Katalog podatności CVE

Podatność zdalnego wykonania kodu w komponencie speech data explorer w NVIDIA NeMo Speech. Złośliwe dane mogą umożliwić atakującemu wykonanie kodu, eskalację uprawnień, ujawnienie informacji i modyfikację danych.

Podatność zdalnego wykonania kodu w NVIDIA NeMo Speech. Złośliwe dane mogą umożliwić atakującemu wykonanie kodu, ujawnienie informacji i modyfikację danych.

Potencjalna podatność w HP Support Assistant przed wersją 9.55.10.0. Niewystarczające kontrole dostępu mogą pozwolić lokalnemu atakującemu na eskalację uprawnień.

MISP zawiera podatność na trwały cross-site scripting (XSS) w ekranie tworzenia e-maili administratora. Nazwa organizacji MISP.org jest interpolowana bezpośrednio do literału ciągu JavaScript bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript. Wstrzyknięty skrypt wykonuje się w kontekście każdego uwierzytelnionego użytkownika, który załaduje stronę, co może prowadzić do przejęcia sesji, kradzieży danych lub wykonywania uprzywilejowanych działań.

Komponent RequestHandlerComponent w MISP automatycznie dekoduje ciała żądań XML dla wszystkich żądań zapisu. Ze względu na błąd logiczny w warunku readFile w bibliotece Xml::build(), żądanie z adresem HTTPS może zostać pobrane jako zasób przez serwer. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie POST do punktu cspReport, aby spowodować wychodzące żądanie HTTPS do dowolnego celu osiągalnego przez serwer, co umożliwia skanowanie wewnętrznych usług lub ataki na wewnętrzne punkty końcowe.

Firmware D-Link DAP-1360 w wersji 6.14 i wcześniejszych zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu. Atakujący zdalny może wykonać dowolne polecenia jako root, wysyłając spreparowane żądania do interfejsu zarządzania web bez ważnych poświadczeń.

W MISP metoda queryEnrichment w EventsController.php akceptuje nazwę modułu i iteruje po liście włączonych modułów. Jeśli moduł nie znajduje się na liście, kod kontynuuje z domyślnymi parametrami zamiast odrzucić żądanie. Umożliwia to uwierzytelnionemu użytkownikowi wywołanie wzbogacania lub analizy przez moduł, który nie był włączony, co omija kontrolę dostępności modułów.

W MISP metoda add() w CollectionsController egzekwuje autoryzację grupy udostępniania tylko dla metody POST, ale CRUDComponent::add() zapisuje dane również dla PUT. Uwierzytelniony użytkownik może wysłać żądanie PUT do endpoints collections/add, aby utworzyć kolekcję z distribution=4 (współdzielenie z konkretną grupą), do której nie ma uprawnień. To omija kontrolę dostępu.

Skrypty instalacyjne MISP dla systemów Debian 12, Debian 13, Ubuntu 24.04 i RHEL 9.4 tworzą plik dziennika /var/log/misp_install.log oraz nazwany potok (FIFO) /var/log/misp_install.log.pipe, które przechowują poufne dane, takie jak hasła administratora, bazy danych, GPG i nadzorcy. Pliki są tworzone z domyślną maską umask, co skutkuje uprawnieniami czytania dla wszystkich użytkowników (0644). Dodatkowo, przed utworzeniem pliku nie sprawdzano, czy nie istnieje dowiązanie symboliczne, co pozwala na przekierowanie zapisu do dowolnej lokalizacji. Podatność dotyczy wersji <2.5.47.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

MISP zawiera podatność typu reflected XSS w formularzu potwierdzenia eksportu wyszukiwania REST zdarzeń. Szablon widoku app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp umieszcza listę identyfikatorów zdarzeń z URL w literale JavaScript ograniczonym pojedynczymi cudzysłowami, używając json_encode() bez flag kodowania szesnastkowego, co pozwala na wstrzyknięcie znaku pojedynczego cudzysłowu i wykonanie dowolnego kodu JavaScript. Podatność dotyczy motywów Default i UiBeta; motyw Overmind nie jest nią objęty.

Błąd w php-file-manager-with-code-editor do wersji 3.0. Manipulacja argumentem files w funkcji move_uploaded_file w pliku filemanager.php może prowadzić do nieograniczonego przesyłania plików. Atak możliwy zdalnie.

W aplikacji sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8 wykryto podatność XSS w funkcji Public Search Handlers, w pliku HospitalController.java. Manipulacja argumentem Search prowadzi do ataku XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.

Podatność typu niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL (SQL injection) w produkcie KarelIPS firmy Karel Electronic Industry and Trade Inc. Umożliwia atak typu Blind SQL Injection. Problem dotyczy KarelIPS do wersji 22092026.

MISP zawiera odzwierciedlone XSS w widoku histogramu atrybutów. Zmienna $selectedTypes, pochodząca z segmentu ścieżki URL, jest interpolowana bezpośrednio do literału tablicy JavaScript wewnątrz atrybutu onClick HTML bez kodowania. Atakujący, który zmusi uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, może wykonać dowolny JavaScript w przeglądarce ofiary w kontekście aplikacji MISP. Wersja dotknięta: <2.5.47.

MISP zawiera odzwierciedlone XSS w akcji AnalystDataController::viewForObject. Metoda przyjmuje parametr typu obiektu nadrzędnego z URL bez walidacji i przekazuje go do elementu widoku wątku AnalystData w motywie Overmind, gdzie jest interpolowany do dwóch przetłumaczonych stringów i renderowany do odpowiedzi HTML bez kodowania wyjścia. Uwierzytelniony atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co pozwala na wstrzyknięcie dowolnego JavaScript w przeglądarce ofiary w kontekście MISP. Wersja dotknięta: <2.5.47.

Kontroler WorkflowsController w MISP udostępnia akcję moduleStatelessExecution na liście unlockedActions w komponencie Security. W CakePHP umieszczenie akcji na tej liście wyłącza zarówno sprawdzanie tokenu CSRF, jak i walidację skrótu pól. Ponieważ moduleStatelessExecution wykonuje metodę exec() modułu przepływu pracy z danymi i parametrami dostarczonymi przez wywołującego, brak ochrony CSRF pozwala atakującemu na sfałszowanie żądania z innego pochodzenia, które po wysłaniu przez uwierzytelnionego administratora wywoła akcję na instancji MISP. Atakujący może wybrać dowolny moduł, w tym moduły zapisu wpisów blokowanych, i dostarczyć własne dane. Podatność została wykryta podczas wewnętrznego przeglądu. Poprawka jest zawarta w MISP v2.5.47.