Katalog podatności CVE

ChurchCRM to system zarządzania kościołem typu open-source. W wersjach przed 7.2.0, punkt końcowy usuwania rekordów rodzinnych (SelectDelete.php) umożliwia trwałe usunięcie rekordów rodzinnych oraz wszystkich powiązanych danych za pomocą zwykłego żądania GET bez walidacji tokenu CSRF.

ChurchCRM przed wersją 7.2.0 ma podatność SQL Injection w funkcji FinancialService::getMemberByScanString() z powodu niesanityzowanego parametru $routeAndAccount sklejanego z surowym SQL. Problem został naprawiony w wersji 7.2.0.

ChurchCRM przed wersją 7.2.0 ma podatność związaną z brakiem autoryzacji na poziomie obiektów w punkcie końcowym GET /api/person/{personId}. Każdy uwierzytelniony użytkownik z uprawnieniami EditSelf może wyliczać i czytać rekordy innych członków, ujawniając wrażliwe dane osobowe, takie jak imiona, adresy, numery telefonów i adresy e-mail.

Movary to samodzielnie hostowana aplikacja webowa do śledzenia i oceniania filmów. Przed wersją 0.71.1, zwykły uwierzytelniony użytkownik mógł podnieść swoje uprawnienia do administratora, wysyłając `isAdmin=true` do `PUT /settings/users/{userId}` dla swojego identyfikatora użytkownika.

Movary (self-hosted aplikacja do śledzenia i oceniania filmów) przed wersją 0.71.1 pozwala zwykłemu uwierzytelnionemu użytkownikowi wywołać żądania po stronie serwera do dowolnych celów wewnętrznych poprzez POST /settings/jellyfin/server-url-verify. Punkt końcowy przyjmuje URL kontrolowany przez użytkownika, dołącza /system/info/public i wysyła żądanie HTTP przez Guzzle bez ograniczeń dotyczących hostów wewnętrznych, adresów loopback lub zakresów sieci prywatnych. Umożliwia to SSRF i sondowanie sieci wewnętrznej, w tym wykrywanie hostów, stanu portów i fingerprinting usług.

SP1 to maszyna wirtualna zero-knowledge, która potwierdza poprawne wykonanie programów skompilowanych dla architektury RISC-V. W wersjach 6.0.0 do 6.0.2 występuje podatność na poprawność w weryfikatorze rekurencyjnych shardów, co pozwala złośliwemu proverowi skonstruować rekurencyjny dowód z dowodu shard, który zostałby odrzucony przez natywny weryfikator.

Wtyczka Easy Appointments dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 3.12.21 poprzez punkt końcowy REST API `/wp-json/wp/v2/eablocks/ea_appointments/`. Problem wynika z braku wymagań dotyczących uwierzytelnienia, co pozwala na dostęp do danych klientów bez autoryzacji.

Aplikacja monetr do budżetowania wydatków cyklicznych w wersjach 1.12.3 i poniżej ma problem z publicznym punktem końcowym webhooka Stripe, który buforuje cały body żądania w pamięci przed walidacją podpisu Stripe. Zdalny, nieautoryzowany atakujący może wysłać zbyt duże ładunki POST, co prowadzi do niekontrolowanego wzrostu pamięci i może spowodować odmowę usługi.

W wersjach 15.31.4 i poniżej, reguła walidacji OverlappingFieldsCanBeMerged w bibliotece graphql-go wykonuje porównania pól o tej samej nazwie odpowiedzi w czasie O(n²). Atakujący może wysłać zapytanie z tysiącami powtarzających się identycznych pól, co prowadzi do nadmiernego zużycia CPU podczas walidacji.

W wersjach 2.5 i poniżej, widok GymConfigUpdateView nie egzekwuje wymaganych uprawnień do zmiany konfiguracji siłowni, co pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację globalnej konfiguracji siłowni. Problem ten został naprawiony w wersji 2.5.

FastGPT to platforma do budowania agentów AI. W wersjach przed 4.14.9.5, punkt końcowy zmiany hasła jest podatny na atak typu NoSQL injection, co pozwala uwierzytelnionemu atakującemu na ominięcie weryfikacji 'starego hasła' poprzez wstrzykiwanie operatorów zapytań MongoDB.

DNN (wcześniej DotNetNuke) to otwartoźródłowa platforma zarządzania treścią w ekosystemie Microsoftu. Przed wersją 10.2.2 użytkownik mógł przesłać specjalnie przygotowany plik SVG, który mógł zawierać skrypty atakujące zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników DNN.

W narzędziu radare2 przed commitem bc5a890 wykryto podatność na wstrzykiwanie poleceń w ścieżce poleceń afsv/afsvj. Złośliwe pliki ELF mogą zawierać osadzone sekwencje poleceń r2 jako nazwy parametrów DWARF DW_TAG_formal_parameter, które są wykonywane podczas analizy pliku za pomocą polecenia aaa i uruchomienia afsvj, co umożliwia wykonanie dowolnych poleceń powłoki przez niesanitowaną interpolację parametrów w ciągu polecenia pfq.

Zrok to oprogramowanie do udostępniania usług internetowych, plików i zasobów sieciowych. W wersjach przed 2.0.1 funkcja endpoints.GetSessionCookie nieprawidłowo przetwarza liczbę fragmentów ciasteczek dostarczoną przez atakującego, co może prowadzić do nieograniczonego przydzielania pamięci na stercie i zakończenia procesu z powodu braku pamięci.

WeGIA to menedżer internetowy dla instytucji charytatywnych. W wersjach przed 3.6.10 zidentyfikowano podatność typu Stored Cross-Site Scripting (XSS) w funkcji 'Rejestracja członka'. Wstrzyknięcie ładunku do pola 'Nazwa członka' powoduje jego trwałe zapisanie w bazie danych.

WeGIA to menedżer internetowy dla instytucji charytatywnych. Wersje przed 3.6.10 zawierają podatność na wstrzykiwanie SQL w pliku dao/memorando/UsuarioDAO.php, gdzie parametr POST cpf_usuario nadpisuje tożsamość użytkownika przechowywaną w sesji, co pozwala atakującemu na wykonanie zapytań do bazy danych jako dowolny użytkownik.

HomeBox to system do zarządzania inwentarzem domowym. W wersjach przed 0.25.0 występowała podatność, w której identyfikator defaultGroup pozostawał na stałe przypisany do użytkownika po zaproszeniu do grupy, nawet po odebraniu mu dostępu do tej grupy.

Claude Code to narzędzie do kodowania, które w wersjach przed 2.1.75 na systemie Windows ładowało domyślną konfigurację systemową z pliku C:\ProgramData\ClaudeCode\managed-settings.json bez weryfikacji właściciela katalogu lub uprawnień dostępu. Użytkownik lokalny z niskimi uprawnieniami mógł stworzyć ten katalog i umieścić złośliwy plik konfiguracyjny, który byłby automatycznie ładowany dla każdego użytkownika uruchamiającego Claude Code na tej samej maszynie.

xrdp to otwartoźródłowy serwer RDP. W wersjach do 0.10.5 występuje przepełnienie bufora w stercie w implementacji EGFX z powodu niewystarczającej walidacji parametrów rozmiaru kontrolowanych przez klienta, co pozwala na zapis poza przydzielonym obszarem pamięci. Wykorzystanie tej podatności przed uwierzytelnieniem może spowodować awarię procesu, natomiast po uwierzytelnieniu może prowadzić do zdalnego wykonania kodu.

Urządzenia Anviz CX2 Lite i CX7 są podatne na nieautoryzowane żądania POST, które mogą modyfikować ustawienia debugowania, takie jak włączenie SSH.