Katalog podatności CVE

Motyw Consulting dla WordPressa w wersjach do 6.7.16 włącznie jest podatny na eskalację uprawnień. Luka wynika z połączenia dwóch błędów: endpoint AJAX masterstudy_ms_stm_set_discard_transient przyjmuje dowolny klucz transient bez weryfikacji uprawnień i nonce, a mechanizm logowania deweloperskiego uwierzytelnia użytkowników na podstawie wartości transient bez odpowiedniej walidacji kryptograficznej. Uwierzytelniony atakujący z poziomem subskrybenta może ustawić token deweloperski i zalogować się jako dowolny użytkownik, w tym administrator.

W podatnych wersjach MISP nie jest konsekwentnie stosowane istniejące ograniczanie częstotliwości logowania nieudanych uwierzytelnień. Dwie gałęzie obsługi niepowodzeń uwierzytelniania API zapisywały bezpośrednio do modelu Log: żądania API bez klucza uwierzytelniającego oraz żądania z kluczem o nieprawidłowej długości. W przeciwieństwie do innych niepowodzeń uwierzytelniania ścieżki te omijały _shouldLog(), więc każde żądanie mogło utworzyć kolejny trwały wpis auth_fail. Dotyczy wersji ≤2.5.45.

W podatnych wersjach MISP używany jest Redis do ograniczania powtarzających się wpisów logowania nieudanych uwierzytelnień. Jednak User->setupRedis() zwraca false, gdy Redis jest niedostępny, a logika _shouldLog() zwracała true tylko wtedy, gdy instancja Redis istniała i nie było klucza ograniczającego. W związku z tym, gdy Redis był niedostępny, funkcja w ogóle nie pozwalała na zapis logu, skutecznie wyciszając rejestrowanie nieudanych uwierzytelnień na czas awarii. Dotyczy wersji ≤2.5.45.

Casdoor do wersji 4.4.0 zawiera podatność obejścia autoryzacji w punkcie końcowym /api/mcp, która pozwala atakującym z dowolnym clientId i clientSecret aplikacji uzyskać nieograniczony dostęp do administracji użytkownikami we wszystkich organizacjach. Atakujący mogą wyliczać rekordy użytkowników, w tym sole haseł i adresy e-mail, tworzyć konta administratorów, modyfikować i usuwać użytkowników w dowolnej organizacji.

evolution-api do wersji 2.3.7 zawiera niepoprawne porównanie tablic w middleware metricsIPWhitelist, które zawsze zwraca false, umożliwiając nieuwierzytelniony dostęp do endpointu /metrics. Atakujący mogą ominąć ograniczenia białej listy adresów IP, aby uzyskać dostęp do poufnych metryk ujawniających wersję serwera, nazwę klienta bazy danych, skonfigurowany adres URL serwera oraz szczegóły instancji WhatsApp.

lamp-cloud do wersji 5.10.0 zezwala na anonimowy dostęp do wzorca ścieżki /*/anno/**, co pozwala nieuwierzytelnionym atakującym odczytać pełną mapę właściwości systemowych JVM serwera. Atakujący mogą wysyłać żądania POST do /defGenProject/anno/getProperties, aby uzyskać wrażliwe informacje, takie jak classpath JVM, ścieżki systemu plików, szczegóły systemu operacyjnego i sekrety startowe.

W bibliotece pig w wersjach przed 4.1.0 występuje luka obejścia uwierzytelniania w punkcie końcowym /register/password. Wynik weryfikacji hasła jest ignorowany, więc dowolna wartość jest akceptowana jako aktualne hasło. Zdalny atakujący może podać nazwę użytkownika z niepoprawnym hasłem i nadpisać poświadczenia dowolnego konta, w tym konta administratora.

Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.

Jpom w wersjach do 2.11.12 nie weryfikuje własności przestrzeni roboczej przy rozwiązywaniu repositoryId w punkcie końcowym /build/branch-list. Uwierzytelniony użytkownik może uzyskać dostęp do repozytoriów z innych przestrzeni roboczych, w tym wyszukiwać repozytoria, ustalać ich typ oraz wykonywać polecenia git ls-remote z użyciem poświadczeń innych przestrzeni roboczych.

W gss-ntlmssp występuje wyciek pamięci w parserze NTLM target-info, gdy spreparowana wiadomość NTLM CHALLENGE zawiera zduplikowane wpisy AV_PAIR o wartościach tekstowych. Parser alokuje pamięć dla każdej wartości, ale nie zwalnia poprzedniej alokacji przy powtórzeniu tego samego typu AV_PAIR, co prowadzi do stopniowego wyczerpania pamięci klienta podczas uwierzytelniania NTLM.

W punkcie końcowym ping.php występuje luka wstrzyknięcia poleceń systemu operacyjnego, która nie wymaga uwierzytelnienia. Zdalny atakujący może wykonać dowolne polecenia w systemie operacyjnym, uzyskując zdalne wykonanie kodu.

Polyaxon w wersjach do 2.16.4 renderuje pola specyfikacji operacji w niesandboxowanym środowisku Jinja2 podczas przygotowywania uruchomienia po stronie serwera, co pozwala uwierzytelnionym użytkownikom na wykonanie dowolnego kodu. Atakujący mogą przesyłać uruchomienia z ładunkami Jinja2 w polach queue, namespace, conditions, presets lub dependencies, aby wykonać polecenia systemowe w kontekście procesu schedulera.

pgweb w wersjach do 0.17.0 pozostawia endpoint POST /api/connect bez zabezpieczeń, gdy skonfigurowano autoryzację connect-backend, co pozwala atakującym na podanie dowolnych ciągów połączenia do bazy danych. Atakujący mogą obejść mapowanie zasób-baza danych, dostarczając własny identyfikator sesji i URL połączenia, aby uzyskać dostęp do nieautoryzowanych baz danych i usług wewnętrznych.

KubeSphere w wersjach do 4.1.3 zawiera podatność typu server-side request forgery w endpoincie weryfikacji poświadczeń git, który przyjmuje niezwalidowane URL-e dostarczone przez wywołującego bez ograniczeń allowlisty. Uwierzytelnieni atakujący mogą podać dowolne URL-e, aby dotrzeć do usług wewnętrznych i wykraść poświadczenia basic-auth z Sekretów w dowolnym namespace.

Steedos Platform do wersji 3.0.15-beta.47 zawiera podatność na odbite XSS w anonimowym punkcie końcowym /api/page/render, który nieprawidłowo escapuje parametry zapytania w elementach skryptu inline. Atakujący mogą tworzyć złośliwe linki z sekwencjami kończącymi skrypt w parametrach schemaApi lub data, aby wykonać dowolny JavaScript w sesjach ofiar i ukraść poświadczenia X-Auth-Token.

W GNOME Shell wykryto błąd polegający na braku walidacji wymiarów ikony zadeklarowanych przez zdalnego dostawcę wyszukiwania przesyłane przez D-Bus względem rzeczywistego rozmiaru bufora danych. Złośliwy lub przejęty dostawca wyszukiwania może podać zbyt duże wymiary ikony, powodując odczyt poza zakresem bufora. Może to doprowadzić do awarii procesu GNOME Shell i przerwania sesji użytkownika oraz potencjalnie ujawnić dane z sąsiedniej pamięci.

fast-uri to parser URI zgodny z RFC 3986 dla Node.js używany przez Fastify i ajv, który w wersji 4.1.3 dodał parser schematu mailto. W wersjach 4.1.3 i 4.1.4 parser mailto porównuje nazwy pól zapytania z nazwami zarezerwowanymi to, subject i body, gdy nazwa jest jeszcze zakodowana procentowo, a dekoduje ją dopiero przy zapisie jako nagłówek ogólny. W efekcie zakodowana procentowo nazwa pola zarezerwowanego nie jest rozpoznawana przy parsowaniu, ale jest ponownie emitowana jako dosłowna nazwa pola przy serializacji URI. Aplikacja, która waliduje, loguje lub wyświetla listę odbiorców z pierwszego parsowania, a następnie serializuje URI i wysyła je, może w ten sposób nieświadomie uzyskać odbiorcę wybranego przez atakującego, a pola subject i body mogą zostać przemycone w tym samym cyklu.

fast-uri to parser URI zgodny z RFC 3986 dla Node.js używany przez Fastify i ajv. W wersjach przed 2.4.7, od 3.0.0 do 3.1.7 oraz od 4.0.0 do 4.1.4 fast-uri zamienia host na małe litery przed jego dekodowaniem procentowym, więc zakodowany procentowo wielki oktet, np. %41, dekoduje się do dosłownego A, które nigdy nie zostaje zamienione na małą literę. Dla referencji względem schematu, takiej jak //host, nie ma schematu, więc kanonizacja hosta, która normalnie by to naprawiła, nie uruchamia się, a parse, normalize i equal dają różne wyniki dla tego samego hosta. Aplikacja podejmująca decyzję o hoście z rozróżnianiem wielkości liter na podstawie wyniku fast-uri, np. lista dozwolonych lub zabronionych hostów porównująca sparsowany host lub używająca equal, może zostać ominięta przez zakodowany procentowo wielki oktet, a ponieważ nazwy hostów w DNS i HTTP są niewrażliwe na wielkość liter, omijający zapis i tak trafia do hosta, który kontrola miała blokować.

Konwersja spreparowanego wejścia EUC_JISX0213 do UCS-4 lub wewnętrznego kodowania szerokich znaków, na przykład za pomocą iconv, w GNU C Library w wersjach od 2.3 do 2.44 może spowodować, że konwerter nie robi postępów, powodując zawieszenie aplikacji wywołującej. Niektóre sekwencje EUC_JISX0213 dekodują się do dwóch punktów kodowych; jeśli bufor wyjściowy ma miejsce tylko na pierwszy z nich, konwerter zapisuje drugi w stanie konwersji i zwraca E2BIG, ale nigdy nie czyści tego oczekującego znaku po jego wyemitowaniu w następnym wywołaniu. Konwerter następnie stale emituje oczekujący znak bez zużywania dalszego wejścia, więc aplikacja ponawiająca konwersję zapętla się w nieskończoność. Wejście musi być kontrolowane przez atakującego, a aplikacja musi konwertować je z buforem wyjściowym wystarczająco małym, by rozdzielić dwa punkty kodowe. Dotyczy tylko zestawu znaków EUC_JISX0213, który nie jest powszechnie używany.

Konwersja spreparowanego wejścia SHIFT_JISX0213 do UCS-4 lub wewnętrznego kodowania szerokich znaków, na przykład za pomocą iconv, w GNU C Library w wersjach od 2.3 do 2.44 może spowodować, że konwerter nie robi postępów, powodując zawieszenie aplikacji wywołującej. Niektóre sekwencje SHIFT_JISX0213 dekodują się do dwóch punktów kodowych; jeśli bufor wyjściowy ma miejsce tylko na pierwszy z nich, konwerter zapisuje drugi w stanie konwersji i zwraca E2BIG, ale nigdy nie czyści tego oczekującego znaku po jego wyemitowaniu w następnym wywołaniu. Konwerter następnie stale emituje oczekujący znak bez zużywania dalszego wejścia, więc aplikacja ponawiająca konwersję zapętla się w nieskończoność. Wejście musi być kontrolowane przez atakującego, a aplikacja musi konwertować je z buforem wyjściowym wystarczająco małym, by rozdzielić dwa punkty kodowe. Dotyczy tylko zestawu znaków SHIFT_JISX0213, który nie jest powszechnie używany.