Katalog podatności CVE

W rozszerzeniu bbPress (wersje do 2.6.14) wykryto brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność może być wykorzystana do nieautoryzowanych działań.

W Panelu Zarządzania Stroną (Ankara Hosting) występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Dotyczy wersji do 15062026.

Nieprawidłowa kontrola dostępu w funkcji getWiFiIpMacTable routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) umożliwia nieuwierzytelnionym atakującym uzyskanie mapowań MAC-IP klientów Wi-Fi poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji setWizardCfg routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) umożliwia nieuwierzytelnionym atakującym ponowną konfigurację ustawień WAN, Wi-Fi oraz stanu inicjalizacji urządzenia poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

W silniku szablonów Qute (używanym przez Quarkus) występuje luka w komponencie ReflectionValueResolver, który nie blokuje dostępu do wrażliwych wewnętrznych funkcji Javy podczas przetwarzania niektórych typów danych, takich jak Enumy. Atakujący, który może dostarczyć lub wpływać na tekst szablonu, może wykorzystać to obejście do przejęcia kontroli nad serwerem poprzez wykonanie nieautoryzowanych poleceń.

Nie kontrolowana rekurencja w bibliotece Samsung Open Source rlottie umożliwia przetwarzanie danych seryjnych z zagnieżdżonymi ładunkami, co może prowadzić do przeciążenia systemu lub odmowy usługi. Problem dotyczy wersji przed 8de0d9e6ca80ffef654965505981727b9fa06a51.

W urządzeniach D-Link DNS-320L, DNS-327L, DNS-340L i DNS-345 (do wersji 20260717) stwierdzono podatność w nieznanej funkcji pliku /cgi-bin/usb_device.cgi w komponencie CGI Handler. Manipulacja argumentem f_ups_ip prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty.

W urządzeniach D-Link DNS-327L i DNS-340L (do wersji 20260717) stwierdzono podatność w nieznanej funkcji pliku /cgi-bin/ve_mgr.cgi. Manipulacja argumentem f_dev powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

Wykryto podatność w urządzeniach D-Link DNS-320L, DNS-327L, DNS-340L i DNS-345 do wersji 20260717. Dotyczy nieznanej funkcji w pliku /cgi-bin/isomount_mgr.cgi komponentu ISO Image Handler. Manipulacja argumentem upIsoRootPath prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit jest publiczny.

W Apache Wicket w komponencie MetaDataHeaderItem nieprawidłowo neutralizowane są dane wejściowe podczas generowania stron. Atrybuty wartości w tagach <meta> i <link> nie są poprawnie escapowane, co pozwala na wstrzyknięcie dodatkowych atrybutów. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.

W Apache Wicket tag <wicket:label> jest renderowany bez escapowania, co pozwala na wstrzyknięcie znaczników HTML, jeśli etykieta pochodzi z modelu zawierającego dane kontrolowane przez atakującego. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.

Podatność XSS w Apache Wicket dotyczy komponentu Button renderowanego jako element <button>. Konstruktor czyści flagę escape-model-strings, przez co model nie jest kodowany przy zapisie do treści elementu, co pozwala na wstrzyknięcie znaczników HTML.

Podatność XSS w Apache Wicket dotyczy komponentów AjaxEditableChoiceLabel, AjaxEditableLabel i AjaxEditableMultiLineLabel. Wartości wyświetlane przez etykiety nie są poprawnie escapowane, co pozwala atakującemu na wstrzyknięcie HTML lub skryptów. Problem występuje w wersjach 8.0.0-8.18.0, 9.0.0-9.23.0 oraz 10.0.0-10.10.0.

Podatność w Apache Wicket dotyczy mechanizmu ochrony przed CSRF (ResourceIsolationRequestCycleListener). Domyślna polityka FetchMetadataResourceIsolationPolicy błędnie zezwala na proste nawigacje top-level oraz żądania same-site, co pozwala atakującemu na wywołanie akcji (np. listenerów komponentów) w kontekście uwierzytelnionej sesji ofiary. Problem występuje w wersjach 9.1.0–9.23.0 oraz 10.0.0–10.10.0.

Podatność w Apache Wicket pozwala na obejście limitów rozmiaru i liczby przesyłanych plików, gdy żądanie multipart jest już wcześniej przetworzone przez inny komponent (np. filtr). Wicket wtedy odczytuje pliki przez HttpServletRequest#getParts() bez stosowania limitów per-plik i limitu liczby plików, co umożliwia przesłanie większych lub liczniejszych plików niż dozwolone. Dodatkowo część bez nagłówka Content-Type jest w całości wczytywana do pamięci, co może prowadzić do nadmiernego zużycia zasobów.

Podatność w Apache Wicket pozwala nieuwierzytelnionemu atakującemu na odczyt plików z aplikacji webowej, w tym plików z katalogu WEB-INF, które normalnie nie są serwowane. Atak wykorzystuje nieprawidłową walidację atrybutów URL zasobów pakietu, które są wstawiane do ścieżki wyszukiwania bez sprawdzenia separatorów ścieżki.

Aix-DB do wersji 1.2.4 renderuje markdown z włączonym surowym HTML w powiązaniach v-html bez sanityzacji, co umożliwia ataki typu stored cross-site scripting. Atakujący mogą wstrzykiwać złośliwy HTML i JavaScript przez treść markdown w odpowiedziach czatu, opisach umiejętności lub wiadomościach wiedzy, które wykonują się w przeglądarkach użytkowników podczas przeglądania.

YaCy Search Server do wersji 1.941 zawiera podatność wstrzykiwania zewnętrznych encji XML w parserach SVG, FreeMind i OpenSearch, które nie wyłączają rozwiązywania zewnętrznych encji. Atakujący mogą publikować złośliwe dokumenty z deklaracjami DOCTYPE zawierającymi encje SYSTEM wskazujące na lokalne pliki, powodując eksfiltrację zawartości plików do indeksu wyszukiwania.

DataEase przed wersją 2.10.26 zawiera wiele defektów kontroli dostępu w module linków udostępniania. Bilety nie są powiązane z docelowym UUID udostępnienia, więc ważny bilet wydany dla jednego udostępnienia może być użyty przeciwko innemu. Endpoint POST /de2api/share/validate wydaje LinkToken po weryfikacji hasła bez wymagania biletu, omijając politykę 'ticket mandatory'. Ponadto endpointy tworzenia i usuwania biletów nie sprawdzają własności udostępnienia, co pozwala uwierzytelnionemu użytkownikowi, który zna bilet innego użytkownika, na modyfikację, ponowne powiązanie lub usunięcie go (denial of service), a GET /de2api/share/queryRelationByUserId/{uid} pozwala uwierzytelnionym użytkownikom na enumerację mapowań udostępnień innych użytkowników.

DataEase przed wersją 2.10.26 pomija kontrolę autoryzacji na poziomie obiektów w endpointach REST dotyczących informacji geograficznych, powiązań dashboardów i szczegółów wykresów, co pozwala uwierzytelnionym użytkownikom na dostęp do zasobów należących do innych użytkowników. Atakujący mogą nadpisywać lub usuwać geometrię map, modyfikować powiązania dashboardów oraz pobierać metadane i konfigurację wykresów dla zasobów, których nie posiadają, podając dowolne identyfikatory w żądaniach.