Katalog podatności CVE

Dolibarr przed wersją 24.0.0 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym REST API do usuwania płatności, która pozwala uwierzytelnionym atakującym z uprawnieniami do usuwania faktur na trwałe usunięcie dowolnego rekordu płatności, omijając sprawdzanie uprawnień do wystawiania płatności. Atakujący mogą wyzerować kwoty płatności na fakturach i usunąć wpisy z eksportów księgowych, powodując utratę integralności danych finansowych.

Dolibarr przed wersją 24.0.0 zawiera podatność uszkodzonej autoryzacji na poziomie obiektu w trasach zapisu kont stron trzecich w REST API, która pozwala uwierzytelnionym atakującym z uprawnieniami do tworzenia stron trzecich na nadpisanie hasła WebPortal dowolnej firmy, omijając kontrole dostępu per obiekt, które są egzekwowane tylko na trasach odczytu. Atakujący mogą zastąpić hasło WebPortal ofiary, uwierzytelnić się jako ta firma i uzyskać dostęp do jej danych faktur, a także uzyskać poprzedni weryfikator hasła z odpowiedzi API.

Dolibarr przed wersją 24.0.0 zawiera podatność nieprawidłowej autoryzacji w API REST dla członków, która pozwala atakującemu z uprawnieniami tylko do tworzenia członków na zresetowanie hasła dowolnego konta użytkownika, w tym administratora systemu, bez weryfikacji uprawnień do zmiany hasła. Atakujący może podać identyfikator konta i nowe hasło w treści żądania, aby nadpisać dane uwierzytelniające i natychmiast zablokować prawowitego właściciela konta.

Dolibarr przed wersją 24.0.0 zawiera podatność na odzwierciedlone ataki XSS w szablonie administracji pól dodatkowych, gdzie parametr typu żądania jest wypisywany bez kodowania kontekstu JavaScript w bloku skryptu inline i nie jest emitowany nagłówek Content-Security-Policy. Nieuwierzytelniony atakujący może spowodować, że uwierzytelniony administrator otworzy spreparowany URL, aby wykonać dowolny JavaScript w tej sesji i utworzyć trwałe konto administratora.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.

To CVE zostało odrzucone. Powód: Red Hat nie jest CNA dla PHP. CVE zostało zarezerwowane błędnie; odpowiedni CNA powinien przypisywać identyfikatory CVE dla tych podatności.

To CVE zostało odrzucone. Powód: Red Hat nie jest CNA dla PHP. CVE zostało zarezerwowane błędnie; odpowiedni CNA powinien przypisywać identyfikatory CVE dla tych podatności.

W urządzeniu D-Link DI-8100G w wersji 17.12.20A1 parametr flag w msp_info może zostać wykorzystany do wykonania dowolnego kodu.

Urządzenie D-Link DI-7001 MINI_5G w wersji 19.10.31A1 zawiera podatność na wykonanie kodu w parametrze flag w msp_info, która może być wykorzystana do uruchamiania dowolnych poleceń.

W funkcji kontroli rodzicielskiej routerów Archer BE800 V1, BE3600 V1 i AX75 V1 istnieje nieuwierzytelniona podatność na wstrzykiwanie poleceń systemu operacyjnego z powodu niewłaściwego filtrowania i neutralizacji znaków specjalnych w niektórych parametrach. Atakujący z sieci LAN może wstrzyknąć dowolne polecenia i wykonać je z uprawnieniami roota. Skuteczne wykorzystanie może prowadzić do całkowitego przejęcia urządzenia i wpłynąć na poufność, integralność i dostępność urządzenia oraz ruchu sieciowego.

Wtyczka file-pix (ESM) w GIMP-ie zawiera usterkę polegającą na nieprawidłowym przydzielaniu tablicy o zmiennej długości (VLA) na stosie bez odpowiedniego sprawdzania granic podczas przetwarzania specjalnie spreparowanego pliku obrazu PIX. Powoduje to nieograniczoną alokację stosu, a następnie odczyt poza stosem o 21 bajtów. Może to prowadzić do odmowy usługi z powodu wyczerpania stosu oraz ograniczonego ujawnienia zawartości pamięci stosu do pliku pośredniego.

Hi.Events weryfikuje miejsce docelowe webhooka tylko podczas rejestracji, nigdy podczas użycia. Reguła NoInternalUrlRule rozwiązuje nazwę hosta za pomocą gethostbyname() i odrzuca prywatne i zastrzeżone zakresy, ale każda publiczna nazwa hosta przechodzi. Podczas wysyłki WebhookDispatchService wywołuje zapisany adres URL bez ponownego sprawdzania, a przekierowania są domyślnie włączone. Miejsce docelowe, które odpowiada przekierowaniem do adresu loopback, prywatnego lub metadanych chmury, powoduje, że serwer wysyła takie żądanie, a zmiana rekordu DNS po rejestracji daje ten sam efekt. Odpowiedź nie jest odrzucana: WebhookResponseHandlerService przechowuje treść w logu webhooka, a WebhookLogResource zwraca ją z punktu końcowego logów, więc żądający odczytuje odpowiedź wewnętrznego serwisu. Wersja 1.11.1-beta ponownie weryfikuje przy wysyłce, przypina zweryfikowany adres, sprawdza każdy przeskok przekierowania i dekoduje adresy przejściowe IPv6, które wcześniej omijały filtr.

Baserow interpoluje nazwę wyświetlaną użytkownika do znaczników wzmianek w formacie bogatym bez kodowania HTML. PATCH /api/user/account/ przechowuje wartość first_name dosłownie, a renderer wzmianek w web-frontend/modules/core/editor/mention.js buduje swój element za pomocą literału szablonu, który umieszcza nazwę w atrybucie data-label i treści elementu bez escapowania. Nazwa zawierająca cudzysłów zamyka ten atrybut i otwierający tag, więc dalszy znacznik trafia do treści elementu. Wynik jest renderowany przez v-html przez komponenty pól bogatych, więc każda komórka bogata wspominająca konto wykonuje zapisany skrypt dla każdego członka przestrzeni roboczej, który widzi tabelę, bez kliknięcia. Każdy członek przestrzeni roboczej, na najniższym poziomie uprawnień, może ustawić nazwę i dotrzeć do każdego innego członka przestrzeni roboczej, a ładunek pozostaje, dopóki nazwa nie zostanie zmieniona lub wiersz ze wzmianką nie zostanie usunięty. Wersja 2.3.0 escapuje wartość przed interpolacją.

AzuraCast udostępnia pola konfiguracji Liquidsoap przez punkt końcowy, który nie wymaga uprawnień do ich ochrony. Właściwość backend_config w Station.php jest oznaczona jako GROUP_GENERAL, a punkt końcowy PUT /api/station/{station_id}/profile/edit deserializuje z tą grupą, wymagając tylko uprawnienia StationPermissions::Profile. Metoda fromArray() przypisuje wszystkie publiczne właściwości bez sprawdzania uprawnień na poziomie pola, więc pola custom_config_top, custom_config, custom_config_pre_playlists, custom_config_pre_live, custom_config_pre_fade i custom_config_bottom są zapisywalne. ConfigWriter::writeCustomConfigurationSection() emituje te wartości dosłownie do skryptu .liq, gdzie funkcje process.run() i process.exec() wykonują polecenia systemu operacyjnego po restarcie backendu, co automatycznie wyzwala wbudowane zadanie synchronizacji. Dedykowany punkt końcowy dla tych danych wymaga uprawnień StationPermissions::Broadcasting, więc menedżer stacji z tylko uprawnieniem profilu może uzyskać konfigurację, która powinna być dostępna tylko dla operatorów transmisji.

OAuth2 Proxy honoruje nagłówek X-Forwarded-Uri dostarczany przez klienta przy podejmowaniu decyzji, czy żądanie może pominąć uwierzytelnianie, ponieważ zabezpieczenie dodane dla CVE-2026-40575 jest nieskuteczne w domyślnej konfiguracji reverse proxy. Funkcja GetRequestURI preferuje ten nagłówek nad rzeczywistym URI żądania, gdy CanTrustForwardedHeaders zwraca true, a isAllowedPath dopasowuje listę dozwolonych tras do wynikowej ścieżki. CanTrustForwardedHeaders przyznaje zaufanie, gdy adres wywołującego znajduje się w zaufanym zestawie proxy, a buildTrustedProxyNetSet domyślnie używa 0.0.0.0/0 i ::/0, gdy tryb reverse proxy jest włączony bez skonfigurowanego trusted_proxy_ip. Każdy klient jest więc traktowany jako zaufane proxy. Nieuwierzytelniony atakujący może żądać chronionej ścieżki, ustawiając X-Forwarded-Uri na wartość pasującą do dozwolonej trasy, więc decyzja o pominięciu uwierzytelniania jest podejmowana na podstawie sfałszowanej wartości, podczas gdy upstream otrzymuje niezmienioną chronioną ścieżkę.

Label Studio nie ogranicza punktu końcowego szczegółów adnotacji do organizacji użytkownika żądającego. AnnotationAPI w label_studio/tasks/api.py deklaruje queryset = Annotation.objects.all() i nie zapewnia nadpisania get_queryset, więc domyślne wyszukiwanie pobiera dowolną adnotację po kluczu podstawowym. Uprawnienia wymagane przez widok to annotations.view, annotations.change i annotations.delete, a każdy zalogowany użytkownik spełnia te wymagania, bez testu na poziomie obiektu. Identyfikatory adnotacji są sekwencyjnymi liczbami całkowitymi, więc uwierzytelniony użytkownik jednej organizacji może wyliczać identyfikatory, aby czytać, modyfikować i usuwać adnotacje należące do innych organizacji na tym samym wystąpieniu. Ten sam nieograniczony queryset pojawia się w AnnotationConvertAPI.

Narzędzie Continue CLI w trybie bez nadzoru (headless/auto) stosuje niekompletną listę zablokowanych poleceń jako jedyną ochronę przed destrukcyjnymi komendami powłoki. Zezwala na wykonanie polecenia Bash, a blokuje tylko niektóre ścieżki, co pozwala na rekurencyjne usunięcie katalogów takich jak /home, /root, /var, /opt czy /srv. Dodatkowo, przez parsowanie zmiennych, polecenie rm -rf $HOME nie jest blokowane, a inne niebezpieczne narzędzia (find, shred, wipefs, truncate, pkexec) nie są odpowiednio obsłużone.

Ten identyfikator CVE został odrzucony lub wycofany przez CVE Numbering Authority.