Katalog podatności CVE

Podatność nieprawidłowego obsługiwania wielkości liter w module External Authentication w Drupalu umożliwia eskalację uprawnień. Dotyczy wersji od 0.0.0 do 2.0.13.

Podatność nieprawidłowej autoryzacji w module Commerce PayPal w Drupalu umożliwia wymuszone przeglądanie (Forceful Browsing). Dotyczy wersji od 0.0.0 do 1.12.0 oraz od 2.0.0 do 2.1.3.

Podatność Server-Side Request Forgery (SSRF) w module Entity Share Websub w Drupalu umożliwia wykonywanie żądań po stronie serwera. Dotyczy wersji od 0.0.0 do 1.1.2.

Podatność typu Stored XSS w module Drupal Entity Browser wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji od 0.0.0 do 2.16.0.

Podatność obejścia uwierzytelniania przy użyciu alternatywnej ścieżki lub kanału w module Disable Login Page w Drupalu umożliwia obejście funkcji. Dotyczy wersji od 0.0.0 do 1.1.4.

Wtyczka Rentsyst (rentsyst) autorstwa DimaFreund do wersji 2.1.5 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Kimai przed wersją 2.65.0 zawiera podatność obejścia autoryzacji w punkcie końcowym REST API do pobierania timesheetów, która nie egzekwuje kontroli dostępu do zespołów aktywności. Użytkownicy z uprawnieniem view_other_timesheet mogą wyświetlać timesheety używające aktywności ograniczonych do zespołów, do których nie należą, omijając zamierzoną izolację danych.

Kimai przed wersją 2.65.0 zawiera lukę w logice biznesowej i niewłaściwej autoryzacji w domyślnych endpointach tworzenia zespołów. Uwierzytelniony użytkownik z uprawnieniami do zarządzania projektami może utworzyć lub użyć klienta, projektu lub aktywności o nazwie istniejącego zespołu; ponieważ endpointy POST /api/customers/{id}/team, POST /api/projects/{id}/team i POST /api/activities/{id}/team ponownie wykorzystują istniejący zespół o tej samej nazwie i dodają bieżącego użytkownika jako teamlead bez weryfikacji uprawnień do zarządzania tym zespołem, atakujący uzyskuje nieautoryzowane uprawnienia teamlead (administracyjne) nad istniejącym zespołem. Naprawiono w wersji 2.65.0.

Kimai przed wersją 2.63.0 zawiera podatność nieprawidłowej autoryzacji w punktach końcowych dostępu do zespołów, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do edycji zespołów i dostępem tylko do odczytu na przyznanie dostępu zespołom do klientów, projektów lub aktywności. Atakujący mogą wykorzystać niewystarczające sprawdzanie uprawnień, wysyłając żądania POST do punktów końcowych dostępu do zespołów, aby modyfikować listy kontroli dostępu dla encji, których nie powinni móc modyfikować.

Kimai w wersjach od 2.61.0 do przed 2.63.0 nie wyłącza preferencji umowy o pracę dostępnych tylko dla administratorów dla użytkowników z niskimi uprawnieniami w punkcie końcowym PATCH /api/users/{id}/preferences. Chociaż interfejs webowy blokuje te pola umowy o pracę za uprawnieniem admina contract_other_profile, subskrybent WorkContractPreferenceSubscriber (wprowadzony w 2.61.0) rejestruje preferencje jako włączone bez sprawdzania uprawnień, więc uwierzytelniony zwykły użytkownik może użyć API do modyfikacji własnych danych umowy o pracę dostępnych tylko dla administratorów. Problem naprawiono w wersji 2.63.0 poprzez zastosowanie tego samego sprawdzenia uprawnień do punktu końcowego API.

Kimai przed wersją 2.65.0 nieprawidłowo weryfikuje uprawnienia podczas usuwania dostępu zespołu do działań, projektów i klientów przez API. Uwierzytelnieni użytkownicy z uprawnieniem edit_team mogą cofnąć dostęp zespołu bez wymaganego sprawdzenia permissions_activity, omijając kontrolę autoryzacji.

SiYuan przed wersją 3.8.2 zawiera podatność na trwały cross-site scripting (XSS) w serwowaniu zasobów z powodu niekompletnej listy blokowanych rozszerzeń, która pomija typy plików zdolne do wykonywania skryptów. Atakujący mogą przesyłać pliki z rozszerzeniami takimi jak .xht, .ehtml, .xsl, .xbl lub .rdf, które są interpretowane jako wykonywalne typy mediów, i wykonywać JavaScript w celu kradzieży tokenów API i naruszenia bezpieczeństwa obszarów roboczych.

Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.

Craft CMS przed wersją 5.10.11 nie weryfikuje statusu administratora w punkcie końcowym actionGetPasswordResetUrl, co pozwala użytkownikom niebędącym administratorami z uprawnieniem administrateUsers na generowanie linków resetowania hasła dla kont administratorów. Atakujący może ustawić nowe hasło dla administratora i przejąć panel kontrolny.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 zawiera brak autoryzacji w AssetsController::actionReplaceFile. Gdy żądanie podaje sourceAssetId i targetFilename bez assetId, uprawnienie replacePeerFiles nie jest egzekwowane, co pozwala autoryzowanemu autorowi z uprawnieniem replaceFiles na nadpisanie plików innych użytkowników w tym samym folderze.

Craft CMS przed wersją 5.11.0 nie egzekwuje filtrów zakresu grup użytkowników na natywnych relacjach GraphQL użytkowników, w tym pól author, authors, uploader, draftCreator i revisionCreator. Atakujący z tokenem GraphQL o ograniczonym zakresie mogą odpytywać te relacje, aby odczytać nazwy użytkowników, adresy e-mail i pełne nazwy dowolnego autora lub przesyłającego treści, w tym administratorów.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie wykonuje niezależnej kontroli autoryzacji w ElementsController::actionDeleteForSite. Metoda sprawdza uprawnienia tylko dla własnego szkicu użytkownika, a następnie usuwa kanoniczny element bez ponownej weryfikacji, co pozwala uwierzytelnionemu użytkownikowi bez uprawnienia deleteEntriesForSite na trwałe usunięcie wpisów.

Craft CMS przed wersją 5.10.11 zawiera podatność na obejście autoryzacji w ElementsController::actionDuplicate(), która pozwala uwierzytelnionym użytkownikom z uprawnieniem createEntries na usuwanie cudzych wstępnych wersji roboczych. Atakujący mogą wykorzystać parametr deleteProvisionalDraft, aby usunąć niezapisany szkic innego użytkownika bez odpowiednich kontroli autoryzacji, uzyskując dostęp do treści w trakcie tworzenia.

Craft CMS przed wersją 5.10.11 zawiera podatność obejścia zakresu witryny w resolverach mutacji GraphQL, które nie weryfikują siteId przez ArgumentManager::prepareArguments(). Atakujący z tokenami ograniczonymi do jednej witryny mogą czytać, modyfikować lub usuwać wpisy w innych witrynach.

Craft CMS przed wersją 5.10.11 nie waliduje flagi administratora podczas rejestracji użytkownika, co pozwala na jej utrzymanie z dezaktywowanych kont administratora. Atakujący mogą zarejestrować się przy użyciu adresu e-mail dezaktywowanego administratora, aby odziedziczyć uprawnienia administratora, gdy włączona jest publiczna rejestracja i wyłączona weryfikacja e-maila.