Katalog podatności CVE

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje, czy pole właściwości należy do określonego przebiegu (run) przed aktualizacją jego wartości. Uwierzytelniony użytkownik z uprawnieniami do zarządzania właściwościami przebiegu może zawiesić wtyczkę Playbooks poprzez żądanie REST odwołujące się do pola właściwości należącego do innego przebiegu.

Bifrost rejestruje klientów MCP przez API zarządzania, a klient stdio to polecenie wraz z argumentami, które jest uruchamiane natychmiast po dodaniu klienta, bez wymaganego uzgadniania MCP. Domyślnie uwierzytelnianie jest wyłączone (governance.auth_config.is_enabled=false), więc każdy wywołujący jest traktowany jako lokalny administrator. Pojedynczy nieuwierzytelniony POST /api/mcp/client wystarcza, aby uruchomić dowolny program jako użytkownik procesu Bifrost (appuser w oficjalnym obrazie).

Narzędzie ASRock Polychrome SYNC/RGB firmy ASRock Inc. zawiera podatność typu niewłaściwa kontrola dostępu. Uwierzytelniony lokalny atakujący może wysłać specjalnie spreparowane żądanie IOCTL, powodując zapis przez sterownik do niewłaściwie ograniczonych portów I/O, co skutkuje wymuszonym restartem systemu operacyjnego.

Narzędzie ASRock Polychrome SYNC/RGB firmy ASRock Inc. zawiera podatność typu dereferencja niezaufanego wskaźnika. Uwierzytelniony lokalny atakujący może wysłać specjalnie spreparowane żądanie IOCTL, powodując dereferencję niezwalidowanego wskaźnika przez sterownik, co skutkuje awarią systemu operacyjnego.

W Yot CMS do wersji 3.3.1 wykryto podatność w funkcji Login w pliku global.php komponentu Cookie Handler. Manipulacja argumentami yot3_user/yot3_pass prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach.

W Open5GS do wersji 2.7.x wykryto lukę w funkcji amf_nnrf_try_old_amf_discovery_fallback w pliku src/amf/nnrf-handler.c komponentu Old AMF Discovery Fallback. Manipulacja argumentem discovery_option prowadzi do użycia zwolnionej pamięci (use after free), a atak można przeprowadzić zdalnie. Poprawka została zidentyfikowana jako ddd683a35f8aaac2b7b9884a24cd53bddfc65238.

W urządzeniu D-Link DWR-M921 w wersji 1.1.52 wykryto podatność w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem targetAPSsid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.

W urządzeniu D-Link DWR-M921 w wersji 1.1.52 wykryto podatność dotyczącą funkcji formsysCmd w pliku /boafrm/formsysCmd w komponencie Boa Dispatch Table. Manipulacja argumentem sysCmd prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może zostać wykorzystany.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje uprawnień do zarządzania członkami kanału podczas tworzenia uruchomienia playbooka. Uwierzytelniony członek kanału może dodać dowolnego użytkownika do kanału o ograniczonym dostępie poprzez pole właściciela uruchomienia.

EFence opracowany przez Thinking Software Technology zawiera podatność typu SQL Injection, umożliwiającą nieuwierzytelnionym zdalnym atakującym wstrzyknięcie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

W Apache Syncope występuje podatność polegająca na nieprawidłowej weryfikacji podpisu kryptograficznego. Gdy SRA jest skonfigurowane dla OAuth 2.0 bez przypisanego URI JWKS, atakujący może sfałszować dowolne tokeny JWT, podszywając się pod dowolną tożsamość i uprawnienia użytkownika oraz uzyskując pełny dostęp do usług proxy SRA.

W Apache Syncope występuje podatność umożliwiająca obejście uwierzytelniania poprzez podszywanie się. Gdy ujawnione zostaną skonfigurowane ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (co najmniej protokół i klucz), atakujący może podszyć się pod uprawnienia innego użytkownika po pomyślnym uwierzytelnieniu i uzyskaniu ważnego tokenu JWT.

W Apache Syncope występuje podatność polegająca na umieszczaniu poufnych informacji w pliku dziennika. Gdy skonfigurowany jest klucz AES o niestandardowej długości (innej niż 16/24/32 bajty), Syncope uzupełnia podaną wartość losowymi znakami, a wynikowa wartość klucza jest zapisywana w logach.

W warstwie trwałości Neo4j w Apache Syncope występuje podatność na wstrzyknięcie Cypher podczas przetwarzania niektórych warunków wyszukiwania FIQL. Może to pozwolić na manipulację zapytaniami do bazy grafowej.

W Apache Syncope występuje podatność typu SQL injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Administrator z odpowiednimi uprawnieniami może wykonać dowolny SQL poprzez zapytania złożone (stacked queries), wykorzystując nieoczyszczone klauzule sortowania w wyszukiwaniu zadań.

Rozszerzenie Joomla SP Page Builder (Free i Pro) w wersjach 4.0.0–6.9.0 zawiera podatność typu brak kontroli dostępu w procesie tworzenia pozycji menu. Procedura dodawania do menu wywoływała bezpośrednio metodę save() modelu com_menus, który sam nie wykonuje autoryzacji, ponieważ odpowiednie sprawdzenia znajdują się w kontrolerze com_menus; jedynym zastosowanym sprawdzeniem było core.edit na com_sppagebuilder. Użytkownicy bez jakichkolwiek uprawnień do com_menus mogli tworzyć pozycje menu, a ponieważ identyfikator rekordu był pobierany z pola jform[menuid], mogli także nadpisywać istniejące pozycje. Flaga home była odczytywana z bazy danych i zachowywana, więc główna pozycja menu witryny mogła zostać przekierowana, pozostając pozycją główną.

W rozszerzeniu SP Page Builder (wersje 4.0.0 - 6.9.0) parametr folder z żądania zastępował w całości generowaną nazwę katalogu docelowego i był przekazywany do Folder::create() oraz File::upload() bez sprawdzenia granic katalogu. Umożliwiało to zapis plików w dowolnym katalogu poniżej katalogu głównego witryny, w tym administrator/, templates/, cli/ oraz w katalogu głównym. Filtr PATH w Joomla uniemożliwiał wyjście powyżej web root, a istniejące pliki nie były nadpisywane.

Rozszerzenie Joomla SP Page Builder (Free i Pro) w wersjach 4.0.0 - 6.9.0 zawiera błąd braku ograniczenia katalogu w zadaniu zmiany nazwy mediów, umożliwiający zmianę nazwy dowolnego pliku. Zadanie zmiany nazwy nie stosowało kontroli granic katalogu, a walidacja nie sprawdzała spójności identyfikatora i ścieżki, co pozwalało na zmianę nazwy plików w całej instalacji, w tym configuration.php.

W rozszerzeniu SP Page Builder Pro (wersje 5.1.4 - 6.9.0) dodatek optin_form odczytywał typ CAPTCHA, oczekiwaną odpowiedź oraz flagę włączenia z żądania, a nie z zapisanej konfiguracji dodatku. Weryfikacja sprowadzała się do porównania md5($captcha_question) != $captcha_answer, gdzie oba argumenty pochodziły od atakującego, co pozwalało na obejście CAPTCHA bez uwierzytelnienia.

Rozszerzenie Joomla SP Page Builder (Free i Pro) w wersjach 5.2.1 - 6.9.0 zawiera podatność SQL Injection w wtyczce Content. Funkcja plgContentSppagebuilder::onContentAfterSave() odczytywała jform[attribs][sppagebuilder_article_id] z żądania i wstawiała ją bezpośrednio do zapytania SQL bez cytowania lub rzutowania typu. Atakujący mógł przeprowadzić czasową ślepą iniekcję SQL w celu odczytu dowolnych danych z bazy, w tym tabel #__users i #__session.