Katalog podatności CVE

Snipe-it przed wersją 8.7.0 nie egzekwuje autoryzacji podglądu zasobu w punkcie końcowym GET /hardware/{asset}/barcode. Uwierzytelnieni atakujący mogą iterować identyfikatory zasobów, aby pobierać kody kreskowe i enumerować tagi zasobów w różnych dzierżawcach, w tym zasoby miękkiego usunięcia i międzyfirmowe.

Snipe-it przed wersją 8.7.0 zawiera podatność na nieprawidłowe obliczenia w obsłudze żądań zamówień, która pozwala uwierzytelnionym użytkownikom na uszkodzenie licznika assets.requests_counter poprzez zduplikowane zgłoszenia i anulowania bez aktywnych żądań. Atakujący mogą wielokrotnie wywoływać punkty anulowania bez aktywnych żądań, aby doprowadzić licznik do wartości ujemnej, lub zgłaszać zduplikowane żądania zamówień, aby zawyżyć licznik, fałszując oczekujące zapotrzebowanie w kolejce administratora.

Snipe-it przed wersją 8.7.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w regule walidacji ExternalUrl, która nie wykrywa adresów przejściowych IPv6 kodujących prywatne cele IPv4. Atakujący z uprawnieniami super-administratora mogą skonfigurować adresy URL webhooków przy użyciu adresów przejściowych NAT64, 6to4 lub Teredo, aby ominąć zabezpieczenia SSRF i uzyskać dostęp do usług wewnętrznych lub punktów końcowych metadanych chmury.

Snipe-IT przed wersją 8.7.1 nie sprawdza długości pola notatki w punkcie końcowym POST /account/accept/{acceptance}, co pozwala uwierzytelnionym użytkownikom na przesyłanie nieograniczonych danych, które trafiają do synchronicznego renderowania CommonMark. Atakujący mogą przesyłać duże wartości notatek, aby wyczerpać CPU procesów PHP i spowodować odmowę usługi poprzez wyczerpanie zasobów w potoku parsowania markdown.

Snipe-IT przed wersją 8.7.0 przesyła wpis SQL z przesłanego archiwum kopii zapasowej bezpośrednio do klienta MySQL/MariaDB bez flagi --binary-mode, więc klient interpretuje linie zaczynające się od komend backslash, takich jak \!, jako lokalne komendy powłoki. Uwierzytelniony superadministrator, który przesyła spreparowany plik ZIP i wywołuje przywracanie bez opcjonalnego parametru czyszczącego (który nie jest domyślnie stosowany), może wykonać dowolne polecenia systemu operacyjnego jako użytkownik aplikacji webowej, ujawniając sekrety aplikacji (w tym dane uwierzytelniające bazy danych i APP_KEY) oraz umożliwiając modyfikację plików i danych. Wersja 8.7.0 dodaje flagę --binary-mode.

Craft CMS przed wersją 5.10.12 zawiera podatność na zdalne wykonanie kodu w punkcie końcowym element-index, która pozwala uwierzytelnionym edytorom treści na tworzenie dowolnych klas poprzez parametr criteria. Atakujący mogą wstrzyknąć złośliwą klasę przez criteria[withTransforms][0][class], która dociera do ImageTransforms::normalizeTransform(), a następnie użyć łańcucha gadżetów PHP z yii\rbac\PhpManager do wykonania kodu, wskazując itemFile na log żądania zawierający ładunek PHP w nagłówku User-Agent.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie posiada zabezpieczenia wymaganego dla działań administracyjnych w UsersController::actionActivateUser (akcja users/activate-user). Mimo że akcja wymaga uprawnienia administrateUsers, nie wywołuje requireAdmin(), gdy docelowy użytkownik jest administratorem, w przeciwieństwie do lustrzanej akcji actionDeactivateUser. W rezultacie uwierzytelniony użytkownik panelu sterowania, który nie jest administratorem, ale posiada uprawnienie administrateUsers, może aktywować oczekujące lub celowo dezaktywowane konto administratora, co może prowadzić do eskalacji uprawnień w połączeniu z resetowaniem hasła tego konta. Problem został naprawiony w Craft CMS 5.10.12.

Craft CMS przed wersją 5.10.12 nieprawidłowo oczyszcza elementy układu pól typu string, co pozwala uwierzytelnionym użytkownikom panelu administracyjnego na wstrzykiwanie załączników zachowań Yii2 i procedur obsługi zdarzeń. Atakujący mogą wysyłać elementy zakładek układu pól jako ciągi JSON, aby ominąć walidację oczyszczania, a następnie wywołać dowolną instancję obiektu i wykonanie kodu przez Craft::createObject().

WWBN AVideo do commit e01e41ecc (brak dostępnej wersji z poprawką) udostępnia get_api_preauthorize w plugin/API/API.php jako drugą, nieudokumentowaną ścieżkę logowania. W przeciwieństwie do get_api_signIn, która egzekwuje limit 10 prób na 5 minut przez checkRateLimit(), get_api_preauthorize wykonuje tę samą kontrolę poświadczeń bez ograniczania tempa dla dowolnego klienta, co pozwala na nieograniczone zdalne zgadywanie haseł dla dowolnych kont, w tym administratora. Endpoint działa również jako wyrocznia poświadczeń: zwraca komunikat "Invalid credentials" zarówno dla poprawnych, jak i błędnych haseł, podczas gdy pole users_id w treści odpowiedzi ujawnia uwierzytelnioną tożsamość (users_id:1 przy sukcesie, users_id:0 przy porażce), a poprawne hasło ustanawia ciasteczko sesji, które pozostaje użyteczne dla uwierzytelnionych żądań API. Razem te problemy umożliwiają nieuwierzytelnione przejęcie konta przez brute-force.

AVideo do wersji 29.0 zawiera podatność na ominięcie uwierzytelniania w plugin/PlayLists/epg.json.php, która ujawnia klucze transmisji na żywo i prywatne harmonogramy EPG nieuwierzytelnionym użytkownikom. Atakujący mogą wysyłać żądania do endpointu z sekwencyjnymi identyfikatorami użytkowników lub list odtwarzania, aby uzyskać wrażliwe poświadczenia, identyfikatory serwerów i pełne harmonogramy programów bez uwierzytelnienia.

AVideo do wersji 29.0 zawiera podatność na ujawnienie informacji w plugin/Live/stats.json.php, która pozwala nieuwierzytelnionym atakującym na pobranie kluczy strumieniowych i adresów URL m3u8 poprzez dostęp do endpointu bez uwierzytelnienia. Atakujący mogą enumerować prywatne, niepubliczne i ograniczone grupowo transmisje na żywo, analizując tablicę hidden_applications w odpowiedzi JSON, aby uzyskać wrażliwe poświadczenia streamingowe.

AVideo do wersji 29.0 zawiera podatność na ujawnienie informacji w restreamsActive.json.php, która pozwala uwierzytelnionym streamerom na enumerację kluczy źródłowych strumieni i tożsamości wszystkich innych aktywnych restreamów streamerów. Punkt końcowy nie filtruje wyników według własności użytkownika, ujawniając wrażliwe dane transmisyjne i tożsamość streamerów we wszystkich kontach każdemu użytkownikowi z możliwością streamowania.

AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na brak autoryzacji w endpointcie add.json.php wtyczki SocialMediaPublisher, która pozwala uwierzytelnionym użytkownikom na modyfikowanie rekordów tokenów OAuth innych użytkowników. Atakujący mogą podać dowolne identyfikatory wierszy, aby nadpisać access_token i refresh_token innego użytkownika, a następnie usunąć naruszony rekord, niszcząc powiązanie dostawcy ofiary.

AVideo do commitu c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na cross-site request forgery w plugin/YPTWallet/view/saveBalance.php, która pozwala atakującym na ustawianie dowolnych sald portfela, polegając wyłącznie na ciasteczkach sesji bez walidacji tokena. Atakujący mogą stworzyć złośliwą stronę, która po załadowaniu przez administratora wysyła żądanie POST w celu zmodyfikowania salda portfela dowolnego użytkownika na dowolną wartość.

AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na ominięcie uwierzytelniania w LoginControl::verifyChallenge(), która używa luźnego porównania (==) zamiast ścisłego (===) przeciwko nieustawionym wartościom sesji. Atakujący posiadający tylko hasło mogą wysłać puste żądanie do verifyChallenge.json.php, aby ominąć dwuskładnikowe uwierzytelnianie PGP i uzyskać pełny dostęp uwierzytelniony.

AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na ominięcie uwierzytelniania, gdzie sqlDAL buforuje puste zestawy wyników, których writeSql nigdy nie unieważnia. Atakujący z ważnym hasłem mogą ominąć dwuskładnikowe uwierzytelnianie e-mail na nowych urządzeniach, ponieważ hash kodu potwierdzającego nie generuje się z nieaktualnego buforowanego pustego wyniku.

AVideo do commit c3edcc274c zawiera podatność na ominięcie autoryzacji, gdzie ciasteczko sesji o nazwie 'key' z wartością 'value' nadpisuje parametr $_REQUEST['key'] w saveLive.php i powiązanych endpointach. Atakujący mogą publikować na strumieniu RTMP dowolnego użytkownika bez uwierzytelnienia, używając znanej stałej wartości klucza strumienia, aby przejąć transmisje na żywo.

WWBN AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 nie weryfikuje własności live_restreams_id w resendRestreamer.json.php, co pozwala uwierzytelnionym użytkownikom z uprawnieniem canStream na dostęp do celów restreamowania innych użytkowników. Atakujący mogą nadawać swój strumień na żywo do celów restreamowania skonfigurowanych przez ofiarę, podając dowolne wartości live_restreams_id, przejmując strumienie YouTube, Facebook lub Twitch przy użyciu kluczy strumieniowych ofiary.

WWBN AVideo do commitu c3edcc274c389816d434acadac07ee78eaf330c1 (master) zawiera podatność na cross-site request forgery w punkcie końcowym wtyczki CustomizeUser plugin/CustomizeUser/swapUser.json.php. Punkt końcowy pobiera users_id z $_REQUEST i wywołuje User::swapUser() bez wywoływania forbidIfNotPost() lub forbidIfInvalidToken(), a globalna kontrola autoCSRFGuard() działa tylko dla żądań POST do *.json.php, więc akcja jest osiągalna przez GET. Atakujący, który spowoduje, że przeglądarka uwierzytelnionego administratora wyśle żądanie GET z innego pochodzenia (na przykład przez tag <img> lub link), może zastąpić sesję administratora kontem niebędącym administratorem, powodując utratę dostępu administracyjnego do czasu anulowania zamiany; zamiana na inne konto administratora jest odrzucana, więc nie jest to eskalacja uprawnień. Odpowiedź JSON również ujawnia session_id. Wtyczka CustomizeUser jest domyślnie włączona, a w momencie publikacji nie było dostępnej poprawki.

WWBN AVideo do commit c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na cross-site request forgery w deleteHistory.json.php i finishAll.json.php, która pozwala nieuwierzytelnionym atakującym na modyfikowanie historii transmisji na żywo poprzez wysyłanie żądań GET bez walidacji tokena CSRF. Atakujący mogą tworzyć złośliwe strony, które wyzwalają przeglądarki administratorów do usunięcia całej historii transmisji na żywo lub oznaczenia strumieni jako zakończonych, gdy administrator odwiedzi stronę kontrolowaną przez atakującego.