Katalog podatności CVE

Spring Data REST nie zachowuje utrwalonej właściwości wersji (@Version) agregatu głównego podczas obsługi żądania HTTP PUT dla niezmiennego typu docelowego. Dotyczy Spring Data REST 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15 oraz 3.7.20 i wcześniejszych.

W określonych scenariuszach serwer HTTP Reactor Netty może nieprawidłowo oceniać zdalny adres IP, gdy włączony jest protokół HAProxy. Aby to nastąpiło, aplikacja musi być skonfigurowana do korzystania z protokołu HAProxy. Dotyczy Reactor Netty 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejszych.

W systemie SourceCodester Simple Online Food Ordering System 1.0 znaleziono podatność na iniekcję SQL w pliku /admin/ajax.php?action=login2, gdzie manipulacja argumentem email umożliwia zdalny atak. Exploit został publicznie ujawniony.

W module ipa_getkeytab z kolekcji community.general Ansible znaleziono błąd: parametr bind_pw, używany do podania hasła LDAP przy pobieraniu keytaba Kerberos, nie jest zadeklarowany jako no_log, w przeciwieństwie do podobnego parametru password w tym samym module. W rezultacie podane hasło bind jest zapisywane w postaci jawnej w dzienniku systemowym/syslogu hosta zarządzanego, jest zawarte w wartościach zwracanych przez moduł i w verbose (-v), oraz jest wyświetlane w Automation Controller / AWX job output. Hasło jest również przekazywane w linii poleceń do narzędzia ipa-getkeytab (jako --bindpw <wartość>), co ujawnia je w liście procesów lokalnym użytkownikom podczas działania. Atakujący, który może czytać te logi, dane wyjściowe zadań lub tablicę procesów, może uzyskać poświadczenia bind do katalogu, potencjalnie kompromitując konta i obiekty, do których te poświadczenia mają dostęp.

Interfejs importu metadanych urządzenia /device/instance/{productId}/property-metadata/import w jetlinks community 2.11 jest podatny na podrabianie żądań po stronie serwera (SSRF).

disconf (Distributed Configuration Management Platform) 2.6.36 jest podatny na nieprawidłową kontrolę dostępu. Interfejsy API do pobierania konfiguracji /api/config/item, /api/config/file, /api/config/list i /api/config/simple/list są wystawione bez uwierzytelnienia. LoginInterceptor jawnie umieszcza te cztery ścieżki na białej liście, więc każdy anonimowy atakujący może odczytać każdy element konfiguracji i plik konfiguracyjny zarządzany przez centrum konfiguracji.

Funiture 1.0.0 jest podatny na wstrzykiwanie SQL w interfejsach narzędzi backendu /sys/tool/select.json i /sys/tool/update.json.

Zyplayer-Doc <=1.0.0 jest podatny na podrabianie żądań po stronie serwera (SSRF) przez WikiPageWebService.download().

Interfejs front-end /superdiamond/preview/{projectCode}/{module}/{type} w super-diamond-server <= 1.3.3 jest podatny na wstrzykiwanie SQL. Parametr module jest bezpośrednio łączony z klauzulą SQL IN przez StringUtils.split() i konkatenację stringów bez parametryzacji i wiązania.

KubePi do wersji 2.0.0 włącznie nie sprawdza spójnie uprawnień do klastrów w API działającym na poziomie klastra. Uwierzytelniony użytkownik z uprawnieniami do zarządzania klastrem może operować na klastrach spoza przyznanego zakresu. Problem został naprawiony w wersji 2.0.1.

KubePi w wersjach do 1.6.15 włącznie udostępnia punkty API konfiguracji SSO na tym samym publicznym routerze co punkty logowania i wywołań zwrotnych SSO, co pozwala na zarządzanie SSO, OIDC i SAML bez autoryzacji administratora. Nieautoryzowany użytkownik może przeglądać lub zmieniać konfigurację uwierzytelniania, co może prowadzić do przejęcia konta lub eskalacji uprawnień. Funkcja testowania połączenia SSO może być wykorzystana jako SSRF, a API listy użytkowników nie czyści pól związanych z uwierzytelnianiem. Problem naprawiono w wersji 2.0.0.

Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez niestandardowe nazwy rodzin czcionek, które są interpolowane do reguły CSS @font-face i wstrzykiwane do strony jako HTML bez sanityzacji. Atak jest pasywny: każdy członek zespołu, który otworzy plik odwołujący się do złośliwej czcionki, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.

Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez komentarze do plików, których treść jest przechowywana jako surowy tekst i renderowana na stronie za pomocą innerHTML bez sanityzacji. Atak jest pasywny: każdy użytkownik, który otworzy panel komentarzy na zaatakowanym pliku, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.

HCL BigFix Quantum Risk Analyzer domyślnie generuje bardzo szczegółowe logi, co zwiększa ryzyko wycieku wrażliwych danych i może dostarczyć atakującemu informacji o wewnętrznej logice aplikacji i szczegółach architektury.

Binarka HCL BigFix Quantum Risk Analyzer nie posiada kilku krytycznych, standardowych zabezpieczeń, co może pozwolić atakującemu na spowodowanie przepełnienia bufora na stosie.

To CVE zostało odrzucone lub wycofane przez CVE Numbering Authority.

HCL Connections jest podatny na atak typu Server-Side Request Forgery (SSRF) w przypadku naruszenia wewnętrznego serwera, co może pozwolić atakującemu na wysyłanie nieautoryzowanych żądań w określonych scenariuszach, prowadząc do ujawnienia informacji lub obejścia zabezpieczeń.

W systemie itsourcecode Payroll System 1.0 znaleziono błąd polegający na braku uwierzytelnienia w funkcji create/read/update/delete pliku ajax.php komponentu CRUD Operation Handler. Manipulacja argumentem action umożliwia zdalny atak. Exploit został opublikowany.

SeaweedFS w wersjach przed 4.40 ma podatność, w której uwierzytelniony podmiot S3 z uprawnieniami ograniczonymi do zagnieżdżonego klucza obiektu może nadpisać inny obiekt poza tym zakresem, wywołując PutObjectAcl na kluczu, do którego ma dostęp. Obsługa autoryzuje żądanie względem żądanego klucza, ale zapisuje zaktualizowany wpis do katalogu głównego zasobnika, co prowadzi do nadpisania obiektu docelowego.

SeaweedFS w wersji 4.39 ma podatność w obsłudze TUS resumable-upload, gdzie sprawdzanie zakresu allowed_prefixes JWT odbywa się tylko przy tworzeniu sesji. To pozwala niskouprzywilejowanemu dzierżawcy przejąć sesję przesyłania innego dzierżawcy i zapisać treść w ścieżkach, których jego token nie powinien zezwalać. Podatność dotyczy tylko wdrożeń z włączonym podpisywaniem JWT filera i włączonymi przesyłaniami TUS.