Katalog podatności CVE

Podatność braku autoryzacji w module Drupal Calculate Working Days umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.0.3.

Podatność braku autoryzacji w module Drupal AI Translate umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 1.3.2 oraz od 1.4.0 do 1.4.1.

Podatność braku autoryzacji w module Drupal AI (Artificial Intelligence) umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 1.3.13 oraz od 1.4.0 do 1.4.8.

Podatność braku autoryzacji w module Drupal Advanced Search umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.4.5.

Moduł Drupal Media Library Importer zawiera podatność nieprawidłowego ograniczenia ścieżki do katalogu (Path Traversal), umożliwiającą atak Path Traversal. Problem dotyczy wersji od 0.0.0 do 2.1.6.

Roundcube Webmail w wersjach przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na obejście blokowania zdalnych treści w obsłudze atrybutów FuncIRI. rcube_washtml wykrywał token CSS url() za pomocą wzorca, który wyliczał tylko niektóre jego zapisane formy, więc wartości używające innych sekwencji ucieczki CSS, na przykład \000075rl( lub u\72 l(, nie były rozpoznawane i zdalne treści były ładowane z wiadomości HTML bez zgody użytkownika. Poprawka została wprowadzona w commicie „Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again)”, który rozwiązuje sekwencje ucieczki CSS przed dopasowaniem i sprawdza również atrybuty `to`, `from` i `by`.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność wstrzyknięcia nagłówków poczty w akcji Bounce (resend). rcube_mime::decode_address_list() nie usuwał znaków kontrolnych z zdekodowanej nazwy wyświetlanej, więc wiadomość, której nazwa wyświetlana w polu From zawiera sekwencje CRLF w encoded word, mogła wstrzyknąć dowolne nagłówki do wiadomości emitowanej przy odbiciu.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie nagłówków wiadomości e-mail. Funkcja rcmail_sendmail usuwała znaki nowej linii tylko z nagłówków Subject i Organization, pozostawiając inne wartości nagłówków pobierane z parametrów żądania bez sanityzacji, co pozwala uwierzytelnionemu zdalnie atakującemu wstrzyknąć dowolne nagłówki do wychodzącej wiadomości poprzez parametry References, In-Reply-To, Message-ID i From.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera obejście ograniczania zakresu CSS w wiadomościach HTML. Funkcja rcube_utils::mod_css_styles() nie traktowała prologu reguły @layer jako granicy selektora, przez co selektory po regule @-rule nie były ograniczane do treści wiadomości i mogły stylizować cały interfejs.

Roundcube Webmail przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na cross-site scripting w pluginie password. Tekst błędu zwracany przez sterownik hasła był wstawiany do komunikatu bez escapowania HTML, więc backend mogący wpłynąć na ten tekst (np. DirectAdmin API) mógł wstrzyknąć skrypt do interfejsu Roundcube.

W Roundcube Webmail przed wersją 1.6.20 oraz 1.7.x przed 1.7.5 występuje podatność wstrzyknięcia nagłówków poczty podczas przekazywania wiadomości jako załącznika. Temat przekazywanej wiadomości był używany dosłownie do generowania nazwy załącznika, więc odebrana wiadomość z sekwencjami CRLF w temacie mogła wstrzyknąć dowolne nagłówki części MIME do wychodzącej wiadomości.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność nieprawidłowej autoryzacji w sterowniku Modoboa pluginu password. Sterownik brał pierwszy wpis wyniku wyszukiwania kont zwróconego przez API Modoboa zamiast dopasować uwierzytelnionego użytkownika, więc zmiana hasła mogła zostać zastosowana do innego konta.

Grav od wersji 2.0.0 przed 2.2.5 zawiera lukę w kontroli dostępu w FlexDirectory::dynamicFlexField(), która pozwala autorom stron wywoływać dowolne metody obiektów Flex poprzez dyrektywy flex-*@ w frontmatterze strony. Gdy użytkownik z prawem edycji strony otwiera stronę, dyrektywy wywołujące setStorageKey() i delete() wykonują się w jego sesji, usuwając chronione strony, których żadne z kont nie może usunąć.

Wtyczka Grav Flex Objects 1.4.0 przed 1.4.17 zawiera obejście autoryzacji, ponieważ ogólne trasy API /api/v1/flex-objects/pages sprawdzają tylko uprawnienia admin.pages na poziomie katalogu, nie egzekwując uprawnień api.pages.read/write ani reguł na poziomie strony. Uwierzytelnieni użytkownicy niebędący superadministratorami mogą czytać źródła stron, modyfikować treść lub usuwać strony, do których nie mają uprawnień.

Grav w wersjach od 2.0.0 do przed 2.2.5 zawiera podatność ujawnienia informacji, która pozwala autorom stron przechwytywać dane uwierzytelniające HTTP Basic odwiedzających poprzez treść strony Twig. Autorzy mogą wypisać obiekt request Uri, zawierający PHP_AUTH_USER i PHP_AUTH_PW, wewnątrz wbudowanego stylu obrazu tła, aby eksfiltrować dane uwierzytelniające administratorów na zewnętrzny host.

WWBN AVideo w wersjach przed 29.4.0 zawiera podatność typu blind server-side request forgery w funkcji getHeaderContentTypeFromURL(), ponieważ get_headers() podąża za przekierowaniami bez ponownej walidacji celów za pomocą isSSRFSafeURL(). Uwierzytelnieni użytkownicy mogący przesyłać treści mogą zapisać link do wideo wskazujący na przekierowanie, co powoduje wewnętrzne żądania GET podczas przeglądania wideo, umożliwiając skanowanie portów wewnętrznych.

WWBN AVideo przed wersją 29.4.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala kontom delegowanym Users Admin na usuwanie lub modyfikowanie kont administratorów. Atakujący mogą wysyłać żądania do confirmDeleteUser.json.php lub userAddNew.json.php wymierzone w administratorów, aby usunąć ich filmy i konta lub je zmienić i zdegradować.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 12.0 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, w którym przy włączonej blokadzie członkostwa SAML lub LDAP dla całej instancji uwierzytelniony użytkownik mógł przyznać lub zaakceptować członkostwo w projekcie i grupie poza kontrolą dostawcy tożsamości z powodu niepełnego egzekwowania blokady dla żądań utworzonych przed jej włączeniem.

GitLab CE/EE w wersjach od 15.10 do przed 19.3.6, od 19.4 do przed 19.4.3 oraz od 19.5 do przed 19.5.1 zawierał błąd, który mógł pozwolić uwierzytelnionemu użytkownikowi na odczyt metadanych kamieni milowych, w tym tytułów, opisów i pełnych ścieżek projektów, z dowolnych prywatnych projektów w całej instancji bez członkostwa w projekcie. Przyczyną był brak kontroli autoryzacji na parametrze filtra projektu dostarczanym przez użytkownika w API kamieni milowych grupy.

GitLab CE/EE w wersjach od 18.2 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1 zawiera lukę, która w pewnych warunkach pozwalała uwierzytelnionemu użytkownikowi z tokenem o zakresie read_api pobrać przychodzący adres e-mail projektu i tworzyć elementy pracy, omijając ograniczenia tokenu z powodu niewystarczającego egzekwowania zakresu w polu GraphQL.