Katalog podatności CVE

W systemie ITFlow przed wersją 26.07 uwierzytelniony użytkownik z uprawnieniami Technika lub wyższymi może wstrzyknąć kod SQL poprzez parametr frequency w pliku agent/post/recurring_invoice.php. Parametr jest wprawdzie poddawany sanitizacji, ale wstawiany bez cudzysłowów do DATE_ADD, co pozwala na eskalację wstrzyknięcia i ujawnienie danych z bazy.

rhwp to przeglądarka i edytor HWP zaimplementowany w Rust i WebAssembly. Rozszerzenia przeglądarki używają uprawnienia hosta do wszystkich adresów URL do wykrywania linków HWP i HWPX, ale service workery nie weryfikują nadawcy wiadomości, schematu URL ani adresu docelowego przed uprzywilejowanymi żądaniami fetch. Niezaufana strona może zmusić handlery fetch-file i extract-thumbnail do żądania zasobów localhost lub sieci prywatnej. Gdy docelowy plik HWP lub HWPX zawiera wyodrębnialny PrvImage, rozszerzenie zwraca podgląd jako data URI w DOM czytelnym dla strony, co pozwala skryptowi strony go odczytać. Problem naprawiono w rhwp 0.7.15 i rozszerzeniu 0.2.4.

FairEmail to aplikacja e-mail dla Androida. Renderer wiadomości ActivityAMP włącza JavaScript w WebView, ale niekompletnie sanityzuje niezaufany HTML wiadomości. Dla hostów spoza listy dozwolonych usunięcie atrybutu src pozostawia elementy inline script w dokumencie i nie odrzuca atrybutów obsługi zdarzeń ani adresów javascript: w innych elementach. Spreparowany e-mail AMP może wykonać dowolny JavaScript, gdy odbiorca otworzy wiadomość i włączy przełącznik AMP. Problem naprawiono w wersji 1.2319.

W aplikacji Speakr przed wersją 0.8.21-alpha mechanizm csrf_exempt_for_api_tokens() trwale wyłącza ochronę CSRF dla wybranej widoku, a funkcja is_token_authenticated() uznaje każde obecne tokeny (w tym z parametru URL) za uwierzytelnione bez weryfikacji. Atakujący może zdalnie wyłączyć ochronę CSRF i przeprowadzić atak cross-origin.

W Browsertrix od wersji 1.15.0 do 1.22.8 nieprawidłowa sanityzacja adresów URL Git podanych jako Custom Behaviors pozwala na wstrzyknięcie poleceń przez /api/orgs/*/crawlconfigs/validate/custom-behavior. Użytkownik z uprawnieniami crawlera lub administratora może dostarczyć spreparowany adres URL Git, który wykona dowolne polecenia systemowe w podzie backendu.

W oprogramowaniu OpenReception przed wersją 1.1.1 endpoint POST /api/auth/passkeys przyjmuje userId z treści żądania oraz klucz passkey dostarczony przez atakującego bez uwierzytelnionej sesji, nie wywołuje WebAuthnService.verifyRegistration i nie wiąże rejestracji z locals.user.id. Nieuwierzytelniony atakujący znający publiczny identyfikator tenanta i adres e-mail pracownika może wstrzyknąć kontrolowany klucz publiczny, zidentyfikować pasujący userId i utworzyć sesję STAFF.

MapServer to system do tworzenia aplikacji GIS opartych na sieci Web. W wersji od 6.0 do 8.6.4 wyjście HTML OpenLayers dla SERVICE=WMS&REQUEST=GetMap&FORMAT=application/openlayers odzwierciedla kontrolowaną przez atakującego wartość X-Forwarded-Host bez escapowania jej dla łańcucha JavaScript w pojedynczych cudzysłowach. Gdy wdrożenie ufa nagłówkowi forwarded i nie ma skonfigurowanej stałej wartości ows_onlineresource lub MS_ONLINERESOURCE, osadzone pojedyncze cudzysłowy mogą uciec z generowanego łańcucha URL. Nieuwierzytelniony atakujący może spreparować URL, który wykona dowolny JavaScript w origin witryny MapServer, gdy ofiara go otworzy. Problem naprawiono w wersji 8.6.4.

W MapServer przed wersją 8.6.4 tłumaczenie filtrów PostGIS w msPostGISLayerTranslateFilter() traktuje filtr jako numeryczny, gdy skonfigurowano CONNECTIONTYPE POSTGIS i metadane typu Integer, ale nie sprawdza, czy dane wejściowe z CGI lub OGC API Features są literałem numerycznym. Niecytowane dane są wstawiane do predykatu SQL, co umożliwia wstrzyknięcie SQL.

W Glean przed wersją 0.2.6 endpoint POST /api/feeds/discover przekazuje kontrolowany przez atakującego feed_url do pobrania i przetworzenia bez walidacji sieciowej. Złośliwy kanał RSS może wymusić żądania do zasobów prywatnych, lokalnych lub metadanych chmury, a odpowiedź jest przechowywana i dostępna przez API.

W Wavelog od wersji 1.8 do 2.4.2 po instalacji pozostają dostępne pliki /install/ajax.php i /install/includes/interface_assets/triggers.php bez blokady instalacji lub sprawdzenia uprawnień. Nieoczyszczone dane wejściowe trafiają do write_config() i write_configfile(), co pozwala nieuwierzytelnionemu atakującemu odczytywać i zapisywać pliki logów oraz umieszczać kontrolowaną treść w plikach konfiguracyjnych PHP, która może zostać wykonana na serwerze.

Funkcje diagnostyki ping i inne podobne funkcje routera MitraStar GPT-2741GNAC-N2-SV z oprogramowaniem BR_g8.10_1.11(WVK.0)b46 umożliwiają uwierzytelnionym użytkownikom wykonanie dowolnych poleceń systemu operacyjnego poprzez połączone parametry w spreparowanym żądaniu POST do punktu końcowego /cgi-bin/device-management-utilities-internet.cgi.

W bibliotece dd-trace-cpp przed wersją 2.1.0 parsowanie przychodzących nagłówków W3C baggage nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS ani DD_TRACE_BAGGAGE_MAX_BYTES. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek z wieloma parami klucz-wartość lub jedną bardzo dużą wartością, powodując nadmierne zużycie CPU i pamięci.

W Datadog PHP Tracer przed wersją 1.19.2 funkcja ddtrace_deserialize_baggage parsuje przychodzące nagłówki W3C baggage bez egzekwowania limitów DD_TRACE_BAGGAGE_MAX_ITEMS i DD_TRACE_BAGGAGE_MAX_BYTES. Zdalny nieuwierzytelniony klient może wysłać wiele par klucz-wartość lub jedną zbyt dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

Metacat to oprogramowanie repozytorium danych dla naukowców. MetacatSolrIndex.query przekazuje kontrolowany przez klienta parametr qt przez Apache SolrJ z punktów końcowych wyszukiwania, takich jak /d1/mn/v2/query/solr/, do uprzywilejowanego backendu Solr. Nieuwierzytelniony klient może wybrać handler /admin/file, a SolrJ przeformatowuje parametr na żądanie akceptowane nawet przy handleSelect=false w Solr 7.0 lub nowszym. Gdy Solr zwraca wybrany plik konfiguracyjny rdzenia, Metacat osadza surową zawartość w odpowiedzi błędu przetwarzania XML, ujawniając wewnętrzne pliki, takie jak solrconfig.xml. Problem naprawiono w wersji 3.4.2.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.

W bibliotece OpenSlide od wersji 3.4.1 do 4.0.1 funkcja parse_level0_xml() przetwarza spreparowany plik Ventana BIF, akceptując niedodatnie liczby wierszy lub kolumn kafli. Nieprawidłowe wartości prowadzą do kontrolowanych przez atakującego przesunięć pamięci i zapisu dowolnych danych, co może skutkować awarią lub wykonaniem dowolnego kodu.

W Chamilo LMS od wersji 2.0.0 do co najmniej 2.1.0 prywatna treść wiadomości (Message.content) jest przechowywana bez sanityzacji po stronie serwera i renderowana jako HTML w MessageShow.vue oraz view_message.html.twig. Uwierzytelniony użytkownik o niskich uprawnieniach, w tym student, może wysłać spreparowaną wiadomość do administratora, która wykona się w przeglądarce odbiorcy po otwarciu skrzynki odbiorczej lub widoku wiadomości.

W Chamilo LMS przed wersją 2.0.1 nieuwierzytelniony zdalny atakujący może wykonać dowolny kod na serwerze. Autorytatywne źródło nie wskazuje dotkniętego endpointu, komponentu, danych wejściowych ani mechanizmu wykorzystania.

Grafana OSS i Grafana Enterprise nie bezpiecznie rozwiązują dowiązań symbolicznych podczas rozpakowywania archiwów wtyczek. Spreparowane archiwum może uciec z katalogu instalacji wtyczek, zapisując dowolne pliki i wykonywalny plik binarny poza nim, który następnie uruchamia się z uprawnieniami procesu Grafany.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.