Katalog podatności CVE

W aktorze scan_mysql pakietu leapp-upgrade-el9toel10 (dostarczanego przez leapp-repository) występuje luka pozwalająca na podniesienie uprawnień. Podczas aktualizacji RHEL 9 do RHEL 10 aktor uruchamia mysqld --validate-config --log-error-verbosity=2 bezpośrednio jako root, omijając jednostkę systemd MySQL, która normalnie uruchamia demona jako User=mysql. Proces przejęty jako tożsamość mysql może zapisać trwałą konfigurację (mysqld-auto.cnf) i złośliwą bibliotekę współdzieloną w /var/lib/mysql, ustawiając plugin_dir i early_plugin_load, aby MySQL załadował kontrolowany obiekt podczas walidacji konfiguracji. Gdy administrator uruchomi przepływ preupgrade lub upgrade Leapp, kod atakującego może wykonać się jako UID 0 z pełnym zestawem uprawnień w domenie SELinux unconfined_t.

Podatność w MISP wynika z polegania na przetwarzaniu nadpisań metod żądań w CakePHP, co może wyłączyć walidację CSRF i zabezpieczeń formularzy. CakePHP honoruje pole _method lub nagłówek X-HTTP-Method-Override, zmieniając efektywną metodę żądania. Dla wartości spoza standardowych czasowników (POST, PUT, PATCH, DELETE) CakePHP czyści treść żądania, przez co MISP pomija walidację _validatePost() i _validateCsrf(). Atakujący może wysłać formularz z _method=GET, aby ominąć zabezpieczenia.

W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_node_list_insert_child w pliku scenegraph/base_scenegraph.c, co prowadzi do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecana jest aktualizacja do wersji abi-16.23, która zawiera poprawkę.

W GPAC do wersji f1219cde wykryto podatność w funkcji gf_node_activate_ex w pliku scenegraph/base_scenegraph.c, prowadzącą do przepełnienia bufora na stosie. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_node_get_name_and_id w pliku scenegraph/base_scenegraph.c, co prowadzi do użycia po zwolnieniu (use-after-free). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecana jest aktualizacja do wersji abi-16.23.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_url_concatenate_ex w pliku utils/url.c, co prowadzi do przepełnienia bufora na stercie. Atak musi być przeprowadzony lokalnie. Zalecana jest aktualizacja do wersji abi-16.23, która zawiera poprawkę.

W GPAC do wersji f1219cde wykryto błąd w funkcji gf_mo_get_od_id w pliku compositor/media_object.c komponentu Compositor. Manipulacja może prowadzić do użycia po zwolnieniu (use-after-free). Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji abi-16.24 rozwiązuje problem.

W bibliotece GPAC wykryto podatność przepełnienia bufora w stercie w funkcji mpgviddmx_process w pliku filters/reframe_mpgvid.c komponentu MPEG Video Reframer. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny. Problem naprawiono w wersji abi-16.23.

W SourceCodester Online Faculty Clearance System 1.0 wykryto podatność w funkcji move_uploaded_file w pliku production/edit_picture.php komponentu Profile Picture Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

proxy-addr to moduł Node.js określający adres klienta za zaufanymi odwrotnymi proxy, używany przez Express req.ip i req.ips. W wersjach 1.1.0 do 2.0.7 podsieć zaufania zapisana w notacji IPv4-mapped IPv6 z prefiksem rozmiaru IPv4, np. ::ffff:10.0.0.0/8 zamiast ::ffff:10.0.0.0/104, jest akceptowana bez błędu, ale ufa wszystkim adresom IPv4 w internecie. Ponieważ socket peer staje się zaufany na hop 0, każdy nieuwierzytelniony klient może dostarczyć dowolny nagłówek X-Forwarded-For i kontrolować adres odczytywany przez aplikację.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.7.7 włącznie, poprzez parametr 'mediaId', z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może uzyskać dostęp do transkrypcji prywatnych załączników audio innych użytkowników, w tym administratorów. Podatność wymaga włączonego modułu Public API.

Wtyczka Eventin dla WordPressa do wersji 4.1.23 włącznie jest podatna na eskalację uprawnień. Funkcja PermissionManager::manage_permissions() jest zarejestrowana jako callback na filtrze map_meta_cap i bezwarunkowo zwraca zawsze prawdziwy prymityw 'exist' dla każdej kontroli uprawnień, gdy ID użytkownika wynosi 1, bez ograniczenia do uprawnień specyficznych dla wtyczki. Pozwala to uwierzytelnionym atakującym z ID 1, nawet subskrybentom, przejść wszystkie kontrole uprawnień WordPressa, w tym manage_options, edit_plugins, edit_themes, promote_users i update_core, co prowadzi do pełnego przejęcia strony i zdalnego wykonania kodu. Eksploitacja jest skuteczna tylko gdy użytkownik ID 1 został celowo zdegradowany do roli o niższych uprawnieniach; na domyślnych instalacjach, gdzie ID 1 ma rolę administratora, nie ma dodatkowego wzrostu uprawnień.

Wtyczka Job Postings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'position_button' we wszystkich wersjach do 2.8.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'etn_shedule_objective' w schedule_slot we wszystkich wersjach do 4.1.23 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

W SourceCodester Online Faculty Clearance System 1.0 wykryto podatność na iniekcję SQL w nieznanej funkcji pliku /delete_faculty1.php, poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.

W D-Link DI-8300 16.07 wykryto podatność w funkcji rzgl_asp w pliku /rzgl.asp komponentu CGI Service. Manipulacja argumentem redirct_url powoduje przepełnienie bufora na stosie. Zdalne wykorzystanie jest możliwe, a exploit został opublikowany i może być użyty.

W stamparm maltrail do wersji 3.0.1 wykryto słabość w funkcji _blacklist w pliku core/httpd.py komponentu Blacklist Endpoint. Manipulacja może prowadzić do braku uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Problem naprawiono w wersji 3.1.

W D-Link DI-8400 16.07 odkryto lukę w funkcji ddns_asp w pliku /ddns.asp komponentu DDNS Configuration. Manipulacja argumentami serv/user/host/wild/mx/bmx/cust/ip powoduje przepełnienie bufora na stosie. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony i może być użyty do ataków.

Aplikacja Android "ManabiPocket for Parents" zawiera podatność na nieprawidłową kontrolę dostępu w jednym z jej komponentów. Złośliwa aplikacja zainstalowana na urządzeniu może wykorzystać ten komponent przez Intent, potencjalnie uzyskując wrażliwe informacje z aplikacji.