Katalog podatności CVE

Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Nieprawidłowa walidacja danych wejściowych shortcode w akcji renderowania bloku pozwala użytkownikom z dostępem na poziomie współautora na wykonanie dowolnych zarejestrowanych shortcode'ów.

Wtyczka Passster dla WordPressa przed wersją 4.3.7 nie ogranicza użytkownikom z niskimi uprawnieniami posiadającym możliwość edit_posts dostępu do globalnie chronionych treści przez WordPress core REST API, gdy włączona jest globalna ochrona. Pozwala to każdemu użytkownikowi z rolą Contributor lub wyższą na odczyt treści chronionych stron i wpisów bez znajomości hasła.

Wykryto podatność w NocteDefensor LudusMCP do wersji 1.0.24. Dotkniętym elementem jest nieznana funkcja pliku src/tools/ludusEnvironmentGuidesSearch.ts komponentu ludus_environment_guides_search. Manipulacja argumentem guide_name prowadzi do path traversal. Wymagany jest lokalny dostęp do ataku. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.

Podatność niezweryfikowanej własności w pardus-domain-joiner TÜBİTAK BİLGEM Software Technologies Research Institute pozwala na nadużycie uprawnień. Problem dotyczy wersji przed 0.5.5.

Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.

Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.

Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.

W bibliotece popt wykryto podatność polegającą na niedomiarze liczby całkowitej podczas formatowania tekstu pomocy dla tabel opcji szerszych niż szerokość terminala. Lokalny użytkownik, który może spowodować wydrukowanie pomocy w takich warunkach, może doprowadzić do awarii aplikacji lub braku wyświetlenia pomocy, co skutkuje odmową usługi.

Jenkins Webhook Secret Credentials Provider Plugin 16.v0cfa_f0215cf5 i wcześniejsze nie używa funkcji porównania w stałym czasie podczas sprawdzania, czy podany i oczekiwany token bearer webhooka są równe, co potencjalnie pozwala atakującym na użycie metod statystycznych do uzyskania prawidłowego tokena bearer webhooka.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie ogranicza typów obiektów, które mogą być tworzone w ramach konfiguracji strategii nazewnictwa projektów. Atakujący z uprawnieniem Overall/Manage może tworzyć dowolne typy związane z konfiguracją, w tym te przeznaczone tylko dla administratorów.

Electron to framework do tworzenia aplikacji desktopowych. Przed wersjami 39.8.8, 40.9.0, 41.2.1 i 42.0.0-beta.3 natywny popup autofill mógł być pozycjonowany przez iframe z innego pochodzenia poza granicami tego iframe, nad interfejsem strony osadzającej, co umożliwiało clickjacking lub podszywanie się pod zaufany interfejs. Aplikacje są dotknięte tylko wtedy, gdy osadzają niezaufane treści w iframe w oknach, które również wyświetlają zaufany interfejs. Aplikacje, które nie osadzają niezaufanych treści, nie są dotknięte.

Electron to framework do tworzenia aplikacji desktopowych. Przed wersjami 39.8.10, 40.9.0, 41.2.1 i 42.0.0-beta.3 dane ramek renderowania offscreen otrzymywane z procesu GPU nie były w pełni weryfikowane przez proces główny. Złamany proces GPU mógł spowodować odczyt poza zakresem pamięci przez proces główny podczas tworzenia obrazów zdarzeń malowania, ujawniając pamięć lub powodując awarię aplikacji.

IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych 26.0.0, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 007 oraz 24.0.0 do 24.0.0 Interim Fix 009 nie weryfikuje poprawnie, czy nazwa hosta pasuje do certyfikatu serwera, co potencjalnie pozwala na połączenia z serwerem kontrolowanym przez atakującego.

Kong Event Gateway w wersjach 1.0.0 do 1.1.1 oraz 1.2.0 nie wymusza rotacji kluczy przed osiągnięciem zalecanego limitu użycia dla kluczy szyfrowania AES-GCM z losowymi nonce, gdy włączona jest funkcja szyfrowania AWS IAM. Jeśli producent wysyła wiadomości ze stałą wysoką szybkością bez rotacji kluczy, która następuje tylko przy ponownym uruchomieniu instancji Kong Event Gateway, prawdopodobieństwo kolizji nonce staje się niezaniedbywalne. Autoryzowany konsument, który wykryje kolizję nonce, może odzyskać części plaintextu z dotkniętych wiadomości. Nowe wersje 1.1.2 i 1.2.1 wymuszają automatyczną rotację kluczy przed osiągnięciem zalecanego limitu.

Aplikacja ZTE Smart Life zawiera podatność na wstrzykiwanie SQL, która pozwala atakującym na wykonanie zapytań UNION SELECT w celu odczytania wrażliwych danych z bazy feedback.db, w tym kont użytkowników, numerów telefonów, treści opinii i ścieżek logów debugowania, co umożliwia kradzież lokalnych danych prywatnych.

Wtyczka DHL Shipping Germany dla WooCommerce przed wersją 4.0.1 nie chroni katalogu przechowywania etykiet wysyłkowych za pomocą kontroli dostępu niezależnej od serwera, polegając wyłącznie na pliku .htaccess Apache. Na serwerach nie honorujących .htaccess (np. nginx) nieuwierzytelniony odwiedzający może pobrać zapisane etykiety (zawierające imię i adres klienta), żądając przewidywalnych nazw plików.

Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.

Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).

W epsilla-cloud vectordb do wersji 0.3.18/df5a5f5afb85a2376a0f2f316c79dea9b2c6ac7a znaleziono podatność w funkcji SplitTokens/ShuntingYard w pliku engine/query/expr/expr.cpp komponentu Filter Parser. Manipulacja prowadzi do niewłaściwego sprawdzania nietypowych warunków. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.