Katalog podatności CVE

Adminer przed wersją 5.4.3 zawiera podatność na zdalne wykonanie kodu w obsłudze zapytań SQLite, gdzie polecenie VACUUM INTO nie jest blokowane mimo ograniczeń ATTACH. Uwierzytelnieni atakujący mogą wykonać VACUUM INTO, aby zapisać kod PHP do dowolnych ścieżek plików i wykonać polecenia na serwerze.

Adminer przed wersją 5.4.3 zawiera podatność na nieograniczone przesyłanie plików we wtyczce AdminerFileUpload, która pozwala uwierzytelnionym użytkownikom przesyłać pliki PHP poprzez wykorzystanie domyślnej, zbyt liberalnej listy dozwolonych rozszerzeń. Atakujący mogą przesłać webshell PHP do kolumn kończących się na _path i wykonać dowolny kod jako użytkownik serwera WWW, gdy uploadPath jest serwowany przez WWW.

Adminer przed wersją 5.4.3 zawiera podatność na dowolne usuwanie plików w trybie SQLite, gdzie akcja usuwania listy baz danych nie sprawdza poprawnie rozszerzeń plików przed usunięciem. Uwierzytelniony atakujący może przesłać dowolne względne ścieżki plików w parametrze db[], aby usunąć dowolne pliki zapisywalne przez proces PHP.

Adminer w wersjach od 5.3.0 do 5.4.2 z włączoną wtyczką sql-log zawiera podatność na dowolny zapis plików w parametrze ns w plugins/sql-log.php. Uwierzytelniony użytkownik może podać sekwencje przechodzenia poza katalog w parametrze ns, aby zapisać dowolne pliki .sql z treścią kontrolowaną przez atakującego w dowolnym katalogu z prawem zapisu na hoście.

Adminer przed wersją 5.5.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w walidatorze pola serwera w formularzu logowania, który sprawdza tylko początkowe liczby całkowite dla uprzywilejowanych portów i nie odrzuca nie numerycznych wartości portów. Atakujący mogą wstrzyknąć klucze DSN PDO, takie jak host= i port=, do parametru serwera, aby ominąć ograniczenie uprzywilejowanych portów i nawiązać połączenia TCP z dowolnymi wewnętrznymi hostami i portami przed uwierzytelnieniem.

Adminer w wersjach od 4.6.0 do przed 5.5.0 dodaje nagłówek X-Forwarded-Prefix dostarczony przez klienta do $_SERVER["REQUEST_URI"] bez sprawdzania zaufanego proxy i bez walidacji wartości prefiksu. Atakujący może podać absolutny URL (np. X-Forwarded-Prefix: https://evil.example), który trafia do nagłówków przekierowań Location, atrybutu ścieżki Set-Cookie i samoodnośnych linków. Umożliwia to uwierzytelnione otwarte przekierowanie po zmianach stanu POST, nieuwierzytelnioną kontrolę atrybutu ścieżki ciasteczka sesji i zatruwanie samoodnośnych linków; CR/LF nie mogą być wstrzyknięte, więc podział nagłówków/XSS nie jest możliwy.

Wtyczka BetterLinks dla WordPressa do wersji 3.1.0 włącznie ma podatność na obejście autoryzacji, umożliwiającą uwierzytelnionym atakującym z dostępem na poziomie subskrybenta tworzenie dowolnych skróconych linków z kontrolowanymi slugami i celami przekierowań. Wymaga to aktywnej wtyczki Fluent Boards oraz dostępności nonce na każdej stronie.

Adminer w wersjach 4.6.0-5.5.0 (poprawione w 5.5.1) ma niekompletną poprawkę podatności X-Forwarded-Prefix. Walidacja odrzuca tylko prefiksy zaczynające się od '/', ale pozwala na wartości takie jak '/\evil.com', które po normalizacji przeglądarki stają się sieciowym odwołaniem ścieżki, wpływając na atrybut Path w ciasteczkach.

Wtyczka Events Manager dla WordPressa do wersji 7.4.0 włącznie jest podatna na wstrzykiwanie SQL przez parametr 'meta_key' w akcji duplikowania wydarzeń/lokalizacji. Atakujący z dostępem na poziomie współautora mogą wstrzyknąć dodatkowe zapytania SQL, co pozwala na wyciągnięcie wrażliwych danych z bazy.

Wtyczka WP Courses LMS dla WordPressa do wersji 3.2.29 włącznie ma podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'resultID'. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą odczytywać odpowiedzi i wyniki quizów innych użytkowników, enumerując wartości resultID.

SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.

OpenEXR w wersjach 3.1.0-3.2.10, 3.3.0-3.3.12 i 3.4.0-3.4.13 ma podatność na przepełnienie liczby całkowitej w funkcji unpack_sample_table(), co może prowadzić do odczytu z nieprawidłowego adresu pamięci i awarii podczas dekodowania złośliwego pliku EXR z głębokimi kafelkami.

OpenEXR przed wersjami 3.2.10, 3.3.12 i 3.4.13 ma podatność na nieskończoną pętlę w funkcji roundListSizeUp() w SampleCountChannel. Podanie wartości UINT_MAX powoduje zapętlenie, co prowadzi do zawieszenia aplikacji (denial of service).

OpenEXR w wersjach 3.4.0-3.4.12 ma podatność na dereferencję pustego wskaźnika w funkcji exr_attr_set_bytes(). Podanie dodatniej wartości hint_length z pustym wskaźnikiem type_hint powoduje deterministyczną awarię, co prowadzi do odmowy usługi.

OpenEXR przed wersjami 3.2.10, 3.3.12 i 3.4.13 ma podatność na zapis poza dozwolony obszar pamięci (heap out-of-bounds write) w funkcji SampleCountChannel::set(). Błąd w obliczaniu współrzędnej Y może prowadzić do zapisu przed buforem, co może skutkować uszkodzeniem pamięci i awarią.

OpenEXR w wersjach 3.4.0-3.4.12 ma podatność na błąd asercji w ścieżce dekodowania HTJ2K, co pozwala na wywołanie awarii procesu (abort) przez złośliwy plik EXR skompresowany HTJ2K. Problem wynika z przekazania nieprawidłowych danych do biblioteki OpenJPH, która używa asercji zamiast obsługi błędów.

OpenEXR jest referencyjną implementacją i specyfikacją formatu obrazu EXR, szeroko używanego w przemyśle filmowym. W wersjach od 3.4.0 do 3.4.12, spreparowany plik EXR skompresowany HTJ2K powoduje bezwarunkowe przerwanie procesu w każdej aplikacji, która wywołuje exr_start_read() na niezaufanym wejściu, co prowadzi do odmowy usługi. Awaria jest wywoływana przez marker QCD, którego dolne pięć bitów jest zerowe, co OpenEXR przekazuje do dołączonej biblioteki OpenJPH podczas konstruowania strumienia kodowego i oceny parametrów delta kwantyzacji. OpenJPH używa asercji zamiast odzyskiwalnego błędu do walidacji tych bitów, więc każda nieprawidłowa wartość wywołuje bezpośrednio abort() i nie może być przechwycona przez otaczającą obsługę błędów, co jest pogłębione przez to, że OpenEXR otacza tylko wewnętrzny parser nagłówka HT obsługą błędów, pozostawiając późniejsze odczyty strumienia kodowego i wywołania konstrukcji niechronione. Problem został rozwiązany w wersji 3.4.13.

W Faveo Helpdesk do wersji 2.0.3 występuje podatność na przechodzenie do innych katalogów (path traversal) w funkcji unlink w pliku SettingsController.php (komponent Logo Handler). Manipulacja argumentem data1 umożliwia zdalne usunięcie dowolnych plików. Exploit został publicznie ujawniony i może być wykorzystany.

W Faveo Helpdesk do wersji 2.0.3 wykryto brak uwierzytelnienia w funkcji FormController::post_ticket_reply w pliku app/Http/Controllers/Client/helpdesk/FormController.php. Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.

Nieuwierzytelniona podatność arbitralnego usuwania plików w MasterStudy LMS w wersjach do 3.7.42.