Katalog podatności CVE

Serwer DRPC w Apache Storm utrzymuje mapę nazw funkcji do kolejek żądań, a wpisy nigdy nie są usuwane. Atakujący może wysyłać dowolne nazwy funkcji bez uwierzytelnienia (ponieważ `drpc.authorizer` jest domyślnie wyłączony), co prowadzi do niekontrolowanego wzrostu pamięci i ostatecznie do wyczerpania sterty.

Oprogramowanie sprzętowe Yealink SIP-T33G w wersjach 124.86.x.x przed 124.87.0.0 zawiera podatność typu race condition. Uwierzytelniony atakujący może przerwać aktywne procesy diagnostyczne, jednocześnie usuwając pliki wyjściowe zapisywane w przewidywalnych ścieżkach w katalogu diagnostycznym. Można wywołać operację diagnostyczną, taką jak traceroute lub ping, i równocześnie wywołać punkt końcowy usuwania plików, aby zatrzymać działający proces, pozostawiając system w niespójnym stanie.

Podatność niepoprawnej autoryzacji w Apache Syncope dotyczy usługi Reconciliation (pull i push). Ze względu na niekompletne sprawdzenia bezpieczeństwa delegowanej administracji, wywołania od administratorów bez odpowiednich uprawnień mogą zostać zaakceptowane, co pozwala na niedozwolone działania.

Podatność niepoprawnej autoryzacji w Apache Syncope wynika z błędnej implementacji sprawdzeń opartych na hierarchii Realm. Kontrola uprawnień prowadzona jest przez dopasowanie prefiksów, co powoduje, że dwa siostrzane Realmy o nazwach zaczynających się od tego samego ciągu znaków nie mogą być poprawnie odróżnione, prowadząc do nieautoryzowanego dostępu.

W Apache Syncope występuje podatność typu Improper Encoding or Escaping of Output. Uwierzytelnieni użytkownicy mogą zapisać ładunek formuły arkusza kalkulacyjnego w jednym ze swoich zwykłych atrybutów. Gdy tacy użytkownicy zostaną uwzględnieni w eksporcie CSV, a wygenerowany plik CSV zostanie otwarty w aplikacji arkusza kalkulacyjnego, formuła może zostać wykonana. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.7 oraz od 4.1.0-M0 do 4.1.2. Zaleca się aktualizację do wersji 4.0.8 / 4.1.3.

Podatność otwartego przekierowania (Open Redirect) w Apache Syncope dotyczy modułu SRA (Syncope REST API) podczas konfiguracji uwierzytelniania CAS. Adres URL docelowego serwera Apereo CAS jest wyznaczany bezwarunkowo na podstawie nagłówków HTTP dostarczanych przez klienta, co umożliwia atakującemu sterowanie celem przekierowania.

Dotknięte wersje MISP serwują przesłane obrazy SVG bez restrykcyjnej piaskownicy przeglądarki. Złośliwe skrypty wewnątrz SVG mogą wykonać się, gdy SVG jest otwierane bezpośrednio lub osadzone jako dokument, działając w kontekście MISP z sesją przeglądającego. Dotyczy to logo organizacji oraz obrazów SVG w raportach zdarzeń. Podatne zachowanie występuje na ścieżce serwowania, nie tylko podczas przesyłania. Wersje dotknięte: ≤2.5.45.

Dotknięte wersje interaktywnej powłoki CLI MISP nie zachowują w sposób niezawodny tożsamości personifikowanego użytkownika MISP w dziennikach audytowych. Zachowanie SysLogLogable przechowywało tożsamość w stanie instancji, który mógł zostać nadpisany, gdy inny model dołączył współdzielone zachowanie. W rezultacie późniejsze zapisy CLI mogły utracić przypisanie do użytkownika i być logowane niepoprawnie. Dodatkowo rekordy pochodzące z CLI nie miały znacznika CLI, przez co wyglądały jak zwykłe akcje webowe danego użytkownika. Wersje dotknięte: ≤2.5.45.

LangBot's plugin runtime (pakiet pip langbot_plugin) do wersji 0.4.17 uruchamia debug WebSocket server na 0.0.0.0:5401 z uwierzytelnianiem opartym na kluczu, który domyślnie jest pusty i nigdy nie jest ustawiany. Zdalny atakujący może zarejestrować dowolny 'debug plugin' bez poświadczeń, otrzymywać pełny kontekst wiadomości IM i wstrzykiwać fałszywe odpowiedzi, wysyłać wiadomości jako boty, czytać bazy wiedzy i rejestrować złośliwe narzędzia.

Froxlor w wersjach przed 2.2.5 nie waliduje znaków nowej linii w adresach URL przekierowań subdomen, co pozwala uwierzytelnionym klientom wstrzyknąć dowolne dyrektywy konfiguracji nginx lub Apache. Złośliwe adresy URL z literalnymi znakami nowej linii są zapisywane dosłownie do plików konfiguracji vhost podczas przebudowy cron, umożliwiając uszkodzenie konfiguracji serwera WWW, atak odmowy usługi lub przejęcie odpowiedzi HTTP dla hostowanych domen.

Froxlor przed wersją 2.3.7 nie ogranicza poprawnie wyszukiwania aliasów nadawców do bieżącego klienta w pliku customer_email.php. Uwierzytelnieni atakujący mogą wyliczać globalne identyfikatory aliasów nadawców i odczytywać dozwolone wartości nadawców innych klientów, podając dowolne parametry senderid w żądaniach potwierdzenia usunięcia.

Froxlor przed wersją 2.3.7 nie weryfikuje parametru mysql_server względem listy dozwolonych serwerów (allowed_mysqlserver) klienta w poleceniu API Mysqls.add. Atakujący mogą podać niedozwolony indeks serwera, aby tworzyć bazy danych i użytkowników MySQL na zabronionych serwerach, omijając kontrolę dostępu per klient.

EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.

laradashboard do wersji 1.2.2 zawiera podatność braku autoryzacji w endpointach Local License API, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać, nadpisywać i usuwać klucze licencji modułów premium. Atakujący z kontem o niskich uprawnieniach może uzyskać dostęp do endpointów GET /api/admin/licenses/show, POST /api/admin/licenses/store i POST /api/admin/licenses/remove, aby ujawnić poufne klucze licencji, wstrzyknąć wartości kontrolowane przez atakującego lub całkowicie usunąć przechowywane licencje.

LaraDashboard w wersjach 0.9.2 do 1.2.2 zawiera podatność na path traversal w obsłudze kopii zapasowych podczas aktualizacji rdzenia. CoreUpgradeController i BackupService łączą wartość backup_file/filename dostarczoną przez użytkownika bezpośrednio ze ścieżką katalogu kopii zapasowych bez normalizacji, bez basename() i bez weryfikacji, że wynikowa ścieżka pozostaje w storage/app/core-backups; uwierzytelniony użytkownik z uprawnieniem settings.edit może podać sekwencje ../, aby usunąć dowolne pliki lub przywrócić archiwum ZIP z dowolnej lokalizacji, zapisując dowolne pliki w katalogach aplikacji i osiągając zdalne wykonanie kodu.

LaraDashboard w wersjach 0.9.0 do 1.2.2 nie oczyszcza zawartości plików SVG podczas przesyłania multimediów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem media.create na przesyłanie złośliwych plików SVG zawierających skrypty. Gdy jakikolwiek użytkownik, w tym administrator, otworzy przechowywany plik SVG wyświetlany w kontekście aplikacji, osadzony JavaScript wykonuje się w kontekście pulpitu, umożliwiając przejęcie sesji i konta administratora.

File Browser do wersji 2.63.23 stosuje reguły ścieżek do żądanej ścieżki leksykalnej, ale rozwiązuje dowiązania symboliczne bez ponownego stosowania reguł do celu, co pozwala uwierzytelnionym użytkownikom na ominięcie reguł odmowy. Atakujący mogą czytać i nadpisywać pliki objęte zakazem, uzyskując do nich dostęp przez aliasy dowiązań symbolicznych, które wskazują na zabronione ścieżki.

File Browser w wersjach od 2.5.0 do 2.63.23 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym bezpośredniego przesyłania (resourcePostHandler w http/resource.go). W przeciwieństwie do handlera TUS, handler bezpośredniego przesyłania nie odrzuca celu będącego istniejącym katalogiem; żądanie POST z ?override=true skierowane na katalog kończy się niepowodzeniem w writeFile, a ścieżka czyszczenia wywołuje Fs.RemoveAll na ścieżce żądania, rekurencyjnie usuwając całe drzewo. Czyszczenie nie jest ograniczone uprawnieniem Perm.Delete ani regułą checkDescendants, więc uwierzytelniony użytkownik z domyślnymi uprawnieniami Create i Modify może usuwać katalogi, do których nie ma uprawnień.

File Browser do wersji 2.63.23 zawiera podatność na wyczerpanie pamięci w punkcie końcowym konwersji napisów, który ładuje całe pliki napisów do pamięci bez ograniczeń rozmiaru. Uwierzytelnieni atakujący z uprawnieniem pobierania mogą żądać konwersji dużych plików .srt, .ass lub .ssa i wyczerpać pamięć serwera poprzez równoczesne żądania, powodując odmowę usługi.

filebrowser do wersji 2.63.23 nie ogranicza rozmiaru wiadomości WebSocket w handlerze /api/command przed sprawdzeniem uprawnień, co pozwala uwierzytelnionym użytkownikom na buforowanie dowolnie dużych wiadomości. Atakujący mogą wysyłać zbyt duże wiadomości WebSocket, aby wyczerpać pamięć sterty serwera i spowodować odmowę usługi, niezależnie od ustawienia EnableExec lub uprawnienia Execute.