Katalog podatności CVE

Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów używała niekompletnych kontroli containment w systemie plików, co pozwalało na dostęp do plików w katalogach sąsiednich, jeśli ścieżka miała wspólny prefiks. Zdalny atakujący mógł tworzyć i uzyskiwać dostęp do miniatur z plików obrazów w sąsiednim katalogu, potencjalnie ujawniając staging, kopie zapasowe lub inne wewnętrzne strony.

System egzaminacyjny XueZhiSi Open Source Exam System w wersji 3.9.0 i wcześniejszych ma podatność na eskalację uprawnień w interfejsie nauczyciela POST /api/teacher/user/page/list. Parametr role w UserPageRequestVM jest w pełni kontrolowany przez osobę wysyłającą żądanie.

Interfejs nauczyciela POST /api/teacher/user/delete/{id} w XueZhiSi Open Source Exam System w wersji 3.9.0 i wcześniejszych zawiera podatność na pionową eskalację uprawnień. Interfejs przyjmuje identyfikator użytkownika i wykonuje sekwencję getUserById(id), setDeleted(true), updateByIdFilter() bez żadnej walidacji, czy bieżący użytkownik ma uprawnienia do usunięcia docelowego użytkownika. Uwierzytelniony nauczyciel (rola=2) może usunąć konto administratora (rola=3), co stanowi pionową eskalację uprawnień.

Kirby to system zarządzania treścią. Od wersji 5.0.0 do 5.5.2, procedura obsługi przesyłania fragmentów w API REST w src/Api/Upload.php nie uruchamiała odpowiedniej autoryzacji przed zapisaniem danych fragmentu w Kirby\Api\Upload::processChunk(). Uwierzytelniony użytkownik z włączonym uprawnieniem access.panel, ale z wyłączonymi uprawnieniami files.create, files.replace i user/users.update, mógł wysyłać żądania z nagłówkiem Upload-Length i pozostawiać niedokończone fragmenty w site/cache/.uploads przez 24 godziny. Powtarzanie tego procesu mogło zużywać kontrolowaną przez atakującego pamięć tymczasową, uniemożliwiać innym użytkownikom przesyłanie plików lub uniemożliwiać logice witryny przechowywanie danych, chociaż końcowe kontrole uprawnień nadal uniemożliwiały nieautoryzowanym plikom dotarcie do katalogów content lub site/accounts. Problem naprawiono w wersji 5.5.2.

Smarty to silnik szablonów dla PHP. Przed wersjami 4.5.7 i 5.8.2, obsługa {fetch} używała Security::isTrustedUri() tylko do walidacji początkowego adresu URL, a PHP domyślnie podążał za przekierowaniami HTTP. Atakujący z otwartym przekierowaniem na zaufanym hoście mógł przekierować żądanie do wewnętrznego punktu końcowego, omijając listę dozwolonych URI i wykonując SSRF.

Wallos to otwartoźródłowy, samodzielnie hostowany tracker subskrypcji. Od wersji 4.0.0 do przed 4.9.6, logowanie OIDC w Wallos łączy przychodzącą tożsamość OIDC z istniejącym lokalnym kontem, dopasowując wyłącznie adres e-mail, bez weryfikacji, czy IdP oznaczył ten e-mail jako zweryfikowany (email_verified). Gdy Wallos jest skonfigurowany z IdP, który pozwala użytkownikowi przedstawić dowolny lub niezweryfikowany e-mail (IdP wielodostępne, IdP z otwartą samorejestracją lub dowolny IdP częściowo kontrolowany przez atakującego), atakujący bez konta Wallos może uwierzytelnić się przy użyciu e-maila administratora i zalogować się jako administrator — pełne przejęcie konta bez hasła. Problem naprawiono w wersji 4.9.6.

Wallos to otwartoźródłowy, samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.6, skonfigurowane przez administratora adresy URL token_url i user_info_url OIDC w includes/oidc/handle_oidc_callback.php:18-49 są używane bezpośrednio w curl_init() bez żadnego filtrowania SSRF. W przeciwieństwie do adresów URL logo/webhook, które mają validate_webhook_url_for_ssrf(), adresy URL OIDC omijają wszystkie zabezpieczenia. Administrator może ustawić URL na http://169.254.169.254/latest/meta-data/ w celu uzyskania dostępu do metadanych chmury lub wewnętrznego przeskoku sieciowego. Problem naprawiono w wersji 4.9.6.

Wallos przed wersją 4.9.6 zawiera podatność na zapis plików poza katalogiem docelowym (path traversal) w punkcie końcowym POST /endpoints/db/restore.php. Funkcja ZipArchive::extractTo() nie sprawdza nazw wpisów pod kątem sekwencji '../', co pozwala administratorowi na przesłanie spreparowanego archiwum ZIP z plikiem logos/../../endpoints/shell.php, co skutkuje zapisaniem webshella w katalogu głównym serwera. Filtr rozszerzeń dotyczy tylko kopiowania logo po ekstrakcji, więc nie chroni przed tym atakiem.

Wallos przed wersją 4.9.6 zawiera podatność na SSRF (Server-Side Request Forgery) w punkcie końcowym POST /endpoints/notifications/testemailnotifications.php. Parametry smtpaddress i smtpport są pobierane z ciała żądania bez żadnej walidacji SSRF, a PHPMailer łączy się z hostem i portem podanym przez atakującego. Inne punkty końcowe powiadomień używają ssrf_helper.php, ale ten został pominięty. Każdy uwierzytelniony użytkownik może skanować sieć wewnętrzną i uzyskać dostęp do metadanych chmury.

Wallos przed wersją 4.9.4 zawiera podatność polegającą na braku uwierzytelnienia w punkcie końcowym endpoints/db/import.php. Jedyną ochroną jest liczba wierszy w tabeli użytkowników – jeśli wynosi zero (świeża lub niekonfigurowana instalacja), nieuwierzytelniony atakujący może zastąpić całą bazę danych.

Wallos przed wersją 4.9.4 zawiera podatność w mechanizmie OIDC (OpenID Connect). login.php generuje nonce stanu OIDC przechowywany w $_SESSION['oidc_state'], ale checksession.php obsługuje callback OIDC bez porównania przychodzącego stanu z wartością sesji. Atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co powoduje, że Wallos wymienia kod autoryzacyjny atakującego i loguje ofiarę na konto atakującego.

Wallos przed wersją 4.9.4 zawiera podatność polegającą na braku uwierzytelnienia w punkcie końcowym endpoints/db/migrate.php. Ten punkt wykonuje migracje schematu bazy danych po wywołaniu przez HTTP. Każdy nieuwierzytelniony atakujący może wywołać oczekujące pliki migracji na żywej bazie danych SQLite.

backpack/crud to pakiet Laravel do tworzenia paneli administracyjnych. Od wersji 6.0.0 do 6.8.14 i 7.0.37, metody SingleBase64Image::uploadFiles i uploadRepeatableFiles akceptują dowolne data URI zaczynające się od data:image bez walidacji typu MIME lub zawartości. Uwierzytelniony administrator może przechowywać dowolne pliki pod nazwą bez rozszerzenia, co może prowadzić do przechowywanego XSS lub innych niepożądanych zachowań.

Wallos to samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.1, endpoint currency/update_exchange.php ładuje globalnie pierwsze poświadczenie Fixer/API Layer zamiast poświadczenia uwierzytelnionego użytkownika. Zwykły uwierzytelniony użytkownik bez własnego klucza może wywołać odświeżenie kursów walut używając poświadczeń innego użytkownika.

Wallos to samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.1, uwierzytelniony użytkownik może edytować swoją nieaktywną subskrypcję i ustawić replacement_subscription_id na ID subskrypcji należącej do innego użytkownika. Logika statystyk później odwołuje się do obcego ID bez zakresu user_id, co pozwala atakującemu wywnioskować miesięczny koszt subskrypcji ofiary.

Twardo zakodowane, niebezpieczne poświadczenia w koncie Administrator w Tenda HG21 V4.0.0-260302 umożliwiają atakującym uzyskanie dostępu root.

TechStore 1.0 jest podatny na Cross Site Scripting (XSS). W contact_display aplikacja odzwierciedla parametr id bezpośrednio w renderowanej stronie, co umożliwia wykonanie dostarczonego przez atakującego JavaScriptu w przeglądarce użytkownika.

Wykryto podatność w sdcb chats do wersji 1.12.0. Dotyczy funkcji McpController w pliku src/BE/web/Controllers/Users/Mcps/McpController.cs, w komponencie fetch-tools Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto słabość w caoqianming django-vue-admin 1.0. Podatność dotyczy nieznanego kodu w pliku /api/file/. Manipulacja argumentem file_id prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

Wykryto lukę bezpieczeństwa w Doccano Open Source Annotation Tools do wersji 1.8.5. Dotyczy funkcji LabelList w pliku /v1/projects/1/category-types, w komponencie Bulk-Delete Endpoint. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.