Katalog podatności CVE

Termix od wersji 2.4.0 do 2.5.1 wymagał wyłącznie hasła jako czynnika ponownego uwierzytelnienia w endpointach wyłączania TOTP i generowania kodów zapasowych. Zmiany z refaktoryzacji cofnęły zabezpieczenie dwuskładnikowe, przez co atakujący mający sesję ofiary i znający hasło może wyłączyć 2FA bez dostępu do autentykatora.

Termix od wersji 1.7.0 do 2.5.1 wyprowadzał klucze do owijania DEK użytkowników OIDC i WebAuthn z domyślnych, zakodowanych na stałe ciągów oraz publicznego userId salt. Atakujący posiadający offline'ową kopię bazy SQLite może wyprowadzić klucz i odszyfrować zapisane hasła SSH, klucze prywatne i passphrase.

Snipe-IT przed wersją 8.7.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania plikami na przesyłanie załączników XML i XSLT oraz żądanie ich z parametrem inline=true. Przeglądarka może przetworzyć odniesienie xml-stylesheet i wykonać JavaScript wygenerowany przez arkusz stylów w kontekście Snipe-IT. Ofiara musi otworzyć URL załącznika, po czym skrypt może czytać dane samego pochodzenia i wykonywać uwierzytelnione działania z uprawnieniami ofiary.

Snipe-IT przed wersją 8.7.0 pozwala sesji uwierzytelnionej hasłem dla konta z uprawnieniem self.api na dostęp do API tokenów osobistych przed ukończeniem wyzwania drugiego czynnika, ponieważ CheckForTwoFactor jest egzekwowane w grupie middleware web, ale nie w grupie API. Token może czytać i modyfikować zasoby z uprawnieniami ofiary, a dla administratora może dotrzeć do punktu końcowego users/two_factor_reset, co umożliwia przejęcie konta administratora.

Snipe-IT przed wersją 8.7.0 pozwala użytkownikowi z uprawnieniem customfields.create na przechowywanie znaczników w CustomField.name, które są przypisywane jako nieucieczkowy tytuł nagłówka bootstrap-table. Gdy inny użytkownik otworzy stronę listy zasobów, przechowywane znaczniki wykonują się na stronie w sesji ofiary, co może ujawnić dane samego pochodzenia i wykonać uwierzytelnione działania, w tym eskalację uprawnień.

Pakiety @bsv/wallet-toolbox, @bsv/wallet-toolbox-client i @bsv/wallet-toolbox-mobile w wersjach od 1.1.47 do 2.3.3 (dla pierwszych dwóch) i od 1.3.21 do 2.3.3 (dla trzeciego) mają podatność, która powoduje, że transakcje tworzone przez zdalny StorageClient ufają skryptom blokującym wyjścia zwracanym przez dostawcę bez weryfikacji, czy odpowiadają one żądanym wyjściom. Złośliwy dostawca może podmienić skrypt odbiorcy lub dodać dodatkowe wyjście, co prowadzi do przekierowania środków.

phpMyFAQ przed wersją 4.1.6 ma podatność w metodzie StopWords::add(), która buduje zapytanie SQL INSERT za pomocą sprintf() i wstawia wartość słowa zatrzymanego bezpośrednio do zapytania bez wywołania funkcji eskejpowania bazy danych. Uwierzytelniony administrator może przesłać spreparowaną wartość, która przełamuje literał łańcucha SQL i wstrzykuje dowolny SQL, w tym usuwanie tabel, eksfiltrację danych lub modyfikację innych wierszy.

phpMyFAQ przed wersją 4.2.0-alpha jest podatny na wstrzyknięcie dzikich znaków SQL LIKE w wyszukiwaniu użytkowników czatu. Uwierzytelniony użytkownik może ominąć filtr wyszukiwania nazwy wyświetlanej i wyliczyć aktywnych użytkowników, ponieważ znaki % i _ nie są escapowane.

SumatraPDF przed wersją 3.6 zawiera lukę w funkcji MobiDoc::ParseHeader, gdzie dekoder tworzony jest z długością stałą, a nie rzeczywistą długością bufora. Złośliwy plik MOBI może spowodować odczyt poza buforem, co prowadzi do awarii aplikacji (crash).

DbGate do wersji 7.2.5/7.3.1-premium-beta.1 zawiera podatność na path traversal w funkcji fs.readFile w pliku packages/api/src/controllers/files.js. Manipulacja argumentami filePath/uri pozwala atakującemu na zdalny odczyt dowolnych plików poza dozwolonym katalogiem.

W DbGate do wersji 7.2.5-beta.5 wykryto podatność na wstrzykiwanie kodu w komponencie JSON Runner. Manipulacja argumentami comment.text/script.schedule w pliku packages/api/src/controllers/runners.js może prowadzić do zdalnego wykonania kodu. Aktualizacja do wersji 7.2.5-beta.6 usuwa problem.

W rozszerzeniu CirrusSearch dla MediaWiki występuje podatność na odbity atak XSS spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji do 1.46.0 włącznie.

MongoDB Compass może interpolować nazwę bazy danych bez eskejpowania do początkowego wejścia wbudowanej powłoki MongoDB, gdy użytkownik otwiera powłokę z widoku tej bazy. Użytkownik z uprawnieniami do tworzenia baz danych na serwerze, do którego łączy się użytkownik Compass, może, w określonych warunkach, spowodować, że treść zostanie oceniona jako wejście powłoki w procesie Compass z jego uprawnieniami.

W sterowniku MongoDB C Driver wykryto podatność polegającą na zapisie poza granicami bufora w logice monitorowania połączeń. Osoba kontrolująca rozwiązywanie nazw i odpowiedzi hostów z stringa połączenia może spowodować zapis poza stertą, co może doprowadzić do nieoczekiwanego zakończenia działania aplikacji.

W sterowniku MongoDB PHP Driver występuje podatność na deserializację niezaufanych danych w obsłudze monitorowania poleceń. Atakujący kontrolujący dane w operacjach bazy danych może spowodować utworzenie instancji klas aplikacji implementujących interfejs persistable i wywołanie ich metody unserialize z dostarczonymi danymi.

Niewłaściwa neutralizacja specjalnych elementów w logice zapytań danych w implementacji blokady pamięci podręcznej integracji MongoDB dla Laravel może spowodować, że wartość właściciela blokady dostarczona przez wywołującego zostanie oceniona jako wyrażenie agregacji zamiast wartości literału. Uwierzytelniony użytkownik, który może wpływać na wartość właściciela, może przejąć lub przedwcześnie wygasnąć blokadę trzymaną przez inny proces, co może prowadzić do zduplikowanych lub konfliktowych operacji.

W libXi przed wersją 1.8.4 występuje podatność na odczyt poza granicami w funkcji XQueryDeviceState(), która może być wykorzystana przez atakującego. Opis jest niekompletny, ale podatność może prowadzić do ujawnienia informacji lub awarii.

W Dokploy przed wersją 0.29.13 procedura tRPC patch.readRepoDirectories przekazuje kontrolowaną przez użytkownika wartość repoPath z pliku patch.ts do polecenia powłoki w patch-repo.ts bez bezpiecznego cytowania argumentów. Uwierzytelniony członek organizacji z uprawnieniem service:read może wstrzyknąć metaznaki powłoki do repoPath i wykonać dowolne polecenia przez child_process.exec jako root w kontenerze Dokploy. Ponieważ standardowe wdrożenie montuje /var/run/docker.sock, wykonanie poleceń jako root w kontenerze może posłużyć do kontroli Dockera i przejęcia hosta oraz zarządzanych aplikacji. Problem naprawiono w wersji 0.29.13.

W jądrze Linux w funkcji i3c_master_register_new_i3c_devs() ścieżka błędu device_register() nie czyści wskaźników desc->dev->desc oraz desc->dev przed zwolnieniem urządzenia. Prowadzi to do ostrzeżenia WARN_ON oraz do pozostawienia wiszącego wskaźnika na zwolnioną pamięć, co może skutkować użyciem po zwolnieniu.

W jądrze Linux naprawiono błąd w module ksmbd dotyczący sprawdzania uprawnień DACL. Mechanizm kontroli dostępu nie uwzględniał wpisu ACE dla grupy Authenticated Users (S-1-5-11), co powodowało błędne odrzucanie dostępu (STATUS_ACCESS_DENIED) do plików, do których uwierzytelniony użytkownik powinien mieć prawo. Dodatkowo obliczanie maksymalnego dostępu sumowało maski z wszystkich wpisów ACE, nawet tych niedotyczących bieżącego użytkownika, co mogło przyznawać nieuprawnione prawa.