Katalog podatności CVE

Wtyczka Passster dla WordPressa przed wersją 4.3.9 nieprawidłowo dopasowuje własne ścieżki publicznych endpointów przy podejmowaniu decyzji, które żądania REST API mogą ominąć globalną ochronę hasłem, porównując je jako niezakotwiczony podciąg URI żądania zamiast z rozwiązaną trasą, co pozwala nieuwierzytelnionemu atakującemu na odczyt treści globalnie chronionych hasłem postów i stron.

Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.

Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.

Wtyczka LitExtension dla WordPressa do wersji 1.2.5 nie weryfikuje nonce przed akcją administracyjną, która nadpisuje token autoryzacyjny łącznika migracji sklepu, co pozwala atakującym na przejęcie tokenu łącznika poprzez nakłonienie zalogowanego administratora do kliknięcia spreparowanego linku (CSRF).

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie weryfikuje adresu URL webhooka podanego przez użytkownika ani nie sprawdza własności wydarzenia, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wywoływanie ślepych żądań po stronie serwera do dowolnych hostów.

Procedura report.list w pakiecie trpc w Reconmap akceptuje projectId i dashboardId, ale weryfikuje tylko członkostwo dla projectId, nie sprawdzając, czy dashboardId należy do tego projektu. Uwierzytelniony użytkownik może podać projectId z własnej organizacji i dashboardId z innej organizacji, uzyskując dostęp do wszystkich raportów w tym dashboardzie. Istniała już poprawnie zakresowana funkcja listReportsCore, ale router jej nie używał.

Procedura report.get w raporcie TRPC akceptuje tylko reportId i zwraca getReportById(reportId) bez sprawdzenia dostępu. Middleware enforceAccess sprawdza członkostwo tylko, gdy dane wejściowe zawierają projectId lub organizationId, więc sam reportId przechodzi bez kontroli. Uwierzytelniony użytkownik może odczytać pełną konfigurację dowolnego zapisanego raportu, w tym projectId, serie zdarzeń, filtry, podziały i formuły.

API Reconmap stosuje domyślną politykę autoryzacji wymagającą uwierzytelnionego użytkownika z rolą administratora, ale akcja podglądu raportu w ReportsController.cs ma atrybut [AllowAnonymous], co wyłącza tę politykę. Funkcja PreviewReport ładuje projekt na podstawie id, powiązaną organizację i renderuje je do szablonu, bez żadnej weryfikacji uwierzytelnienia, członkostwa w projekcie czy roli. Ponieważ id jest kluczem głównym, nieuwierzytelniony atakujący może przeglądać sekwencyjne id i uzyskać dane wrażliwe wszystkich projektów.

Backend filestore w pkg/object/file.go, używany dla magazynów file:// i jako wspólny cel synchronizacji juicefs, wyprowadza każdą operację z path(key), która nie sprawdza, czy wynik pozostaje w katalogu głównym. Klucze obiektów z zewnętrznego magazynu mogą zawierać segmenty przejścia (np. ../), co pozwala na zapis plików poza zamierzonym katalogiem lokalnym bez zgłaszania błędu. Operator synchronizujący z nie w pełni kontrolowanego bucketa jest narażony na zapis plików w miejscach kontrolowanych przez atakującego.

Podatność w bibliotece misp-stix wynika z niepełnego czyszczenia stanu parsera między konwersjami dokumentów STIX. Ponowne użycie tej samej instancji parsera może spowodować, że dane z wcześniej przetworzonego dokumentu (np. galaktyki, rekordy DNS, tytuły, znaczniki czasu) zostaną dołączone do zdarzenia MISP generowanego z kolejnego dokumentu. Problem dotyczy zarówno parserów STIX 1, jak i STIX 2.

W Dolibarr do wersji 23.0.4 zidentyfikowano słabość w pliku htdocs/user/card.php w komponencie Account Handler. Manipulacja argumentem ID powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 24.0.0 łagodzi problem.

W urządzeniu Comfast CF-N1-S w wersji 2.6.0.1 odkryto podatność na wstrzykiwanie komend w funkcji system w pliku /cgi-bin/mbox-config?method=SET&section=ntp_timezone. Manipulacja argumentem timestr umożliwia zdalne wykonanie komend. Exploit został opublikowany i może być wykorzystywany w atakach.

SiYuan przed wersją v3.7.4 nie waliduje parametru packageName w punktach końcowych instalacji i odinstalowania Bazaar, co pozwala uwierzytelnionym administratorom na przeprowadzenie ataku typu path traversal. Atakujący z dostępem administratorskim mogą zapisywać dowolne pliki w dowolnej lokalizacji lub rekurencyjnie usuwać katalogi, podając spreparowane wartości packageName.

Używanie niezaufanych, nieznormalizowanych danych jako danych metryk (takich jak nazwy metryk, klucze tagów lub wartości tagów) jest niebezpiecznym antywzorcem, którego ogólna instrumentacja nie powinna nigdy wykonywać. Podatność dotyczy biblioteki Micrometer w wersjach 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejszych.

W agent receiver Checkmk przed wersją 2.5.0p10 występuje problem z uwierzytelnianiem. Nieuwierzytelniony zdalny atakujący może ominąć weryfikację certyfikatów klienta w relay endpoints, podając stały identyfikator zastępczy w URL żądania. Ma to ograniczony wpływ na integralność i dostępność. Dotyczy tylko edycji Cloud, Ultimate i Ultimate MT.

Remote Utilities Host w wersji do 7.7.3.0 ustawia niebezpieczne listy ACL na wszystkich plikach DLL w katalogu instalacyjnym, przyznając pełną kontrolę grupie Everyone. Usługa Windows działająca jako SYSTEM ładuje DLL z tego katalogu. Istnieje okno wyścigu, gdy usługa jest zatrzymana, podczas którego lokalny nieuprzywilejowany atakujący może podmienić DLL na złośliwy plik, który zostanie wykonany z uprawnieniami SYSTEM po restarcie usługi.

W bibliotece misp-stix wykryto podatność na atak typu denial-of-service podczas przetwarzania dokumentów STIX 1 lub STIX 2 kontrolowanych przez atakującego. Kod importu używał sys.exit() do obsługi błędów, co powodowało nieoczekiwane zakończenie procesu, a także nie ograniczał rozmiaru przetwarzanych dokumentów, co mogło prowadzić do nadmiernego zużycia pamięci i CPU.

Podatność typu path traversal w MISP podczas importu STIX 2 i eksportu MISP-do-STIX 2. Nazwy obiektów MISP nie były wystarczająco walidowane przed użyciem w ścieżce plików do rozwiązywania szablonów, co pozwalało na wyjście poza katalog szablonów i wczytanie pliku definition.json z innej lokalizacji. Atakujący mógł dostarczyć złośliwą nazwę obiektu (np. zawierającą ../) przez niestandardowy obiekt STIX lub trwałe zdarzenie MISP.

W CodeAstro Online Job Portal 1.0 zidentyfikowano podatność w pliku /users/update-profile.php. Manipulacja argumentem Name prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Aplikacje korzystające z Micrometer Tracing z propagacją W3C baggage w mostku Brave są podatne na atak DoS z powodu nieograniczonej alokacji obiektów podczas przetwarzania przychodzących nagłówków baggage. Podatne wersje: Micrometer Tracing 1.7.0, 1.6.0-1.6.6, 1.5.0-1.5.12 oraz 1.4.13 i wcześniejsze.