Katalog podatności CVE

sbt to narzędzie do budowy aplikacji w językach Scala, Java i innych. W wersjach od 0.9.5 do przed 1.12.7 na systemie Windows, sbt używa Process('cmd', '/c', ...) do uruchamiania poleceń VCS (git, hg, svn). Fragment URI (gałąź, tag, rewizja) jest kontrolowany przez użytkownika i przekazywany do tych poleceń bez walidacji.

W UniFi Network Server występuje podatność na niewłaściwą walidację danych wejściowych, która może umożliwić nieautoryzowany dostęp do konta, jeśli właściciel konta zostanie zmanipulowany do kliknięcia w złośliwy link.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. Przed wersjami 8.6.59 i 9.6.0-alpha.53, atakujący z dostępem do klucza głównego mógł wykonać dowolne polecenia SQL na bazie danych PostgreSQL poprzez wstrzykiwanie metaznaków SQL w parametrach nazw pól w etapie agregacji $group lub operacji distinct.

Parse Server, otwarte źródło backendu, przed wersjami 8.6.58 i 9.6.0-alpha.52, pozwalał nieautoryzowanym atakującym na wywołanie odmowy usługi poprzez wysyłanie żądań uwierzytelnienia z dowolnymi, niekonfigurowanymi nazwami dostawców. Serwer wykonuje zapytanie do bazy danych dla każdego niekonfigurowanego dostawcy, co prowadzi do pełnego skanowania bazy danych użytkowników.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. W wersjach przed 8.6.56 i 9.6.0-alpha.45 komponent LiveQuery nie egzekwował ustawienia requestComplexity.queryDepth podczas przetwarzania żądań subskrypcyjnych WebSocket, co mogło prowadzić do nadmiernej rekurencji i zużycia CPU.

Parse Server, otwarte źródło backendu działającego na Node.js, przed wersjami 8.6.55 i 9.6.0-alpha.44, jest podatny na atak, w którym napastnik może wysłać nieautoryzowane żądanie HTTP z głęboko zagnieżdżonym zapytaniem zawierającym operatory logiczne, co prowadzi do zawieszenia procesu serwera. Serwer staje się całkowicie nieodpowiedzialny i wymaga ręcznego restartu.

Froxlor to oprogramowanie do zarządzania serwerami typu open source. W wersjach przed 2.3.5, punkt końcowy API DomainZones.add (dostępny dla klientów z włączonym DNS) nie weryfikował pola content dla kilku typów rekordów DNS (LOC, RP, SSHFP, TLSA), co pozwalało atakującemu na wstrzykiwanie nowych linii i dyrektyw pliku strefy BIND (np. $INCLUDE).

Użytkownik Zabbix z niskimi uprawnieniami i dostępem do API może wykorzystać podatność blind SQL injection w pliku include/classes/api/CApiService.php, wykonując dowolne zapytania SQL przez parametr sortfield. Mimo że wyniki nie są zwracane bezpośrednio, atakujący może wyeksfiltrować dane z bazy technikami czasowymi, co może prowadzić do ujawnienia identyfikatorów sesji i przejęcia konta administratora.

Walidacja danych wejściowych dla skryptów akcji hosta i zdarzeń w Zabbix używa wyrażeń regularnych (ustawianych przez administratora), ale działa w trybie wieloliniowym. Jeśli w walidacji użyto kotwic ^ i $, wstrzyknięty znak nowej linii pozwala uwierzytelnionym użytkownikom ominąć sprawdzenie i wstrzyknąć komendy powłoki.

IDrive przed wersją 7.0.0.64 ma proces id_service.exe działający z podwyższonymi uprawnieniami, który odczytuje pliki konfiguracyjne z C:\ProgramData\IDrive\. Pliki te mogą być modyfikowane przez każdego standardowego użytkownika, co pozwala na podstawienie dowolnego pliku wykonywalnego uruchamianego z uprawnieniami SYSTEM.

Wallos to otwartoźródłowy, samodzielny tracker subskrypcji. W wersjach przed 4.7.0 poprawka dotycząca SSRF zastosowana w wersji 4.6.2 była niekompletna, co pozwalało uwierzytelnionym użytkownikom na zapisanie wewnętrznego adresu IP jako URL powiadomienia.

Craft CMS to system zarządzania treścią (CMS), w wersjach od 5.6.0 do przed 5.9.13 występuje podatność na zdalne wykonanie kodu (RCE), którą może wykorzystać każdy uwierzytelniony użytkownik z dostępem do panelu sterowania. Jest to obejście wcześniejszej poprawki.

W bibliotece LibVNCServer w wersjach 0.9.15 i wcześniejszych występuje podatność polegająca na wyłuskaniu wskaźnika null w funkcji httpProcessInput() w pliku httpd.c. Atakujący może wysłać specjalnie spreparowane żądania HTTP, aby wykorzystać brak walidacji wartości zwracanych przez strchr() w ścieżkach proxy CONNECT i GET, co prowadzi do awarii serwera.

W bibliotece LibVNCServer w wersjach 0.9.15 i wcześniejszych (poprawione w commicie 009008e) występuje podatność na odczyt poza dozwolonym obszarem sterty w obsłudze kodowania UltraZip. Luka wynika z nieprawidłowego sprawdzania granic w funkcji HandleUltraZipBPP(), co pozwala złośliwemu serwerowi VNC na manipulację licznikami nagłówków podobszarów i odczyt danych poza przydzielonym buforem sterty.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.2.2 miała lukę w metodzie `LinkSharing.ReadAll()`, umożliwiającą uwierzytelnionym użytkownikom z linkiem do udostępniania przeglądanie wszystkich linków udostępnionych dla projektu, w tym ich tajnych skrótów. Metoda `ReadAllWeb` omija odpowiednie sprawdzenie uprawnień, co pozwala atakującemu na uzyskanie dostępu do linków z wyższymi uprawnieniami.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.2.1 miała lukę w metodzie `TaskAttachment.ReadOne()`, umożliwiającą pobieranie załączników na podstawie ID, bez uwzględnienia ID zadania z URL. To pozwalało uwierzytelnionym użytkownikom na dostęp do załączników z innych projektów.

Vikunja to platforma do zarządzania zadaniami, która jest samodzielnie hostowana i open-source. W wersjach od 0.18.0 do 2.2.1, gdy konto użytkownika jest wyłączone lub zablokowane, weryfikacja statusu jest stosowana tylko w przypadku lokalnego logowania i odświeżania tokenów JWT. Inne ścieżki uwierzytelniania, takie jak tokeny API, podstawowa autoryzacja CalDAV i OpenID Connect, nie weryfikują statusu użytkownika.

Vikunja to platforma do zarządzania zadaniami, która w wersjach od 0.21.0 do 2.2.0 ma wbudowane `nodeIntegration` w głównym oknie przeglądarki, co pozwala na nieograniczone nawigacje w tym samym oknie. Atakujący może umieścić link w treści generowanej przez użytkownika, co prowadzi do wykonania złośliwego kodu na maszynie ofiary.

Vikunja to platforma do zarządzania zadaniami, która w wersjach od 0.21.0 do 2.2.0 ma lukę w zabezpieczeniach. Wrapper Electron dla Vikunji przekazuje adresy URL z wywołań `window.open()` bez walidacji, co pozwala atakującemu na otwieranie dowolnych schematów URI na systemie ofiary.

W DedeCMS w wersji 5.7.118 odkryto podatność typu Cross-Site Request Forgery (CSRF) w pliku /sys_task_add.php. Ta luka może umożliwić atakującym wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika.