Katalog podatności CVE

Podatność typu reflected XSS w kkFileView w wersjach od 5.0.0 do 5.0.2 poprzez endpoint /onlinePreview. Kontroler OnlinePreviewController przekazuje parametry page i kkagent kontrolowane przez użytkownika do szablonów FreeMarker bez sanityzacji, a szablony wstawiają te wartości do surowych kontekstów JavaScript.

Concrete CMS przed wersją 9.5.4 autoryzowało żądania OAuth REST API wyłącznie na podstawie tokenu bearer, bez ponownego sprawdzania stanu konta, dla którego token został wydany. Dezaktywacja, usunięcie lub zablokowanie użytkownika nie unieważniało jego istniejących tokenów, więc taki użytkownik zachowywał pełny dostęp do /ccm/api/1.0/* do czasu wygaśnięcia tokenu.

Adobe Experience Manager jest podatny na podatność typu stored Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego o niskich uprawnieniach do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, gdy ta odwiedzi stronę zawierającą podatne pole.

W vLLM przed wersją 0.28.0 treści żądań dla Chat Completions i Responses mogą ustawić media_io_kwargs.video.video_backend na pynvvideocodec, a MediaConnector.fetch_video przekazuje ten wybór do VideoMediaIO, nawet gdy konfiguracja startowa wybrała dekoder programowy. Logika _reserve_mm_ipc_gpu_memory budżetuje pamięć dekodera tylko na podstawie statycznej konfiguracji, więc backend VIDEO_LOADER_REGISTRY wybrany przez żądanie może utworzyć kontekst CUDA, powierzchnie dekodera i alokacje ramek, które nie zostały usunięte z budżetu KV-cache.

Podatność w Sogou Input Method w wersjach starszych niż 16.3.0.3498 (naprawiona w 16.3.0.3498) pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent biz_helper.exe.

SIMAC MyPHR 1.1 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym atakującym na dostęp i modyfikację dowolnych rekordów pracowników z powodu braku walidacji własności po stronie serwera. Atakujący może wysłać żądanie PUT do punktu końcowego aktualizacji pracownika z dowolnym identyfikatorem pracownika i kontrolowaną wartością hasła, aby przejąć konta docelowe, wyliczyć rekordy pracowników i uzyskać wrażliwe dane osobowe, w tym prywatne biuletyny płacowe.

Concrete CMS przed wersją 9.5.3 ujawniał starszy punkt końcowy wyszukiwania wpisów Express, który zwracał wyniki w formacie JSON bez wywoływania sprawdzenia uprawnień canViewExpressEntries() stosowanego w normalnym przepływie pulpitu i eksportu CSV. Nieuwierzytelniony odwiedzający, który znał lub odkrył identyfikator encji Express, mógł wyliczyć wyniki wyszukiwania wpisów tej encji, ujawniając wartości atrybutów przeznaczone tylko dla uprzywilejowanych użytkowników.

ContiNew Admin do wersji 4.1.0 zawiera podatność typu authorization bypass w endpointcie usuwania wiadomości prywatnych. Uwierzytelnieni użytkownicy mogą usuwać wiadomości i ogłoszenia innych użytkowników, podając dowolne identyfikatory w parametrze IdsReq, co pozwala na usunięcie dowolnego wiersza wiadomości oraz wyczyszczenie potwierdzeń odczytu wszystkich odbiorców bez weryfikacji właściciela.

TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.

Guns do wersji 8.3.5 zawiera podatność polegającą na nieprawidłowej kontroli dostępu w SysNoticeController, gdzie wymagane uprawnienie (requiredPermission) domyślnie przyjmuje wartość false i nie jest nadpisywane przez żadną metodę akcji. Uwierzytelnieni użytkownicy bez przypisanych ról mogą tworzyć, edytować, usuwać, publikować i wycofywać ogłoszenia systemowe dotyczące dowolnych użytkowników i działów.

Guns do wersji 8.3.5 zawiera podatność typu information disclosure w SysUserController, gdzie endpointy /sysUser/detail i /sysUser/page nie mają skonfigurowanego wymaganego uprawnienia (requiredPermission), co powoduje pominięcie walidacji RBAC przez interceptor uprawnień dla uwierzytelnionych użytkowników. Atakujący z dowolnym ważnym tokenem logowania może odczytać wrażliwe dane użytkowników, w tym nazwy kont, imiona i nazwiska, adresy e-mail, numery telefonów, ostatnie adresy IP logowania oraz przypisane role dla wszystkich użytkowników w systemie.

W SourceCodester Inventory and Monitoring System 1.0 wykryto podatność SQL injection w nieznanej funkcji pliku /index.php, wywoływaną manipulacją argumentem Username. Atak można przeprowadzić zdalnie, a publicznie ujawniony exploit może być wykorzystany.

W systemie ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto lukę bezpieczeństwa w funkcji index pliku UserController.java komponentu top.upstudy.crm.controller.UserController. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie. Produkt nie używa wersjonowania, dlatego informacje o wersjach podatnych i niepodatnych są niedostępne; projekt został poinformowany o problemie, ale nie odpowiedział.

W ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto podatność w funkcji top.upstudy.crm.utils.LoginUserUtil.releaseUserIdFromCookie prowadzącą do nieprawidłowego uwierzytelniania. Atak można zainicjować zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.

W GPAC 26.07.0 wykryto podatność w funkcji rmt_client_handle_ws_frame pliku src/utils/rmt_ws.c (komponent WebSocket Handler). Manipulacja argumentem payload_size może prowadzić do przepełnienia bufora na stercie. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

W urządzeniu Ruijie RG-EW3000GX w wersji EW_3.0(1)B11P380 wykryto podatność w module user_list_note, w pliku /etc/rg_config/admin. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W Concrete CMS w wersjach od 9.2.0 do 9.5.3 endpoint REST API do tworzenia użytkowników (POST /ccm/api/1.0/users, metoda add() w concrete/src/Api/Controller/Users.php) nie przeprowadzał sprawdzenia uprawnień przed utworzeniem konta. W rezultacie dowolny ważny token OAuth z zakresem users:add, w tym token client_credentials bez kontekstu użytkownika, mógł tworzyć aktywne, zweryfikowane konta użytkowników z pominięciem weryfikacji e-mail i zatwierdzenia administratora. Przy domyślnych ustawieniach rejestracji utworzone konta mogły edytować treść stron, co dawało ścieżkę do trwałego cross-site scripting.

Concrete CMS w wersjach od 9 do 9.5.3 nie weryfikował, czy element InstanceItem przesłany do endpointu podglądu custom-slot należy do instancji tablicy, do edycji której użytkownik był upoważniony, ani nie egzekwował uprawnienia do przeglądania strony przed wygenerowaniem treści podsumowania opartej na stronie. W rezultacie uwierzytelniony użytkownik posiadający uprawnienie edit-board-contents w jednej instancji tablicy mógł przesłać identyfikator elementu należącego do innej instancji i otrzymać pola podsumowania, w tym tytuł i opis strony, do której normalnie nie miał dostępu. Zespół bezpieczeństwa Concrete CMS nadał tej podatności ocenę CVSS v4.0 wynoszącą 5.3.

Dell Repository Manager w wersjach starszych niż 3.5.2 zawiera podatność nieprawidłowych domyślnych uprawnień. Atakujący z niskimi uprawnieniami i dostępem zdalnym może potencjalnie wykorzystać tę podatność do podniesienia uprawnień.

Dell Update Package Framework w wersjach przed 26.07.03 zawiera podatność typu stack-based buffer overflow. Nieuwierzytelniony atakujący z dostępem do sieci sąsiedniej może potencjalnie wykorzystać tę podatność, prowadząc do zdalnego wykonania kodu.