Katalog podatności CVE

express-rate-limit to podstawowe oprogramowanie do ograniczania liczby żądań dla Express. W wersjach od 8.0.0 do 8.0.2, 8.1.1, 8.2.2 i 8.3.0, domyślny generator kluczy stosuje maskowanie podsieci IPv6 (/56 domyślnie) do wszystkich adresów, które net.isIPv6() zwraca jako prawdziwe, co prowadzi do problemów z ograniczaniem liczby żądań dla klientów IPv4.

Flowise to interfejs użytkownika typu 'przeciągnij i upuść' do budowy dostosowanych przepływów modeli językowych. Przed wersją 3.0.13 występowała podatność IDOR, która mogła prowadzić do przejęcia konta oraz obejścia funkcji dla przedsiębiorstw poprzez konfigurację SSO. Problem został naprawiony w wersji 3.0.13.

Wtyczka Paid Videochat Turnkey Site – HTML5 PPV Live Webcams dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 7.3.20 włącznie. Problem wynika z funkcji videowhisper_register_form(), która nie ogranicza ról użytkowników, które mogą być ustawiane podczas rejestracji.

Flowise to interfejs użytkownika typu drag & drop do budowania dostosowanych przepływów modeli językowych. Przed wersją 3.0.13, nieautoryzowani użytkownicy mogli wstrzykiwać dowolne wartości do pól bazy danych podczas tworzenia leadów. Problem został naprawiony w wersji 3.0.13.

Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów modeli językowych. W wersjach przed 3.0.13, Flowise ufał każdemu klientowi HTTP, który ustawił nagłówek x-request-from: internal, co pozwalało na ominięcie wszystkich kontroli autoryzacji w /api/v1/** dla uwierzytelnionych sesji najemców.

Wtyczka Easy PHP Settings dla WordPressa jest podatna na wstrzyknięcie kodu PHP we wszystkich wersjach do i włącznie z 1.0.4 poprzez metodę `update_wp_memory_constants()`. Problem wynika z niewystarczającej walidacji danych wejściowych dla ustawień `wp_memory_limit` i `wp_max_memory_limit` przed zapisaniem ich do `wp-config.php`.

Wtyczka JS Archive List dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 6.1.7 włącznie, poprzez atrybut shortcode 'included'. Problem wynika z deserializacji niezaufanych danych wejściowych dostarczonych przez parametr 'included' w shortcode wtyczki.

Wtyczka ZIP Code Based Content Protection dla WordPressa jest podatna na atak typu SQL Injection we wszystkich wersjach do i włącznie z 1.0.2 poprzez parametr 'zipcode'. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Oprogramowanie układowe przełącznika sieciowego XikeStor SKS8310-8X w wersjach 1.04.B07 i wcześniejszych zawiera lukę związaną z brakiem uwierzytelnienia w punkcie końcowym /switch_config.src. Umożliwia to nieautoryzowanym zdalnym atakującym pobieranie plików konfiguracyjnych urządzenia.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.2.2, nieautoryzowani atakujący mogli enumerować członków przestrzeni roboczej i wydobywać wrażliwe informacje, takie jak adresy e-mail, role użytkowników oraz identyfikatory wewnętrzne.

Plane to narzędzie do zarządzania projektami typu open-source. W wersjach przed 1.2.3 walidacja adresów URL webhooków w pliku plane/app/serializers/webhook.py sprawdzała jedynie, czy adres jest adresem lokalnym, co pozwalało atakującym z rolą ADMIN w przestrzeni roboczej na tworzenie webhooków wskazujących na prywatne/adresy wewnętrzne.

Mercurius to adapter GraphQL dla Fastify. W wersjach przed 16.8.0, Mercurius nie egzekwował limitu głębokości zapytań dla subskrypcji GraphQL otrzymywanych przez połączenia WebSocket, co pozwalało na przesyłanie głęboko zagnieżdżonych zapytań subskrypcyjnych.

Podczas weryfikacji łańcucha certyfikatów zawierającego certyfikat z wieloma ograniczeniami adresów email, które mają wspólne części lokalne ale różne domeny, ograniczenia te nie są prawidłowo stosowane – uwzględniane jest tylko ostatnie ograniczenie.

Funkcja url.Parse w Go niewystarczająco weryfikuje komponent host/authority i akceptuje niektóre nieprawidłowe adresy URL.

Flare to platforma do udostępniania plików oparta na Next.js, która przed wersją 1.7.2 nie weryfikowała hasła dla plików chronionych hasłem w punkcie końcowym miniatur. Sprawdzała jedynie właściciela/admina dla plików prywatnych, pomijając weryfikację hasła, co umożliwiało dostęp do miniatur bez podawania hasła.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. W wersjach przed 8.6.6 i 9.5.0-alpha.4 klucz readOnlyMasterKey mógł wywołać POST /loginAs, co pozwalało na uzyskanie ważnego tokena sesji dla dowolnego użytkownika, umożliwiając tym samym podszywanie się pod użytkowników z pełnym dostępem do ich danych.

OliveTin umożliwia dostęp do zdefiniowanych poleceń powłoki z interfejsu webowego. W wersjach przed 3000.11.1, przy skonfigurowanej autoryzacji JWT, wartość audiencji nie jest egzekwowana podczas analizy tokenów, co pozwala na akceptację poprawnie podpisanych tokenów JWT z nieprawidłowym roszczeniem aud.

TSPortal to wewnętrzna platforma Fundacji WikiTide używana przez zespół ds. zaufania i bezpieczeństwa do zarządzania raportami, dochodzeniami, apelacjami i pracą nad przejrzystością. Przed wersją 30 konwersja pustych ciągów na null umożliwiała zafałszowanie raportów DPA jako autentycznych raportów o samodelecji. Problem został naprawiony w wersji 30.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 8.6.4 i 9.4.1-alpha.3 opcja readOnlyMasterKey umożliwia dostęp z uprawnieniami do odczytu, ale dokumentacja wskazuje, że wszystkie operacje zapisu powinny być zablokowane. Niemniej jednak, niektóre punkty końcowe błędnie akceptują readOnlyMasterKey do operacji modyfikujących.

Wekan to narzędzie kanban typu open source zbudowane na Meteor. W wersjach od 8.31.0 do 8.33 publikacja globalwebhooks ujawnia wszystkie integracje webhooków globalnych, w tym wrażliwe pola URL i tokeny, bez przeprowadzania jakiejkolwiek kontroli uwierzytelnienia po stronie serwera.