Katalog podatności CVE

Xen Orchestra przed 6.9.0 zawiera podatność obejścia autoryzacji w metodzie API xo-server user.set, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami modyfikować preferencje innych użytkowników poprzez podanie dowolnego identyfikatora użytkownika docelowego. Atakujący mogą usunąć sekret TOTP preferences.otp, aby wyłączyć uwierzytelnianie dwuskładnikowe, uszkodzić go, aby zablokować logowanie, lub nadpisać przechowywane xsCredentials i sshKeys.

Blok Configurable Reports dla Moodle (moodle-block_configurablereports) przed 5.3.1 zawiera podatność wstrzyknięcia SQL w report_sql::prepare_sql() poprzez parametr żądania filter_var w viewreport.php. Użytkownicy z niskimi uprawnieniami, którym pozwolono przeglądać raporty używające placeholdera %%FILTER_VAR%%, mogą wstrzykiwać podzapytania lub UNION SELECT, aby odczytać dowolne tabele bazy danych, w tym hasła użytkowników.

Blok Configurable Reports dla Moodle przed 5.3.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać zastrzeżone raporty poprzez usługę sieciową block_configurable_reports_get_report_data. Gdy check_permissions zawiedzie, funkcja dodaje jedynie ostrzeżenie i nadal zwraca pełną tabelę raportu, pozwalając każdemu zalogowanemu użytkownikowi podać dowolne identyfikatory raportów, aby odczytać raporty SQL dotyczące danych użytkowników i ocen.

Ghidra od 10.2 do 12.1.4 zawiera podatność odmowy usługi w klasie ElfHeader loadera ELF, która alokuje tablice o rozmiarze opartym na niezweryfikowanych rozszerzonych licznikach nagłówków sekcji i programów. Atakujący mogą dostarczyć spreparowany 128-bajtowy plik ELF, który wywołuje OutOfMemoryError podczas wykrywania load-spec przy imporcie lub w potokach analizy headless.

Rozszerzenie serwera x402 SIWX w @x402/extensions 2.3.1 do 2.28.0, x402 PyPI 2.11.0 do 2.25.0 oraz module Go 2.16.0 do 2.28.0 zawiera podatność obejścia autoryzacji, która pozwala płacącym klientom odblokować nieopłacone trasy poprzez podanie niezgodnego adresu URL PaymentPayload.resource. Atakujący mogą zapłacić za najtańszą trasę chronioną przez SIWX, ustawiając resource.url na drogą trasę, a następnie wielokrotnie uzyskiwać do niej dostęp wyłącznie za pomocą nagłówka SIGN-IN-WITH-X bez dalszej płatności.

json-smart do 2.6.0 zawiera podatność obejścia walidacji danych wejściowych, która pozwala atakującym ominąć kontrole danych końcowych w trybie ścisłym poprzez wstawienie znaku 0x1A. Atakujący mogą dołączyć 0x1A i zniekształconą treść, aby przejść walidację JSONValue.parseStrict lub isValidJsonStrict, tworząc różnice w parsowaniu z parserami niższego poziomu, takimi jak Jackson lub Gson.

W Memos przed wersją 0.27.0 występuje brak autoryzacji w metodach API ActivityService ListActivities i GetActivity, co pozwala uwierzytelnionym użytkownikom przeglądać aktywność wszystkich użytkowników. Atakujący z niskimi uprawnieniami mogą enumerować sekwencyjne identyfikatory aktywności, aby uzyskać identyfikatory twórców, znaczniki czasu i odniesienia do komentarzy, w tym aktywność na prywatnych notatkach innych użytkowników.

Fat Free CRM przed wersją 0.26.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować lub usuwać komentarze innych użytkowników, ponieważ CommentsController#update i #destroy używają nieskopowanego Comment.find bez sprawdzania autoryzacji. Atakujący mogą wysyłać żądania PUT lub DELETE do /comments/:id z enumerowalnymi sekwencyjnymi identyfikatorami, aby edytować lub usuwać komentarze do kontaktów, kont, leadów i szans sprzedaży należących do innych.

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.

Blinko do wersji 1.8.8 zawiera podatność typu insecure direct object reference w routerze tRPC tagów, która pozwala uwierzytelnionym użytkownikom odczytywać i modyfikować tagi innych użytkowników poprzez podanie dowolnych identyfikatorów tagów. Atakujący mogą enumerować sekwencyjne identyfikatory za pomocą fullTagNameById, updateTagIcon i updateTagOrder, aby ujawnić prywatne tematy notatek i manipulować ikonami oraz kolejnością tagów.

Sharkord przed wersją 0.0.26 zawiera brak autoryzacji w mutacji tRPC others.changeLogo, która pozwala każdemu uwierzytelnionemu członkowi modyfikować logo serwera bez uprawnienia MANAGE_SETTINGS. Atakujący mogą usunąć obecne logo i zastąpić je przesłanym obrazem, który jest publikowany dla wszystkich połączonych klientów.

Sharkord przed wersją 0.0.8 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu członkowi zmieniać ustawienia serwera poprzez wywołanie mutacji tRPC others.updateSettings bez uprawnienia MANAGE_SETTINGS. Atakujący mogą ustawić hasło dołączania, wyłączyć rejestrację, wyzerować limity przesyłania lub przełączać ładowanie wtyczek, aby odmówić usługi innym członkom.

Baserow przed wersją 2.3.0 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać wartości pól z innych przestrzeni roboczych poprzez endpoint API unique_row_values. Atakujący mogą enumerować sekwencyjne identyfikatory pól, aby pobrać do 100 różnych wartości komórek na pole z tabel w przestrzeniach roboczych, do których nie należą.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 3.7.1 modułu import-export, kontynuacja duplikatu importu akceptuje wybory zamiany kontrolowane przez klienta bez powiązania ich z analizą po stronie serwera należącą do użytkownika lub autoryzacji kanonicznego celu. W przypadku typu lokalizowanego z włączonym importem, współpracownik z uprawnieniami do edycji szkiców może przekroczyć granicę publikacji, wybierając opublikowany dokument do zamiany, chociaż obecna ocena opiera się na przeglądzie poprawek, a nie na powtórzonej reprodukcji end-to-end. Problem został naprawiony w wersji 3.7.1.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 3.7.1 modułu import-export, uwierzytelniony importer może przesłać archiwa, których zdekompresowane bajty, liczba wpisów i rozmiary wpisów nie są ograniczone przed autoryzacją typu dokumentu, a błędy ekstrakcji lub parsowania mogą pozostawić artefakty staging i wyodrębnione bez bezwarunkowego czyszczenia. Już wzmocnione ścieżki przed uwierzytelnieniem i błędów zapisu są oddzielne, a obecny wpływ end-to-end na odmowę usługi z tej pozostałej ścieżki pozostaje przedmiotem walidacji przez opiekunów. Problem został naprawiony w wersji 3.7.1.

W ApostropheCMS przed wersją 4.34.0 publiczny typ REST API korzystający z publicApiProjection może ujawniać informacje o wykluczonych polach wyszukiwania lub sortowania poprzez oracle'e przynależności do wyników wyszukiwania i kolejności sortowania. Zwracane pola nadal są filtrowane przez projekcję, więc problem pozwala na ukierunkowane wnioskowanie o ukrytych wartościach, a nie na nieograniczony zrzut pól.

W module import-export ApostropheCMS przed wersją 3.7.1 przewidywalne nazwy plików archiwów eksportu pozwalają nieuwierzytelnionemu żądającemu pobrać eksport innego użytkownika z publicznie czytelnego magazynu eksportów, zanim archiwum wygaśnie lub zostanie usunięte. Użytkownik z uprawnieniami do eksportu musi najpierw utworzyć archiwum, a witryny z wyłączonymi eksportami, prywatnym magazynem przesyłania lub uwierzytelnionym dostarczaniem przesyłania nie są narażone tą ścieżką pobierania przez sieć.

W ApostropheCMS przed wersją 4.34.0 żądanie POST /api/v1/@apostrophecms/doc/slugTaken z ciałem { "slug": "target-slug" } zwraca wartość logiczną wskazującą, czy slug jest używany we wszystkich typach dokumentów i poziomach widoczności, bez filtra uprawnień lub typu. Każdy zalogowany użytkownik (w tym edytorzy) może wyliczyć przestrzeń slugów prywatnych stron, wersji roboczych i zarchiwizowanej zawartości.

W ApostropheCMS przed wersją 4.34.0 pole koloru akceptuje końcową zawartość po prawidłowym prefiksie rgb() lub hsl(), ponieważ walidacja TinyColor nie wymaga dopasowania całej wartości do koloru. Uwierzytelniony użytkownik z prawami edycji może zapisać dowolny HTML po prawidłowym prefiksie koloru. Gdy zapisana wartość jest renderowana, ładunek wykonuje się, co prowadzi do przechowywanego XSS.