.4.2 ujawniał klucze API użytkownikom, którzy nie mieli uprawnień do dostępu API, podczas korzystania z motywów Neptune. Uwierzytelniony użytkownik bez uprawnień API mógł zobaczyć wartość klucza API innego użytkownika lub własnego.

Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.

Nagios Log Server w wersjach przed 2024R2.0.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala użytkownikom niebędącym administratorami usuwać globalne dashboardy. Aplikacja nie egzekwowała poprawnie kontroli autoryzacji dla procesu usuwania globalnych dashboardów, umożliwiając użytkownikom o niższych uprawnieniach usuwanie dashboardów wpływających na innych użytkowników lub ogólny interfejs monitoringu.

W Nagios Log Server w wersjach starszych niż 2024R2.0.3, gdy skonfigurowany domyślny pulpit nawigacyjny użytkownika zostanie usunięty, aplikacja nie wraca niezawodnie do pustego, domyślnego pulpitu. W niektórych wdrożeniach może to skutkować wyświetleniem nieoczekiwanego pulpitu jako widoku domyślnego użytkownika.

Nagios Log Server przed wersją 2024R2.0.2 zawiera podatność w funkcji importu użytkowników AD/LDAP, która nie maskuje pola hasła podczas importu. W rezultacie hasło w postaci jawnego tekstu dla importowanych kont może być ujawnione w interfejsie użytkownika, logach lub innych danych diagnostycznych.

Nagios XI w wersjach przed 2024R1.4.2 konfiguruje niektóre pliki jednostek systemd z nadmiernie permisywnymi uprawnieniami. W szczególności plik nagios.service miał niepotrzebne uprawnienia wykonywania. Zbyt szerokie uprawnienia mogą rozszerzyć lokalną powierzchnię ataku, umożliwiając nieoczekiwane zachowania wykonawcze lub nadużycia operacji usług.

Nagios XI przed wersją 2024R1.2.2 zawiera podatność na wstrzyknięcie nagłówka Host. Aplikacja ufa nagłówkowi Host dostarczonemu przez użytkownika przy konstruowaniu absolutnych URL-i bez odpowiedniej walidacji. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowany nagłówek Host, aby zatruć linki lub odpowiedzi, co może ułatwić phishing, przejęcie linków do resetowania konta i zatrucie pamięci podręcznej.

Nagios XI w wersjach przed 2024R1.1.4 zawiera podatność lokalnego włączenia plików (LFI) poprzez integrację NagVis. Uwierzytelniony użytkownik może podać spreparowane wartości ścieżek, powodując włączenie lokalnych plików przez serwer, co może ujawnić poufne informacje z hosta.

Nagios XI w wersjach przed 2024R1.1.3 jest podatny na atak typu cross-site scripting (XSS) w komponencie Executive Summary Report. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2024R1.1.3 jest podatny na atak typu cross-site scripting (XSS) w komponencie Capacity Planning Report. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach wcześniejszych niż 2024R1.1.2 jest podatny na odbite Cross-Site Scripting (XSS) na stronie logowania, gdy jest używana z starszymi przeglądarkami. Niewystarczająca walidacja lub escape'owanie danych wejściowych odbijanych przez stronę logowania może pozwolić atakującemu na stworzenie złośliwego linku, który po odwiedzeniu przez ofiarę wykonuje dowolny JavaScript w jej przeglądarce w kontekście Nagios XI.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) przez komponent Bandwidth Report. Niewystarczająca walidacja lub escapowanie danych wejściowych może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na atak typu cross-site scripting (XSS) poprzez narzędzie Bulk Modifications. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

W wersji 7.5.1 biblioteki node-tar, użycie opcji .t (znanej jako .list) z { sync: true } do odczytu zawartości wpisów tar zwraca niezainicjowane dane pamięci, jeśli plik tar został zmieniony na dysku na mniejszy rozmiar podczas odczytu. Ta podatność została naprawiona w wersji 7.5.2.

Movary, aplikacja webowa do śledzenia i oceniania historii filmów, przed wersją 0.69.0 akceptuje parametr redirect na stronie logowania bez walidacji, co pozwala atakującym przekierowywać uwierzytelnionych użytkowników na dowolne zewnętrzne strony. Podatność została naprawiona w wersji 0.69.0.

Movary, aplikacja webowa do śledzenia i oceniania filmów, do wersji 0.68.0 używa wartości nagłówka HTTP Referer bezpośrednio do przekierowań w wielu punktach końcowych ustawień. Pozwala to na otwarte przekierowanie do kontrolowanej przez atakującego witryny i ułatwia phishing. Podatność naprawiona w wersji 0.69.0.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach 5.20, 5.22, 5.24, 5.26, 5.28 zawiera podatność na atak XSS. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę podatność, prowadząc do wstrzyknięcia skryptów.

Quick.Cart jest podatny na ataki typu Cross-Site Request Forgery w funkcji tworzenia produktów. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST tworzące złośliwy produkt z treścią zdefiniowaną przez atakującego. Oprogramowanie nie implementuje żadnej ochrony przed tego typu atakami, a wszystkie formularze są potencjalnie podatne. Przetestowano tylko wersję 6.7, która jest potwierdzona jako podatna.

Wtyczka Site Checkup Debug AI Troubleshooting with Wizard and Tips for Each Issue dla WordPressa jest podatna na zatruwanie plików logów we wszystkich wersjach do 1.47 włącznie. Nieuwierzytelniony atakujący może wstawiać dowolne treści do plików logów, co może prowadzić do wyczerpania miejsca na dysku i odmowy usługi.