Katalog podatności CVE

W Snipe-IT przed wersją 8.6.2 uwierzytelniony użytkownik niebędący administratorem, posiadający uprawnienia users.view i users.edit (ale bez users.delete), może wysłać bezpośrednie żądanie POST do /users/bulksave z parametrem delete_user=1. Powoduje to miękkie usunięcie innego nieadministracyjnego użytkownika, ponieważ kontroler BulkUsersController::destroy() autoryzuje jedynie operację aktualizacji.

W Snipe-IT przed wersją 8.6.2, w API akcesoriów podczas tworzenia rekordu dochodzi do masowego przypisania parametrów żądania do modelu Accessory, w tym pola company_id. Umożliwia to niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi z jednej firmy tworzenie rekordów akcesoriów w innej firmie, gdy włączona jest opcja Pełne Wsparcie Wielu Firm.

Podatność w Coturn przed wersją 4.13.0 pozwala uwierzytelnionemu klientowi TURN na ominięcie domyślnego blokowania pętli zwrotnej (loopback) poprzez użycie adresu IPv4-mapowanego na IPv6 (::ffff:127.0.0.1) w atrybucie XOR-PEER-ADDRESS. Mechanizm sprawdzania pętli zwrotnej nie obsługuje poprawnie tego typu adresów, co umożliwia przekazywanie ruchu do usług lokalnych na hoście Coturn.

Podatność w Coturn przed wersją 4.12.0 umożliwia wstrzykiwanie SQL przez panel administracyjny HTTPS. Parametry zapytań HTTP są przekazywane bezpośrednio do zapytań SQL bez odpowiedniego oczyszczania, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie dowolnego kodu SQL.

HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.

Podatność w ZITADEL przed wersją 4.15.3 umożliwia wymianę tokena o niskich uprawnieniach na token z podwyższonymi uprawnieniami w innej aplikacji. Dzieje się tak, ponieważ punkt końcowy OAuth2 Token Exchange nie weryfikuje, czy token podmiotu należy do żądającego klienta ani czy żądane zakresy mieszczą się w zakresach oryginalnego tokena.

W ZITADEL przed wersją 4.15.3, w ścieżkach błędów logowania Login V2 OIDC i SAML, parametr loginSettings.defaultRedirectUri jest przekazywany do router.push bez walidacji isSafeRedirectUri. Umożliwia to administratorowi organizacji lub instancji przechowanie URI javascript lub data, który może zostać wykonany w przeglądarce użytkownika po trafieniu na podatną ścieżkę błędu logowania.

W ZITADEL przed wersjami 3.4.12 i 4.15.2, przepływy OAuth2 i OIDC (CodeExchange, RefreshToken, device token) nie weryfikują, czy żądający klient jest zgodny z klientem, który zainicjował przepływ autoryzacji. Umożliwia to wymianę przechwyconych grantów lub tokenów odświeżania pod innym klientem.

Wtyczka grav-plugin-admin w wersji 1.10.52 i wcześniejszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami admin.users zmianę hasła dowolnego użytkownika, w tym super administratora. Podatność wynika z braku weryfikacji, czy osoba wywołująca może edytować docelowe konto, podczas gdy funkcja saveUser sprawdza jedynie ogólne uprawnienia do zarządzania użytkownikami.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 zawiera podatność polegającą na braku walidacji dolnej granicy indeksu podczas parsowania wartości komórek typu shared-string. Specjalnie spreparowany plik XLSX z wartością -1 może spowodować odwołanie poza zakres tablicy i panic podczas odczytu przez GetCellValue lub GetRows.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 nie egzekwuje limitu TotalRows dla atrybutu r w wierszach podczas strumieniowego odczytu arkusza. Atakujący może dostarczyć mały plik XLSX z numerem wiersza powyżej 1048576, co powoduje dodawanie pustych wierszy i nadmierne zużycie pamięci oraz CPU.

9Router w wersji przed 0.5.2 traktuje żądania z pętli zwrotnej jako zaufane i zezwala na dostęp do /v1/* bez klucza API. Gdy odwrotne proxy przekierowuje ruch publiczny przez 127.0.0.1, src/dashboardGuard.js błędnie klasyfikuje żądania zewnętrzne jako lokalne, co umożliwia zdalnemu, nieuwierzytelnionemu atakującemu dostęp do API /v1, w tym do /v1/models oraz potencjalne nadużycie skonfigurowanych poświadczeń dostawcy upstream.

Podatność w frameworku ESP-IDF firmy Espressif umożliwia zapis poza dozwolonym obszarem pamięci stosu podczas parsowania znacznika DQT w plikach JPEG. Atakujący może dostarczyć specjalnie spreparowany obraz JPEG, co prowadzi do awarii systemu (odmowa usługi).

9Router przed wersją 0.5.2 zawiera podatność polegającą na tym, że decyzja o tym, czy żądanie proxy LLM jest lokalne, podejmowana jest na podstawie kontrolowanego przez klienta nagłówka Host. Zdalny, nieuwierzytelniony atakujący może wysłać nagłówek Host: localhost i ominąć uwierzytelnianie API-key.

9Router w wersji przed 0.5.2 nie zabezpiecza ścieżki /codex, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu ominąć bramę klucza API i wysyłać żądania do /codex/*, które są przepisywane na /api/v1/responses. Atakujący może wykorzystać to do wywoływania zewnętrznych dostawców LLM przy użyciu zapisanych poświadczeń operatora.

Biblioteka cpp-httplib w wersjach od 0.31.0 do 0.46.1 (dla backendu Mbed TLS) oraz od 0.33.0 do 0.46.1 (dla backendu wolfSSL) pomija walidację łańcucha certyfikatów podczas połączeń HTTPS z adresem IP zamiast nazwy domeny. Podatność umożliwia atakującemu typu man-in-the-middle przedstawienie spreparowanego certyfikatu i przechwycenie lub modyfikację ruchu.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 zawiera podatność polegającą na braku walidacji atrybutu XML <row r="N"> w funkcji checkSheet(). Atakujący może dostarczyć specjalnie spreparowany plik XLSX, który powoduje alokację ogromnej ilości pamięci (do 16 GB) lub wywołuje panic z powodu indeksowania poza zakresem, prowadząc do odmowy usługi (DoS).

W Lima przed wersją 2.1.3, podczas korzystania z sterownika qemu, dowolny użytkownik w maszynie wirtualnej mógł uzyskać dostęp do gniazda /run/lima-guestagent.sock, gdy agent gościa był włączony. Pozwalało to na wykonanie dowolnych poleceń z uprawnieniami root w maszynie wirtualnej, ponieważ gniazdo agenta gościa umożliwia tunelowanie do dowolnych adresów, w tym gniazd Unix dla uprzywilejowanych demonów, takich jak D-Bus.

Grav, platforma webowa oparta na plikach, zawiera podatność pozwalającą niezalogowanemu atakującemu na wyczerpanie pamięci serwera i mocy CPU poprzez żądanie przetworzenia obrazów o nadmiernych wymiarach. Problem występuje w mechanizmie `Grav::fallbackUrl`, który przekazuje parametry żądania do akcji magicznych ImageMedium bez ograniczenia rozmiaru lub liczby pikseli.

W Simple Machines Forum 2.1 przed commit 7d048f8 oraz 3.0 przed commit a7875e8 występuje podatność polegająca na pominięciu autoryzacji w pliku Sources/Actions/AttachmentApprove.php. Błąd operatora jednoznakowego powoduje, że sprawdzenie uprawnień zawsze kończy się sukcesem, niezależnie od faktycznych uprawnień użytkownika.