Katalog podatności CVE

DreamMaker opracowany przez Interinfo ma podatność SQL Injection. Uwierzytelnieni zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.

W @fastify/middie w wersjach od 9.1.0 do 9.3.4, decyzja o uruchomieniu oprogramowania pośredniczącego (middleware) dla ścieżki jest podejmowana na podstawie surowego celu żądania, podczas gdy router Fastify rozwiązuje cel żądania w formie absolutnej do ścieżki przed wysłaniem. Ponieważ te dwie warstwy oceniają różne ciągi znaków, żądanie używające celu w formie absolutnej dociera do procedury obsługi trasy, podczas gdy oprogramowanie pośredniczące dla ścieżki, takie jak uwierzytelnianie lub autoryzacja, jest pomijane. Nieuwierzytelniony atakujący sieciowy może wykorzystać to do obejścia kontroli dostępu opartych na ścieżce w aplikacji Fastify, która polega na middie dla tych kontroli.

Wersje fastify przed 5.12.2 traktują obiekt rozwiązany przez pomyślny asynchroniczny walidator Ajv jako protokół wyniku wartości używany przez niestandardowe kompilatory walidatorów. Jeśli żądanie przechodzące przez schemat trasy zawiera właściwość o nazwie value na poziomie głównym, fastify zastępuje całe ciało żądania wartością tej właściwości przed uruchomieniem handlera, więc handler otrzymuje inny obiekt niż ten, który spełnił schemat. Uwierzytelniony użytkownik o niskich uprawnieniach może to wykorzystać do zastąpienia zweryfikowanego ciała zagnieżdżonymi danymi i wywołania operacji, której schemat trasy nie autoryzował, prowadząc do nieautoryzowanych zmian stanu i ujawnienia danych.

Wersje fastify przed 5.12.2 decydują, czy skompilować schemat żądania, na podstawie prawdziwości JavaScript, ale JSON Schema Draft 7 definiuje wartość false jako prawidłowy schemat, który odrzuca każde wystąpienie. Gdy aplikacja przypisze false do schematu body, querystring, params lub headers trasy, aby odrzucić wszystkie dane wejściowe, fastify traktuje to jako brak schematu, nie kompiluje walidatora i uruchamia handler trasy na każdym żądaniu. Nieuwierzytelniony zdalny klient może zatem dotrzeć do handlera, który zgodnie z zamysłem miał być nieosiągalny, co stanowi całkowite obejście walidacji i może prowadzić do nieautoryzowanych zmian stanu lub wykonania wyłączonych operacji.

Wtyczka WordPress Restaurant Menu and Food Ordering przed wersją 2.4.12 nie weryfikuje, czy powiadomienie o płatności PayPal rzeczywiście pochodzi od PayPal, co pozwala nieuwierzytelnionym atakującym sfałszować powiadomienie i oznaczyć własne zamówienie jako opłacone i zrealizowane bez dokonania płatności.

Wtyczka ePayco Payment Gateway dla WooCommerce przed wersją 8.4.7 nie weryfikuje poprawnie autentyczności żądań potwierdzenia płatności, co pozwala nieuwierzytelnionym atakującym oznaczać zamówienia jako opłacone bez ważnego podpisu bramki.

Wtyczka AI Website Builder dla WordPressa (wersja GitHub) 1.0.0 nie przeprowadza żadnej autoryzacji ani kontroli nonce na swoich trasach REST API, co pozwala nieuwierzytelnionym atakującym na instalowanie i aktywowanie wtyczek oraz motywów, importowanie treści z adresu URL pod ich kontrolą, zapisywanie wybranego pliku do katalogu uploads oraz usuwanie treści i multimediów witryny. Na hoście, który serwuje PHP z katalogu uploads, ten zapis pliku oznacza zdalne wykonanie kodu.

Znaleziono przepełnienie liczby całkowitej w obsłudze komunikatów tokenów zatwierdzenia członkostwa w Corosync. Walidacja długości tych komunikatów może zostać ominięta na systemach 32-bitowych z powodu przepełnienia w obliczeniach oczekiwanej długości, co pozwala spreparowanemu pakietowi sieciowemu wywołać dostęp poza pamięć i spowodować awarię demona Corosync. Skutkuje to odmową usługi dla dotkniętego węzła klastra. Przepełnienie nie występuje na systemach 64-bitowych.

Wersje fastify od 4.0.0 do przed 5.12.2 mogą kierować źle sformatowany URL wysłany pod prefiksem jednej wtyczki do niestandardowego handlera not-found innej wtyczki i wywoływać go bez hooka preHandler zadeklarowanego dla tego handlera. Wewnętrzny router not-found dla enkapsulowanych handlerów kieruje błędne ścieżki przez wspólny wskaźnik handlera przed dekodowaniem URL, ignorując prefiks i pomijając normalny cykl życia wybranego handlera. Nieuwierzytelniony atakujący może zatem dotrzeć do chronionego uwierzytelnianiem prywatnego fallbacku przez niepowiązany publiczny prefiks i odczytać jego pełną odpowiedź, omijając hook uwierzytelniający i łamiąc enkapsulację prefiksu.

Podatność typu DOM-Based XSS w motywie WoodMart od Xtemos. Brak neutralizacji danych wejściowych podczas generowania strony internetowej. Problem dotyczy wersji przed 8.3.8.

Brak zwolnienia pamięci po okresie efektywnego życia w urządzeniu Softing smartLink prowadzi do wycieku zasobów. Problem dotyczy wersji smartLink HW-PN od 1.04 przed 1.10.

Podatność nieprawidłowej autoryzacji w MISP pozwalała uwierzytelnionym użytkownikom na usuwanie atrybutów z zdarzeń pomimo braku wymaganych uprawnień perm_modify lub perm_modify_org. Dotknięte ścieżki usuwania atrybutów opierały się na sprawdzeniach członkostwa w organizacji wykonywanych przez MispAttribute::deleteAttribute(), ale nie egzekwowały spójnie zasad autoryzacji modyfikacji zdarzeń MISP. W rezultacie użytkownik należący do organizacji powiązanej ze zdarzeniem mógł potencjalnie usuwać pojedyncze atrybuty lub wykonywać masowe usuwanie atrybutów, nawet jeśli jego rola nie była upoważniona do modyfikacji zdarzenia.

Wada autoryzacji w MISP pozwalała uwierzytelnionemu użytkownikowi na przesłanie sharing_group_id bez weryfikacji, czy użytkownik jest upoważniony do korzystania z przywołanej Grupy Udostępniania. W kilku przepływach tworzenia i edycji atrybutów oraz klastrów Galaxy walidacja przesłanej Grupy Udostępniania była wykonywana tylko wtedy, gdy żądanie jawnie ustawiało pole dystrybucji na 4 ("Sharing Group"). Atakujący mógł więc spreparować żądanie zawierające sharing_group_id, pomijając parametr dystrybucji lub w inny sposób unikając warunku dystrybucja == 4, co powodowało pominięcie sprawdzenia autoryzacji Grupy Udostępniania.

Nieprawidłowa walidacja identyfikatora konta w autokonfiguracji sterownika Snowflake JDBC w wersjach od 4.2.0 do 4.3.3 pozwalała przekierować żądanie logowania zawierające poświadczenia do wybranego przez atakującego punktu końcowego HTTPS. Atakujący kontrolujący wartość konta mógł spowodować przesłanie poświadczenia logowania do wybranego hosta i jego ponowne użycie w celu uzyskania uprawnień. Poprawka jest dostępna w wersji 4.3.4 (w tym snowflake-jdbc-fips i snowflake-jdbc-thin) i wymaga ręcznej aktualizacji.

Nieprawidłowa walidacja odpowiedzi OCSP w sterownikach Snowflake dla Pythona, Go, JDBC i Node.js pozwalała na zaakceptowanie unieważnionego certyfikatu TLS jako ważnego, ponieważ odpowiedzi OCSP nie były niezawodnie powiązane z walidowanym certyfikatem, a definitywne błędy weryfikacji były traktowane jako przejściowe. Atakujący typu man-in-the-middle posiadający unieważniony certyfikat i jego klucz prywatny dla hosta Snowflake lub stage mógł spowodować, że sterownik ustanowi sesję TLS z kontrolowanym przez atakującego endpointem, co pozwalało na odczyt i modyfikację danych przesyłanych w tym połączeniu. Udana eksploatacja wymaga pozycji on-path i odpowiedniego klucza prywatnego, a wpływ ogranicza się do danych przesyłanych w przechwyconym połączeniu. Poprawka jest dostępna w Snowflake Connector for Python v4.7.3, Snowflake Go Driver v2.2.0, Snowflake JDBC Driver v4.3.4 (w tym snowflake-jdbc-fips i snowflake-jdbc-thin) oraz Snowflake Node.js Driver v3.3.0. Użytkownicy muszą ręcznie zaktualizować.

Brak autoryzacji we wtyczce MarketKing od Kings Plugins umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.60 włącznie.

W Corosync, w module Totem Process Group (totempg), podczas składania fragmentów wiadomości multicast wykryto przepełnienie bufora na stercie. Brak kontroli granic w wersjach wydaniowych pozwala atakującemu z sieci na spowodowanie przepełnienia bufora kontrolowanymi danymi, co może doprowadzić do awarii demona Corosync i odmowy usługi dla całego klastra.

Produkty PALLET CONTROL zawierają podatność związaną z nieprawidłowymi domyślnymi uprawnieniami, która może pozwolić lokalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM.

Wtyczka WooCommerce od Automattic zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji przed 11.0.

Brak autoryzacji we wtyczce WCFM Membership od WC Lovers umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.11.11 włącznie.