Katalog podatności CVE

Podatność wyścigu typu time-of-check time-of-use (TOCTOU) w AshAuthentication pozwala atakującemu posiadającemu wyciekły magic link na wielokrotne użycie jednorazowego tokenu i uwierzytelnienie się jako docelowy podmiot. Nic nie serializuje sprawdzenia ważności tokenu względem jego zużycia, więc równoczesne użycia tego samego tokenu kończą się sukcesem, a każde zwraca pełny token użytkownika. Unieważnienie następuje dopiero po weryfikacji JWT, a zapis unieważnienia jako upsert pozwala równoczesnemu duplikatowi zakończyć się sukcesem.

Podatność typu „Inefficient Algorithmic Complexity” w AshAuthentication umożliwia nieuwierzytelnionemu atakującemu wyczerpanie CPU i pamięci przez przesłanie zbyt dużego segmentu base62 w kluczu API. Funkcje dekodujące mają złożoność kwadratową/sześcienną i nie ograniczają długości wejścia.

Użycie jednokierunkowego hasha z przewidywalną solą w AshAuthentication (team-alembic) umożliwia czytelnikom magazynu audytu odzyskanie adresów IP klientów, które tryb prywatności :hash ma pseudonimizować. Funkcja hash_ip/1 używa pojedynczego niekluczowanego hasha SHA-256 z solą, która domyślnie jest stałą wartością opublikowaną w źródle, pozwalając na pełną prekomputację tablicy dla przestrzeni IPv4. Skrócenie do 16 znaków heksadecymalnych nie zapobiega odzyskaniu, a nawet poprawnie skonfigurowana sól może zostać odgadnięta po wycieku.

Podatność w bibliotece AshAuthentication (dodatek audit_log) polega na zapisywaniu do dziennika audytu pełnego rekordu użytkownika, w tym atrybutu hashed_password, gdy akcja audytowana jest wywoływana z ustawionym aktorem. Oznaczenie atrybutu jako wrażliwego nie pomaga, ponieważ redakcja dotyczy tylko inspect/1, a nie kodowania JSON ani surowego zapisu. Problem dotyczy wersji od 4.12.0 do 4.15.0 oraz od 5.0.0-rc.0 do 5.0.0-rc.2.

Podatność „Authorization Bypass Through User-Controlled Key” w AshAuthentication pozwala uwierzytelnionemu atakującemu na nadpisanie i potwierdzenie adresu e-mail innego użytkownika, co prowadzi do przejęcia konta. Token potwierdzający wydany dla jednego użytkownika jest akceptowany dla innego.

W SmallRye JWT's AwsAlbKeyResolver, używanym do weryfikacji tokenów JWT podpisanych przez AWS Application Load Balancers, wykryto lukę. Gdy skonfigurowany jest dostawca kluczy AWS_ALB, resolver konstruuje URL pobierania klucza, bezpośrednio łącząc kontrolowaną przez atakującego wartość nagłówka kid z przychodzącego JWT bez sanityzacji znaków przejścia ścieżki lub separatorów zapytań. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu wymusić na serwerze aplikacji wysyłanie żądań GET do dowolnych ścieżek w tej samej domenie co skonfigurowany endpoint klucza.

Podatność polegająca na niewystarczającym wygaśnięciu sesji w AshAuthentication umożliwia atakującemu, który zdobędzie wartość stanu OAuth2 ofiary, powtórzenie wywołania zwrotnego i zalogowanie ofiary na konto kontrolowane przez atakującego. Wpis sesji nie jest usuwany w przypadku nieudanego uwierzytelnienia z powodu błędnego zakresu w Elixir, więc wartość ochrony CSRF pozostaje przez anulowane lub nieudane próby aż do kolejnego żądania lub wygaśnięcia sesji.

Podatność „Use of HTTP Request With Sensitive Query String” w AshAuthenticationPhoenix powoduje, że jednorazowy token logowania jest przekazywany jako parametr zapytania w adresie URL podczas przekierowania po zalogowaniu. Token może zostać ujawniony w logach serwera, historii przeglądarki itp.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność niewłaściwego ograniczenia ścieżki do katalogu restrykcyjnego (Path Traversal). Nisko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do dostępu do systemu plików przez atakującego.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność Server-Side Request Forgery (SSRF). Nisko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do fałszowania żądań po stronie serwera.

Dell OpenManage Server Administrator w wersjach wcześniejszych niż 11.1.0.3 zawiera podatność niewłaściwego zarządzania uprawnieniami. Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę podatność do manipulacji informacjami i nieautoryzowanego dostępu.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność Cross-Site Request Forgery (CSRF). Nieuwierzytelniony atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do zdalnego wykonania.

Podatność „Improper Authentication” w AshAuthentication pozwala osobie posiadającej token logowania dla jednego zasobu na zalogowanie się jako użytkownik innego zasobu. Problem wynika z nieprawidłowego parsowania klauzuli sub w tokenie JWT.

Nieuwierzytelniona podatność Broken Access Control w BerqWP w wersjach <= 4.1.15. Podatność pozwala na obejście kontroli dostępu bez uwierzytelnienia.

Wtyczka Xagio SEO w wersjach do 7.1.0.43 włącznie zawiera podatność typu Cross Site Request Forgery (CSRF), którą może wykorzystać nieuwierzytelniony atakujący. Brak ochrony przed CSRF pozwala na wymuszenie na zalogowanym użytkowniku wykonania niechcianych akcji.

Podatność Cross Site Scripting (XSS) wtyczki Geo Mashup w wersjach do 1.13.21 włącznie. Osoba z uprawnieniami autora (Contributor) może wstrzyknąć złośliwy skrypt do strony. Umożliwia to wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Podatność w bibliotece AshAuthentication (wersje od 0.2.0 do przed 4.15.0 oraz od 5.0.0-rc.0 do przed 5.0.0-rc.14) dotyczy nieprawidłowej weryfikacji podpisu kryptograficznego. Mechanizm unieważniania tokenów nie sprawdza podpisu, co pozwala atakującemu na neutralizację unieważnienia lub wstawienie dowolnych wierszy do zasobu tokenów.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce User Registration w wersjach do 5.2.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji, które powinny być chronione, np. do panelu administracyjnego lub wrażliwych zasobów.

Podatność Cross Site Request Forgery (CSRF) w wtyczce PublishPress Series w wersjach do 3.1.3 włącznie. Ataki CSRF mogą zostać przeprowadzone bez uwierzytelnienia, co umożliwia egzekwowanie niechcianych akcji w imieniu zalogowanego administratora.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Booking Calendar w wersjach do 11.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji rezerwacji i zarządzania, które powinny być ograniczone.