Katalog podatności CVE

Scoold to platforma Q&A i dzielenia się wiedzą dla zespołów. W wersjach przed 1.69.1 metoda checkApiAuth() w pliku ScooldUtils.java akceptuje token JWT podpisany kluczem app_secret_key lub para_secret_key dla endpointów /api/config i /api/stats bez wymagania zarejestrowanego jti klucza API i mapuje żądanie na hardkodowanego administracyjnego użytkownika API_USER. Sprawdzenia specjalnych endpointów są wykonywane nawet gdy scoold.api_enabled jest false. Atakujący, który zdobędzie jeden z sekretów podpisywania, może sfałszować token, który odczytuje wrażliwą konfigurację i logi serwera oraz osiąga uprzywilejowaną funkcjonalność konfiguracji.

GYM One to otwarte oprogramowanie do zarządzania siłownią dla centrów fitness, trenerów personalnych i klubów sportowych. W wersjach przed 1.4.1 plik admin/users/index.php renderuje przechowywane pola profilu firstname, lastname i email na liście użytkowników administratora bez kodowania wyjścia HTML. Atakujący, który może zapisać wartości w tych polach, może spowodować wykonanie treści w przeglądarce administratora, gdy administrator odwiedzi /admin/users/. Trwały skrypt może uzyskać dostęp do danych sesji administratora lub wykonać działania z uprawnieniami administratora, dopóki przechowywany rekord nie zostanie usunięty. Problem naprawiono w wersji 1.4.1.

GYM One to oprogramowanie open source do zarządzania siłownią. W wersjach przed 1.4.1 plik admin/users/index.php łączy parametry GET search_name i search_email z zapytaniem o listę użytkowników oraz zapytaniem COUNT używanym do paginacji bez przygotowanych instrukcji. Uwierzytelniony administrator może wstrzyknąć SQL przez jedno z pól wyszukiwania, aby odczytać dane z dowolnych tabel, w tym informacje o użytkownikach i hashe haseł. W zależności od uprawnień bazy danych ta sama injekcja może również pozwolić na zapis do systemu plików.

Scoold to platforma Q&A i dzielenia się wiedzą dla zespołów. W wersjach przed 1.69.1 metoda apiCorsConfiguration() w pliku ScooldServer.java łączy addAllowedOriginPattern("*") z setAllowCredentials(true), powodując, że Spring odzwierciedla dowolne pochodzenie żądania, jednocześnie zezwalając na pliki cookie lub tokeny sesji. Złośliwa strona internetowa odwiedzona przez zalogowanego użytkownika Scoold może w związku z tym wysyłać uwierzytelnione żądania API, odczytywać dane użytkowników, pytania i konfigurację oraz wywoływać operacje zmieniające stan w imieniu użytkownika.

Scoold to platforma Q&A i dzielenia się wiedzą dla zespołów. W wersjach przed 1.69.1 metoda getBackToUrl() w pliku HttpUtils.java waliduje parametry backto i returnto za pomocą Strings.CI.startsWith względem skonfigurowanego adresu URL serwera. Atakujący może podać bezwzględny adres URL, którego nazwa hosta zaczyna się od legalnej nazwy hosta, powodując, że URI.resolve() zachowa adres URL atakującego, a sprawdzenie prefiksu go zaakceptuje. Ofiara, która kliknie spreparowany link logowania, może zostać przekierowana do domeny kontrolowanej przez atakującego po uwierzytelnieniu, co umożliwia phishing i potencjalną kradzież poświadczeń lub tokenów.

AliasVault to menedżer haseł z wbudowanym aliasowaniem e-mail, stawiający na prywatność. W wersjach przed 0.29.4 dostawca passkey w rozszerzeniu przeglądarki AliasVault nie wiąże żądań passkey z rzeczywistym pochodzeniem strony ani nie weryfikuje, czy żądany identyfikator strony polegającej pasuje do bieżącej witryny. Złośliwa witryna może podać fałszywe wartości origin i relying-party, a jeśli ofiara z pasującym zapisanym passkey zatwierdzi monit AliasVault, uzyska ważną asercję dla innej witryny. Wykorzystanie wymaga zainstalowanego, odblokowanego rozszerzenia skonfigurowanego jako dostawca passkey, zapisanego passkey dla podszywanej witryny i nie może nastąpić po cichu, ponieważ ofiara musi zatwierdzić monit. Serwer, aplikacja webowa i aplikacje mobilne nie są dotknięte. Problem naprawiono w wersji 0.29.4.

Tianji to otwartoźródłowa platforma analityczna, monitorowania dostępności i statusu serwerów. Przed wersją 1.31.29 funkcja formatString() w src/server/utils/template.ts przekazuje szablony feedTemplate ankiet i powiadomień monitorów do lodash template(), podczas gdy domyślny wzorzec evaluate pozostaje włączony. Administrator obszaru roboczego może zapisać blok evaluate w formie <% code %>, a publiczny endpoint survey.submit renderuje szablon ankiety, gdy nieuwierzytelniony użytkownik prześle odpowiedź. Skompilowany szablon wykonuje JavaScript po stronie serwera w procesie Node.js Tianji, umożliwiając wykonanie poleceń, ujawnienie sekretów, modyfikację danych lub zakłócenie usługi. Problem naprawiono w wersji 1.31.29.

Tianji to otwarta platforma analityczna, monitorowania dostępności i statusu serwerów. W wersjach przed 1.31.29 funkcja getDateQuery() w src/server/utils/prisma.ts konstruuje surowy SQL przez Prisma.sql(), interpolując wartość strefy czasowej żądania bez wiązania parametrów. Wartość strefy czasowej może dotrzeć do podatnych zapytań analitycznych przez dane żądania lub nagłówek HTTP timezone, a workspaceProcedure pozwala każdemu uwierzytelnionemu członkowi przestrzeni roboczej, w tym widzowi tylko do odczytu, na dostęp do tych zapytań. Atakujący może wykonać dowolny SQL na współdzielonej bazie PostgreSQL, co może ujawnić lub zmodyfikować poświadczenia, klucze API i dane dzierżawców albo spowodować niedostępność usługi. Problem naprawiono w wersji 1.31.29.

runwasi umożliwia uruchamianie obciążeń Wasm i WASI zarządzanych przez containerd. Przed wersją 0.6.1 containerd-shim-wasmtime-v1 może traktować bajty prekompilowane Wasmtime dostarczone bezpośrednio w warstwie obrazu OCI jako zaufany artefakt ze ścieżki precompile-cache i deserializować je jako kod natywny. Atakujący, który nakłoni ofiarę do uruchomienia spreparowanego obrazu, może obejść walidację WebAssembly i wykonać kod natywny w procesie shim zygote, uzyskując dostęp do systemu plików, środowiska, poświadczeń, sieci i wywołań systemowych Linux dostępnych dla kontenera obciążenia. Shimy niższego poziomu zbudowane z API precompile-cache containerd-shim-wasm runwasi są również narażone, jeśli implementują Compiler i ufają wykonywalnym artefaktom prekompilowanym z warstw obrazów OCI; granica 0.6.1 dotyczy konkretnie containerd-shim-wasmtime i nie certyfikuje niezależnie wydań produktów niższego poziomu. Luka wymyka się z sandboxa WASI do granicy kontenera obciążenia, ale sama w sobie nie omija izolacji kontenera ani nie zapewnia bezpośredniego wykonania kodu na hoście. Problem naprawiono w wersji 0.6.1.

Luka autoryzacyjna w Idira Conjur 13.9.0 pozwala uwierzytelnionemu użytkownikowi o ograniczonych uprawnieniach wykonywać nieautoryzowane operacje na gałęzi polityki. W określonych warunkach atakujący może odczytać nieautoryzowane sekrety, zmienić administracyjne kontrole dostępu na gałęzi lub wywołać odmowę usługi (DoS).

Problem w Trisolutions BRPerfX w wersji 1.4.4.0 ujawnia poświadczenia LDAP w postaci jawnej w administracyjnym interfejsie konfiguracyjnym. Uwierzytelniony administrator może przeanalizować kod po stronie klienta, aby odzyskać poświadczenia.

W OpenNMS Meridian i Horizon parser XML nie ograniczał rozwinięcia encji, co pozwala na wyczerpanie pamięci serwera. Uwierzytelniony użytkownik z uprawnieniami do provisioningu może dostarczyć dokument z DOCTYPE i wewnętrznymi encjami przez requisition lub import foreign-source, powodując atak typu denial of service.

Występuje podatność obejścia autoryzacji w interfejsie REST API wielu wersji OpenNMS Meridian i Horizon. Łańcuchy filtrów Spring Security dla /rest/** autoryzują żądania za pomocą reguł intercept-url, które nazywają metodę HTTP wielkimi literami, porównują metodę z rozróżnianiem wielkości liter i nie mają końcowej reguły odmowy. Żądanie używające niekanonicznego (np. małymi literami) tokenu metody nie pasuje do żadnej reguły i jest przetwarzane bez uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może odczytać monitorowany inwentarz oraz tworzyć, modyfikować lub usuwać zasoby przez REST API, w tym wstrzykiwać zdarzenia w celu fabrykowania lub tłumienia alarmów. Łańcuch /rest/alarms ma tę samą brakującą regułę odmowy i ujawnia, czy alarm istnieje, poprzez różnicę w odpowiedzi. Poprawka dodaje końcową regułę odmowy do każdego łańcucha filtrów REST. Rozwiązaniem jest aktualizacja do Meridian 2024.3.14, 2025.0.11, 2026.0.1 i Horizon 36.0.5 lub nowszych. Instrukcje instalacji Meridian i Horizon wskazują, że są przeznaczone do instalacji w sieciach prywatnych organizacji i nie powinny być bezpośrednio dostępne z Internetu.

SimplePie w wersji do 1.9.0 zawiera podatność lokalnego odczytu plików, która pozwala złośliwym serwerom feedów odczytywać pliki serwera poprzez podanie adresów file:// w przekierowaniach lub linkach autodiscovery. Atakujący może zwrócić nagłówek Location lub link feedu wskazujący na ścieżkę file://, powodując odczyt plików dostępnych dla procesu serwera WWW przez file_get_contents().

Netgate pfSense CE w wersjach od 2.7.1 do 2.9.0 zawiera podatność reflected cross-site scripting w firewall_rules.php, która pozwala zdalnym atakującym wstrzyknąć skrypt poprzez niekodowany parametr if. Gdy włączona jest nie domyślna opcja Require Firewall Interface, atakujący może nakłonić użytkowników z uprawnieniami do reguł firewalla do otwarcia spreparowanego linku GET, aby wykonać skrypt w WebGUI z ich uprawnieniami.

Netgate pfSense CE w wersjach od 2.3.0 do 2.9.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom z uprawnieniami Firewall: Rules lub NAT: Port Forward wstrzyknąć skrypty poprzez pole koloru separatora. Atakujący może przesłać spreparowaną wartość koloru separator[] , którą display_separator() renderuje bez kodowania w atrybutach class, wykonując się w przeglądarkach administratorów w celu wykonania akcji WebGUI z ich uprawnieniami.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę obejścia autoryzacji, która pozwala użytkownikom WebGUI z uprawnieniami tylko do odczytu zastąpić plik config.xml, ponieważ funkcje config_restore() i config_install() ignorują uprawnienie 'User - Config: Deny Config Write'. Atakujący posiadający uprawnienia do stron services_acb.php, uploadconfig.php, diag_confbak.php lub diag_backup.php mogą wgrać wybrany config.xml i uzyskać wykonanie kodu jako root po przeładowaniu lub restarcie.

Netgate pfSense CE w wersji do 2.9.0 zawiera podatność lokalnego odczytu plików, która pozwala użytkownikom z uprawnieniami klienta Dynamic DNS odczytywać pliki jako root poprzez ustawienie niestandardowego adresu URL aktualizacji file:// w services_dyndns_edit.php. Atakujący może ustawić niepasujący ciąg Result Match, aby _checkStatus() zalogował zawartość plików, takich jak /conf/config.xml lub /etc/master.passwd, do logu systemowego.

pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia poleceń w services_captiveportal_hasync.php, która pozwala użytkownikom z jedynie uprawnieniem Captive Portal HA wykonywać polecenia jako root. Atakujący może ustawić backwardsyncip na złośliwy serwer XMLRPC zwracający connected_users z metaznakami powłoki w polach ip lub mac, które captiveportal_load_pfctl przekazuje bez escapowania do polecenia powłoki pfctl.

Netgate pfSense CE w wersjach od 2.7.1 do 2.9.0 zawiera podatność CRLF injection w services_unbound_advanced.php, która pozwala uwierzytelnionym użytkownikom z uprawnieniami DNS Resolver: Advanced wstrzyknąć dyrektywy Unbound. Atakujący może osadzić znaki CR/LF w niezwalidowanym parametrze sock_queue_timeout, który jest zapisywany bezpośrednio do unbound.conf, aby nadpisać lokalne rekordy i przekierowywanie dla wszystkich klientów.