Katalog podatności CVE

Wykryto podatność bezpieczeństwa w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji AppSettingController.getAppSettings w pliku backend/src/main/java/org/booklore/controller/AppSettingController.java komponentu Settings API Endpoint. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Nazwa poprawki to 2b66ca6df8110f6b512e030b54c16b9fbe318f17. Zaleca się zastosowanie poprawki.

Podatność niespójnej interpretacji żądań HTTP (HTTP Request/Response Smuggling) w elixir-mint pozwala złośliwemu serwerowi HTTP/1 na desynchronizację ścisłego pośrednika i klienta Mint na połączeniu z puli, umożliwiając zatrucie kolejki odpowiedzi dla kolejnych żądań współdzielących połączenie. Mint.HTTP1.Parse.chunk_size/1 zatrzymuje się na pierwszym nieheksadecymalnym bajcie linii rozmiaru chunka i zwraca resztę niezbadaną, a Mint.HTTP1.decode_body/5 odrzuca bajty do CRLF, przez co akceptowane są linie takie jak 5ZZZZZ i 5 9 jako rozmiar chunka 5, a 0ZZZZ jako kończący chunk. Problem dotyczy mint od 0.1.0 przed 1.10.1.

Pod::Text w wersjach przed 6.1.1 dla Perla pozwala na wyczerpanie CPU i pamięci podczas formatowania dokumentu POD, w którym zagnieżdżenie =over zwiększa margines do szerokości wyjściowej. Każde =over dodaje wcięcie do marginesu, które wrap() odejmuje od szerokości wyjściowej, aby uzyskać dostępną przestrzeń na tekst. Gdy ta przestrzeń osiągnie zero, podstawienie dzielące wiersze dopasowuje pusty łańcuch, a pętla nie zużywa danych wejściowych, jednocześnie dodając wypełnienie marginesu w każdej iteracji. Formatowanie dostarczonego przez atakującego dokumentu POD nigdy się nie kończy, a wyjście rośnie aż do wyczerpania pamięci.

W Admin REST API Keycloak, rozwiązania do zarządzania tożsamością i dostępem, wykryto lukę. Endpoint służący do usuwania poświadczeń użytkownika nie sprawdza poprawnie szczegółowych uprawnień do resetowania hasła, co pozwala delegowanemu administratorowi, który powinien być ograniczony od resetowania haseł, na usunięcie poświadczeń hasła użytkownika i uniemożliwienie mu zalogowania się.

W Admin REST API Keycloak, rozwiązania do zarządzania tożsamością i dostępem, wykryto lukę w endpointach członkostwa w grupach. System nie sprawdza, czy grupa przyznaje uprawnienia administracyjne, przed dodaniem użytkownika, co pozwala delegowanemu administratorowi z ograniczonymi uprawnieniami na dodanie siebie do grupy o wysokich uprawnieniach i potencjalne przejęcie pełnej kontroli nad całym realmem.

W implementacji protokołu OIDC w Keycloak, rozwiązaniu do zarządzania tożsamością i dostępem, wykryto lukę. Podczas odświeżania tokenu, gdy serwer przywraca żądane odbiorców z przechowywanych identyfikatorów klientów, Keycloak nie sprawdza, czy docelowy klient odbiorcy jest nadal włączony, przed wydaniem nowego tokenu dostępu. Pozwala to aplikacji z istniejącym tokenem odświeżania na dalsze uzyskiwanie ważnych tokenów dostępu dla wyłączonego klienta, potencjalnie omijając administracyjne kontrole dostępu dla serwerów zasobów opierających się na offline walidacji JWT.

rclone w wersjach od 1.56.0 do 1.75.0 zawiera podatność path traversal w wtyczce wolumenów `rclone serve docker`. Funkcja newVolume() w cmd/serve/docker/volume.go oblicza punkt montowania jako filepath.Join(drv.root, name) na podstawie pola `name` z żądania Docker VolumeDriver.Create, nie sprawdzając, czy wynik pozostaje w drv.root (domyślnie /var/lib/docker-volumes/rclone), a następnie checkMountpoint() tworzy ten katalog przez file.MkdirAll przed montowaniem. Nazwa wolumenu zawierająca odpowiednio dużo komponentów `..` (np. "../../../../../../etc") pozwala wyjść poza katalog bazowy, umożliwiając osobie mogącej wysłać żądanie VolumeDriver.Create do gniazda wtyczki utworzenie katalogu i zamontowanie zdalnego systemu plików w dowolnej ścieżce hosta. Volume.restoreState() miało tę samą lukę przy wczytywaniu zapisanego stanu wolumenów. Naprawiono w 1.75.1.

rclone w wersjach przed 1.75.1 nie ogranicza nazw z odpowiedzi serwera i zewnętrznych listingów do listowanego katalogu, co pozwala na sekwencje path traversal w nazwach obiektów. Atakujący może tworzyć specjalne nazwy zawierające ukośniki i odwołania do katalogu nadrzędnego, aby potencjalnie zapisywać poza katalogiem docelowym, choć obecne zabezpieczenia w backendzie lokalnym blokują faktyczne wyjście poza pliki.

OpenPanel js-runtime do wersji 2.3.0 zawiera podatność na ucieczkę z piaskownicy w walidatorze szablonów webhooków JavaScript, który nie blokuje obliczanego dostępu do właściwości łańcuchów konstruktorów. Atakujący z prawem zapisu do projektu mogą tworzyć szablony webhooków używając notacji obliczanych właściwości, aby uzyskać dostęp do konstruktora Function i wykonać dowolny kod w procesie roboczym.

OpenPanel API do wersji 2.3.0 nie weryfikuje kryptograficznego skrótu sekretu klienta przed autoryzacją zdarzeń przychodów i filtrowania botów. Atakujący z publicznym ID klienta może podać dowolny fałszywy sekret, aby wstrzyknąć sfałszowane metryki przychodów i ominąć filtry antybotowe.

OpenPanel do wersji 2.3.0 nie escapuje kluczy właściwości w zapytaniach SQL do ClickHouse, co pozwala uwierzytelnionym użytkownikom na wstrzykiwanie logicznych warunków SQL. Atakujący może podać spreparowane nazwy filtrów, aby ominąć izolację projektów i uzyskać dostęp do metryk innych projektów.

OpenPanel do wersji 2.3.0 zapisuje tokeny uwierzytelniające Model Context Protocol z parametrów zapytania URL do zwykłych logów aplikacji bez maskowania. Atakujący z dostępem do standardowego wyjścia aplikacji lub scentralizowanych systemów logowania mogą przechwycić zakodowane w base64 poświadczenia, aby odtworzyć żądania MCP i uzyskać dostęp do analityki projektu.

hono w wersjach przed 4.13.7 nie escapuje znaków HTML w zwykłych łańcuchach renderowanych przez hono/jsx w kilku kontekstach, m.in. jako dziecko lub fallback Suspense, jako dziecko ErrorBoundary z asynchronicznym rodzeństwem, jako jedyne dziecko Context.Provider oraz jako wartość główna przekazywana do renderToString() lub renderToReadableStream(). W tych ścieżkach dane wejściowe są konwertowane na łańcuch i traktowane jako już zescapowany znacznik, co pozwala atakującemu wstrzyknąć dowolny HTML i wykonać skrypt w kontekście domeny aplikacji.

Wersje DBI przed 1.653 dla Perla ładują dowolne moduły przez niezweryfikowane atrybuty dbm_type i dbm_mldbm w DBD::DBM. Atrybuty te są przekazywane do require bez sprawdzenia, czy wartość wskazuje moduł, co pozwala na załadowanie i wykonanie kodu z dowolnego pliku.

Wtyczka Partial Shipment for Woocommerce dla WordPressa w wersjach do 3.4 włącznie jest podatna na brak autoryzacji w akcjach AJAX 'wxp_order_shipment', 'wxp_order_item_shipment' i 'wxp_order_set_shipped'. Brak kontroli uprawnień, weryfikacji nonce i sprawdzenia właściciela zamówienia pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na odczyt szczegółów zamówień innych klientów oraz modyfikację statusu wysyłki dowolnego zamówienia.

Wtyczka Empik for Woocommerce dla WordPressa w wersjach do 1.5.1 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika do wykonania akcji, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na modyfikację dowolnych metadanych produktów WooCommerce, w tym klasy logistycznej Empik, stanu produktu i flag eksportu.

Wtyczka Datalogics Ecommerce Delivery – Datalogics dla WordPressa w wersjach do 2.6.65 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na tworzenie i anulowanie rzeczywistych zamówień wysyłkowych przez zewnętrzne API logistyczne, modyfikację metadanych zamówień WooCommerce, nadpisanie tokenu API wtyczki i wyzwalanie e-maili z powiadomieniami o wysyłce.

Wtyczka WordLift – AI powered SEO – Schema dla WordPressa w wersjach do 3.54.10 włącznie jest podatna na ujawnienie danych wrażliwych poprzez endpointy REST API JSON-LD. Trasy /wordlift/v1/jsonld/ są zarejestrowane z permission_callback ustawionym na '__return_true', a konwerter pobiera posty przez get_post() bez weryfikacji statusu postu i uprawnień użytkownika, co pozwala nieuwierzytelnionym atakującym na odczyt metadanych prywatnych, roboczych i oczekujących postów.

W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem localPin prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

Wtyczka Gum Addon for Elementor dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'pop_tag' we wszystkich wersjach do 1.3.15 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.