Katalog podatności CVE

Wtyczka WCFM – Frontend Manager for WooCommerce dla WordPressa (wersje do 6.7.25 włącznie) zawiera podatność na Insecure Direct Object Reference (IDOR) w wielu akcjach AJAX, takich jak `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product` oraz w kontrolerze zarządzania artykułami. Brak walidacji identyfikatorów obiektów dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym (z dostępem na poziomie Vendor i wyższym) modyfikację statusu dowolnego zamówienia, usuwanie lub modyfikację dowolnego posta/produktu/strony, niezależnie od własności.

Electron w wersjach od 39.0.0-alpha.1 do przed 39.8.0, od 40.0.0-alpha.1 do przed 40.7.0 oraz od 41.0.0-alpha.1 do przed 41.0.0-beta.8 zawiera podatność na ominięcie izolacji kontekstu. Aplikacje przekazujące obiekty VideoFrame (z API WebCodecs) przez contextBridge są podatne na atak. Osoba atakująca, która może wykonać JavaScript w głównym świecie (np. przez XSS), może użyć mostkowanego VideoFrame, aby uzyskać dostęp do izolowanego świata, w tym do API Node.js udostępnionych skryptowi preload.

PraisonAI przed wersją 4.5.97 zawiera podatność w SubprocessSandbox we wszystkich trybach (BASIC, STRICT, NETWORK_ISOLATED). Funkcja subprocess.run() jest wywoływana z shell=True i polega wyłącznie na dopasowywaniu wzorców stringów do blokowania niebezpiecznych komend. Lista blokowanych nie zawiera sh ani bash jako samodzielnych plików wykonywalnych, co pozwala na łatwą ucieczkę z sandboksa w trybie STRICT poprzez sh -c '<polecenie>'.

Electron przed wersjami 39.8.1, 40.7.0 i 41.0.0 ma podatność use-after-free w aplikacjach używających renderowania poza ekranem i zezwalających na okna potomne przez window.open(). Zniszczenie nadrzędnego WebContents przy otwartym oknie potomnym może prowadzić do awarii lub uszkodzenia pamięci.

Electron przed wersjami 38.8.6, 39.8.0, 40.7.0 i 41.0.0-beta.8 jest podatny na use-after-free w obsłudze żądań uprawnień pełnego ekranu, blokady wskaźnika lub blokady klawiatury, gdy aplikacja rejestruje asynchroniczny program obsługi `session.setPermissionRequestHandler()`. Jeśli ramka żądająca nawiguje lub okno zamyka się w trakcie oczekiwania na odpowiedź, wywołanie zapisanego wywołania zwrotnego powoduje dereferencję zwolnionej pamięci, co może prowadzić do awarii lub uszkodzenia pamięci.

Electron przed wersjami 38.8.6, 39.8.1, 40.8.0 i 41.0.0-beta.8 zawiera podatność use-after-free w module powerMonitor. Po zwolnieniu obiektu PowerMonitor przez garbage collector, zasoby systemowe pozostają z wiszącymi referencjami, co przy zdarzeniach sesji (Windows) lub wyłączeniu systemu (macOS) może prowadzić do awarii lub uszkodzenia pamięci.

Electron przed wersjami 38.8.6, 39.8.0, 40.7.0 i 41.0.0-beta.8 zawiera nieudokumentowaną opcję webPreference commandLineSwitches, która pozwala na dołączanie dowolnych przełączników do linii poleceń procesu renderowania. Aplikacje konstruujące webPreferences z niezaufanych obiektów konfiguracyjnych mogą pozwolić atakującemu na wyłączenie sandboxa renderowania lub kontroli bezpieczeństwa sieci.

W PraisonAI przed wersją 1.5.95 funkcja FileTools.download_file() nie waliduje parametru URL, przekazując go bezpośrednio do httpx.stream() z follow_redirects=True. Atakujący kontrolujący URL może uzyskać dostęp do dowolnego hosta dostępnego z serwera, w tym do metadanych chmury i usług wewnętrznych.

PraisonAI przed wersją 1.5.90 zawiera podatność na wstrzykiwanie poleceń w funkcji run_python(). Funkcja konstruuje polecenie powłoki z danych wejściowych użytkownika bez odpowiedniego escapowania, co pozwala na wykonanie dowolnych poleceń OS przed uruchomieniem Pythona.

PraisonAI przed wersją 4.5.90 zawiera podatność w funkcjach passthrough() i apassthrough(), które akceptują kontrolowany przez atakującego parametr api_base. Parametr ten jest łączony z endpointem i przekazywany do httpx.Client.request() bez walidacji schematu URL, filtrowania prywatnych adresów IP ani listy dozwolonych domen, co pozwala na wysyłanie żądań do dowolnego hosta osiągalnego z serwera. Problem został naprawiony w wersji 4.5.90.

Mesop, framework UI oparty na Pythonie, w wersjach od 1.2.3 do 1.2.5 zawiera podatność na niekontrolowane zużycie zasobów w implementacji WebSocket. Nieuwierzytelniony atakujący może wysyłać szybkie serie wiadomości WebSocket, zmuszając serwer do tworzenia nieograniczonej liczby wątków systemu operacyjnego, co prowadzi do wyczerpania wątków i błędów Out of Memory (OOM), powodując całkowitą odmowę usługi (DoS).

W Emlog w wersjach 2.6.2 i wcześniejszych istnieje podatność typu path traversal w funkcji emUnZip(), pozwalająca uwierzytelnionemu administratorowi na zapis dowolnych plików (w tym webshelli PHP) poprzez rozpakowanie spreparowanego archiwum ZIP z sekwencjami ../. Prowadzi to do zdalnego wykonania kodu (RCE). Brak publicznie dostępnych łat.

W nimiq/core-rs-albatross (implementacja protokołu Nimiq Proof-of-Stake w Rust) przed wersją 1.3.0, procedura handshake akceptuje od peera limit równy 0 i przechowuje go bez zmian. W ścieżce HandshakeAck limit 0 powoduje zwrócenie zerowych kontaktów, co wygląda nieszkodliwie. Później, w stanie Established, obliczenie self.peer_list_limit.unwrap() jako usize - 1 przy limicie 0 powoduje zawinięcie do usize::MAX, co prowadzi do paniki przy próbie alokacji pamięci.

Podatność w Hirschmann Industrial HiVision w wersjach 06.0.00 i 07.0.00 przed 06.0.06 i 07.0.01 umożliwia użytkownikom z dostępem tylko do odczytu uzyskanie uprawnień zapisu do zarządzanych urządzeń. Atakujący mogą ominąć mechanizmy kontroli dostępu, wykorzystując alternatywne interfejsy, takie jak interfejs webowy lub przeglądarka SNMP.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność, która pozwala lokalnemu nieuprzywilejowanemu użytkownikowi zmusić cupsd do uwierzytelnienia się w kontrolowanej przez atakującego usłudze IPP na localhost z tokenem `Authorization: Local ...`. Token ten umożliwia wykonywanie żądań /admin/ na localhost, a atakujący może utworzyć trwałą kolejkę drukarki z URI file:///... pomimo polityki FileDevice. Drukowanie do tej kolejki pozwala na nadpisanie dowolnego pliku jako root, co może prowadzić do eskalacji uprawnień.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność w sieciowo dostępnym cupsd z współdzieloną kolejką PostScript. Nieuwierzytelniony klient może wysłać zadanie drukowania, a serwer przetwarza wartość page-border z osadzonym znakiem nowej linii, co pozwala na wykonanie dowolnego pliku binarnego (np. /usr/bin/vim) jako użytkownik lp.

OAuthenticator przed wersją 17.4.0 ma podatność pozwalającą na ominięcie uwierzytelniania. Atakujący z niezweryfikowanym adresem email w dzierżawie Auth0 może zalogować się do JupyterHub, a jeśli email jest używany jako nazwa użytkownika, może przejąć konto.

RAGFlow w wersjach do 0.24.0 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w komponentach TextProcessing i Message. Umożliwia ona uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń systemowych na serwerze poprzez niebezpieczne renderowanie szablonów Jinja2.

Piwigo przed wersją 16.3.0 zawiera podatność SQL Injection w endpointcie API Activity List. Uwierzytelniony administrator może wyodrębnić wrażliwe dane z bazy, w tym dane logowania użytkowników, adresy e-mail i całą przechowywaną zawartość.

Piwigo przed wersją 16.3.0 zawiera podatność SQL Injection w metodzie API pwg.users.getList. Parametr filter jest bezpośrednio konkatenowany do zapytania SQL bez odpowiedniego oczyszczania, co pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń SQL.