Katalog podatności CVE

GitPython przed wersją 3.1.55 nie wyłącza rozwijania zmiennych środowiskowych w obsłudze URL w metodach Remote.create() i Submodule.add(), co pozwala atakującym na eksfiltrację sekretów poprzez podanie URL zawierających odwołania do zmiennych. Atakujący mogą tworzyć URL z tokenami zmiennych środowiskowych, które są rozwijane do .git/config i .gitmodules, a następnie przesyłane do kontrolowanych przez atakującego hostów podczas operacji fetch lub pull.

GitPython przed wersją 3.1.57 nie zabezpiecza przekazywania opcji git w metodach IndexFile.checkout() i TagReference.create(), co pozwala atakującym na przekazanie niebezpiecznych opcji przez kwargs. Atakujący mogą użyć --prefix do nadpisania dowolnych plików zawartością repozytorium lub -F do odczytu dowolnych plików zwracanych w odpowiedzi.

Budibase Server przed wersją 3.40.0 zawiera podatność na wstrzyknięcie NoSQL w punkcie końcowym wykonywania zapytań MongoDB, gdzie parametry dostarczone przez użytkownika są interpolowane do szablonów zapytań JSON bez odpowiedniego oczyszczania metaznaków JSON. Atakujący z uprawnieniami do zapisu zapytań mogą wstrzyknąć znaki strukturalne JSON, aby zmienić zapytania MongoDB, omijając filtry i odczytując, modyfikując lub usuwając dowolne dokumenty.

Budibase przed wersją 3.40.0 zawiera podatność na wstrzyknięcie NoSQL w integracji z MongoDB, gdzie parametry dostarczone przez użytkownika są wzbogacane za pomocą handlebars z noEscaping: true i parsowane bez filtrowania operatorów. Atakujący mogą wstrzyknąć operatory MongoDB przez parametry zapytania, aby ominąć kontrolę dostępu per użytkownik, odczytać dowolne dokumenty, wykonać JavaScript przez operatory $where lub modyfikować kolekcje przez operacje update i delete.

Network-AI przed wersją 5.15.1 zawiera podatność polegającą na obejściu matchera zabezpieczeń, gdzie SandboxPolicy ocenia surowe ciągi poleceń z zachowanymi cudzysłowami, podczas gdy executor tokenizuje polecenia, usuwając cudzysłowy przed wykonaniem. Atakujący mogą tworzyć polecenia z cudzysłowami, które omijają listy blokad i bramki zatwierdzania, podczas gdy executor wykonuje identyczne niecytowane niebezpieczne argv.

Network-AI ClaudeHookBridge przed wersją 5.15.1 obcina ciąg docelowy do 500 znaków przed oceną denyPatterns, podczas gdy Claude Code wykonuje pełne, nieobcięte polecenie. Atakujący mogą umieścić niebezpieczną treść poza 500 bajtem w polu polecenia Bash, aby ominąć twardą listę blokad operatora i wykonać dowolne polecenia.

filebrowser przed wersją 2.63.19 zawiera podatność umożliwiającą usuwanie plików poza zakresem w mechanizmie ewakuacji pamięci podręcznej TUS, co pozwala uwierzytelnionym użytkownikom z uprawnieniem Create na usuwanie dowolnych plików poza ich zakresem. Atakujący mogą podmienić katalog nadrzędny na dowiązanie symboliczne w oknie TTL pamięci podręcznej, aby przekierować wywołanie os.Remove do celu poza zakresem, omijając zabezpieczenia ScopedFs i kontrole Perm.Delete.

File Browser przed wersją v2.63.22 nie sprawdza poprawnie reguł dostępu dla elementów podrzędnych podczas rekurencyjnych operacji kopiowania, zmiany nazwy i usuwania, co pozwala uwierzytelnionym użytkownikom na obejście kontroli dostępu opartej na ścieżkach. Atakujący mogą kopiować, zmieniać nazwy lub usuwać zabronione pliki, operując na dozwolonym katalogu nadrzędnym, co narusza izolację opartą na regułach dla poufności i integralności.

Gałąź rozwojowa SiYuan (endpoint wprowadzony przez commit 9b8e8956f, nieobecny w v3.7.3 lub master, naprawiony w v3.7.4) zawiera podatność braku autoryzacji w endpointcie /api/av/getAttributeViewSearchTarget. Trasa jest zarejestrowana tylko z CheckAuth i nie wykonuje żadnych kontroli autoryzacji (brak CheckReadonly, braku kontroli dostępu publikacji lub zaszyfrowanego notatnika). Mając identyfikator bazy danych z opublikowanej strony i słowo kluczowe, anonimowy czytelnik może zapytać endpoint, aby pobrać pasujące wiersze zawartości bazy danych, w tym wiersze, które filtry publikacji (FilterAttributeViewByPublishAccess) w przeciwnym razie wstrzymałyby. Żadna wydana stabilna wersja nie jest dotknięta.

Flowise przed wersją 3.1.3 zawiera podatność ucieczki z piaskownicy w pythonCodeValidator.ts, która nie blokuje natywnych metod Pandas DataFrame, takich jak to_csv, to_json, pipe i query. Uwierzytelnieni atakujący mogą to wykorzystać do eksfiltracji przesłanych danych CSV lub zapisu dowolnych plików w systemie plików serwera.

Zohocorp ManageEngine Password Manager Pro (wersje przed 13232) i PAM360 (wersje przed 8551) są podatne na obejście uwierzytelniania z powodu nieprawidłowej walidacji SAML.

Podatność niewłaściwej kontroli dostępu w dodatku Portal Generator do Priority ERP (opracowanym przez Soft Solutions). Dotyczy wszystkich wersji bez Priwall v3.

Podatność niewłaściwej kontroli dostępu w dodatku Portal Generator do Priority ERP (opracowanym przez Soft Solutions). Dotyczy wszystkich wersji bez Priwall v3.

Podatność ujawnienia wrażliwych informacji nieautoryzowanemu aktorowi w dodatku Portal Generator do Priority ERP (opracowanym przez Soft Solutions). Dotyczy wszystkich wersji bez Priwall v3.

@fastify/busboy w wersjach 3.1.0 do 3.2.0 jest podatny na atak DoS polegający na zablokowaniu pętli zdarzeń Node.js przez wysłanie żądania multipart z granicą o określonej długości. Atakujący może wysłać pojedyncze małe żądanie, które obciąża jeden rdzeń procesora i uniemożliwia obsługę innych żądań. Problem naprawiono w wersji 3.2.1.

@fastify/busboy w wersjach 1.0.0 do 3.2.0 jest podatny na awarię parsera przez wysłanie nagłówka części o nazwie będącej właściwością dziedziczoną, taką jak __proto__ lub constructor. Może to spowodować wyjątek TypeError i w niektórych przypadkach zakończenie procesu Node.js, prowadząc do nieuwierzytelnionego ataku DoS. Problem naprawiono w wersji 3.2.1.

Zohocorp ManageEngine Password Manager Pro (wersje przed 13232) i ManageEngine PAM360 (wersje przed 8552) są podatne na uwierzytelnione wstrzykiwanie SQL.

Wtyczka Fluent Forms dla WordPressa (wersje do 6.2.11) jest podatna na przechowywany atak XSS przez wartości Smartcode w powiadomieniach. Nieuwierzytelniony atakujący może wstrzyknąć skrypty, które wykonają się w przeglądarce administratora podczas przeglądania dzienników zgłoszeń. Wymaga to skonfigurowania powiadomień e-mail z użyciem podatnych wartości.

Wtyczka WP Helper Premium dla WordPressa przed wersją 4.7.6 nie weryfikuje klucza zamówienia podczas renderowania niestandardowej strony potwierdzenia zamówienia ani podczas obsługi powiązanych akcji AJAX. Umożliwia to nieuwierzytelnionym użytkownikom podgląd szczegółów zamówień innych klientów, w tym danych osobowych, oraz zmianę stanu dowolnych zamówień. Wykorzystanie wymaga aktywnego WooCommerce oraz włączonego modułu opcjonalnej strony potwierdzenia zamówienia.

Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.