Katalog podatności CVE

Podatność niewłaściwej kontroli dostępu w dodatku Portal Generator do Priority ERP (opracowanym przez Soft Solutions). Dotyczy wszystkich wersji bez Priwall v3.

Podatność niewłaściwej kontroli dostępu w dodatku Portal Generator do Priority ERP (opracowanym przez Soft Solutions). Dotyczy wszystkich wersji bez Priwall v3.

Podatność ujawnienia wrażliwych informacji nieautoryzowanemu aktorowi w dodatku Portal Generator do Priority ERP (opracowanym przez Soft Solutions). Dotyczy wszystkich wersji bez Priwall v3.

@fastify/busboy w wersjach 3.1.0 do 3.2.0 jest podatny na atak DoS polegający na zablokowaniu pętli zdarzeń Node.js przez wysłanie żądania multipart z granicą o określonej długości. Atakujący może wysłać pojedyncze małe żądanie, które obciąża jeden rdzeń procesora i uniemożliwia obsługę innych żądań. Problem naprawiono w wersji 3.2.1.

@fastify/busboy w wersjach 1.0.0 do 3.2.0 jest podatny na awarię parsera przez wysłanie nagłówka części o nazwie będącej właściwością dziedziczoną, taką jak __proto__ lub constructor. Może to spowodować wyjątek TypeError i w niektórych przypadkach zakończenie procesu Node.js, prowadząc do nieuwierzytelnionego ataku DoS. Problem naprawiono w wersji 3.2.1.

Zohocorp ManageEngine Password Manager Pro (wersje przed 13232) i ManageEngine PAM360 (wersje przed 8552) są podatne na uwierzytelnione wstrzykiwanie SQL.

Wtyczka Fluent Forms dla WordPressa (wersje do 6.2.11) jest podatna na przechowywany atak XSS przez wartości Smartcode w powiadomieniach. Nieuwierzytelniony atakujący może wstrzyknąć skrypty, które wykonają się w przeglądarce administratora podczas przeglądania dzienników zgłoszeń. Wymaga to skonfigurowania powiadomień e-mail z użyciem podatnych wartości.

Wtyczka WP Helper Premium dla WordPressa przed wersją 4.7.6 nie weryfikuje klucza zamówienia podczas renderowania niestandardowej strony potwierdzenia zamówienia ani podczas obsługi powiązanych akcji AJAX. Umożliwia to nieuwierzytelnionym użytkownikom podgląd szczegółów zamówień innych klientów, w tym danych osobowych, oraz zmianę stanu dowolnych zamówień. Wykorzystanie wymaga aktywnego WooCommerce oraz włączonego modułu opcjonalnej strony potwierdzenia zamówienia.

Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.

W funkcji filtrowania adresów URL w oprogramowaniu Palo Alto Networks PAN-OS występuje podatność na ujawnienie informacji, która umożliwia nieuwierzytelnionemu użytkownikowi z dostępem sieciowym uzyskanie wrażliwych informacji. Panorama nie jest dotknięta tą podatnością.

Podatność w middleware @cedar-policy/authorization-for-expressjs (wersje przed 0.3.0) powoduje rozbieżność między autoryzacją Cedar a routingiem Express. Middleware używa req.originalUrl (zawierającego query string) do dopasowania akcji Cedar, podczas gdy Express routuje na podstawie samej ścieżki. Atakujący może dodać parametr zapytania (np. /users/?x=1), aby ominąć bardziej restrykcyjną politykę i uzyskać dostęp do chronionego zasobu.

Meeting Room Booking System (MRBS) to aplikacja PHP do rezerwacji sal konferencyjnych. Przed wersją 1.12.2 istnieje podatność polegająca na braku walidacji URI dostarczanych przez użytkownika, co pozwala na pobieranie prywatnych lub lokalnych zasobów. Wersja 1.12.2 zawiera poprawkę, brak znanych obejść.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). W wersji fuxa-server 1.3.0, endpoint GET /api/project ujawnia wrażliwe dane konfiguracyjne projektu żądaniom w kontekście gościa, nawet gdy włączona jest opcja secureEnabled. Wersja 1.3.1 naprawia ten problem.

etcd to rozproszony magazyn klucz-wartość dla danych systemów rozproszonych. Przed wersjami 3.5.33, 3.6.14 i 3.7.1, atakujący sieciowo, który może dotrzeć do nasłuchującego TLS, może otworzyć wiele połączeń TCP i nigdy nie wysłać ClientHello. W client/pkg/transport/listener_tls.go, każde połączenie obsługiwane przez tlsListener.acceptLoop tworzy gorutynę, która blokuje się w nieskończoność wewnątrz tls.Conn.Handshake() i pozostaje śledzona w mapie oczekujących. Nieograniczony wzrost gorutyn i mapy może wyczerpać pamięć procesu etcd, powodując utratę dostępności klastra, a gdy etcd obsługuje Kubernetes, również płaszczyzny sterowania. Problem naprawiono w wersjach 3.5.33, 3.6.14 i 3.7.1.

etcd to rozproszony magazyn klucz-wartość dla danych systemów rozproszonych. Przed wersjami 3.5.33, 3.6.14 i 3.7.1, użytkownik z uprawnieniami READ do pojedynczego klucza może użyć interfejsu Watch gRPC z clientv3.WithFromKey(), aby otrzymywać zdarzenia watch dla każdego klucza leksykograficznie większego lub równego dozwolonemu kluczowi. W server/etcdserver/api/v3rpc/watch.go, otwarty znacznik RangeEnd jest przepisywany przed sprawdzeniem uprawnień RBAC w funkcji isRangeOpPermitted w server/auth/range_perm_cache.go, co powoduje, że żądanie jest traktowane jako watch dokładnego klucza. Żądania Range/Get i DeleteRange nie są dotknięte, a problem dotyczy tylko klastrów z włączonym uwierzytelnianiem. Problem naprawiono w wersjach 3.5.33, 3.6.14 i 3.7.1.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0, confluence_upload_attachment przekazuje dostarczoną przez klienta ścieżkę file_path bezpośrednio do open(file_path, "rb") w src/mcp_atlassian/confluence/attachments.py przez _upload_attachment_direct() bez wywołania validate_safe_path. Uwierzytelniony klient MCP może odczytać dowolny plik dostępny dla procesu serwera i wyeksfiltrować go do Confluence jako załącznik. Jeśli agent AI może zostać nakłoniony do wywołania narzędzia przez niezaufaną treść, ta sama wada może ujawnić zmienne środowiskowe serwera, takie jak CONFLUENCE_API_TOKEN i inne poświadczenia. Problem naprawiono w wersji 0.22.0.

blaze-server przed wersjami 0.23.18 i 1.0.0-M42 może scalać pola nagłówków trailerów z chunked body HTTP/1.1 do `Request.headers`. Ponieważ pola trailerów są kontrolowane przez atakującego, niezautentykowany zdalny klient może wstrzyknąć dowolne nazwy i wartości nagłówków, w tym X-Forwarded-For i wewnętrzne nagłówki autoryzacyjne, które proxy frontowe usunęło z sekcji nagłówków żądania, omijając decyzje oparte na zaufaniu do nagłówków.

Http4s (http4s-blaze-server) to minimalny, idiomatyczny interfejs Scala dla usług HTTP. Przed wersjami 0.23.18 i 1.0.0-M42, http4s-blaze-server agreguje fragmenty przychodzącej wiadomości WebSocket bez limitu całkowitego rozmiaru lub liczby fragmentów. Klient, który ukończy uzgadnianie WebSocket, może wysłać niezakończoną pofragmentowaną wiadomość i spowodować nieograniczony wzrost sterty w JVM serwera, co prowadzi do odmowy usługi przez OutOfMemoryError. Dotyczy to każdej aplikacji http4s obsługującej trasy WebSocket przez BlazeServerBuilder, nie jest wymagana żadna niestandardowa konfiguracja, a maxWebSocketBufferSize nie ogranicza agregatu, ponieważ ogranicza tylko pojedyncze ramki. Pojedyncze połączenie wysyłające ramki kontynuacji, które nigdy nie ustawiają FIN, zmusza serwer do buforowania każdego fragmentu aż do wyczerpania sterty, kończąc JVM z OutOfMemoryError na wątku selektora blaze. Małe fragmenty zwiększają koszt przez narzut na obiekt, więc niewielka ilość bajtów w sieci jest wystarczająca. Problem naprawiono w wersjach 0.23.18 i 1.0.0-M42.

Znaleziono usterkę w komponencie `search-v2-operator`. Użytkownik z określonymi uprawnieniami administracyjnymi na klastrze zarządzanym może wykorzystać podatność, która pozwala mu wstrzykiwać dowolne dane konfiguracyjne. Ta manipulacja może nadpisać krytyczne ustawienia, prowadząc do zastąpienia obrazów kontenerów. To ostatecznie skutkuje wstrzyknięciem obrazów kontenerów na klastrze zarządzanym, potencjalnie naruszając jego integralność.

Znaleziono usterkę w search-v2-api. Nieuwierzytelniony atakujący może wykorzystać tę podatność, wysyłając żądania z unikalnymi losowymi tokenami bearer. Każdy unikalny token tworzy trwały wpis w nieograniczonej pamięci podręcznej tokenReviews, która nie jest odpowiednio czyszczona. Może to prowadzić do wyczerpania pamięci poda search-api, co skutkuje odmową usługi (DoS).