Katalog podatności CVE

Budibase Server przed wersją 3.41.3 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w punkcie końcowym importu zapytań, który nie waliduje adresów URL dostarczonych przez użytkownika przed pobraniem treści. Atakujący mogą przesyłać dowolne adresy URL, aby uzyskać odpowiedzi z wewnętrznych usług, w tym punktów końcowych metadanych chmury i innych ograniczonych zasobów sieciowych.

Budibase przed wersją 3.41.3 nie egzekwuje autoryzacji opartej na rolach na punktach końcowych zarządzania licencjami, co pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie kluczy licencyjnych lub manipulowanie tokenami offline. Atakujący z podstawowymi uprawnieniami użytkownika mogą uzyskać dostęp do /api/global/license/*, aby wyłączyć funkcje premium i zdegradować wdrożenia dla wszystkich użytkowników.

Budibase przed wersją 3.41.3 zawiera podatność na zdalne wykonanie kodu w obsłudze wtyczek, która pozwala uwierzytelnionym administratorom wykonać dowolny kod poprzez przesłanie złośliwego pakietu wtyczki. Serwer wywołuje eval() na plikach JavaScript wtyczki bez sandboxa w głównym procesie Node.js, umożliwiając atakującym kradzież zmiennych środowiskowych i poświadczeń z uprawnieniami roota w domyślnych instalacjach.

Budibase Server przed wersją 3.41.3 zawiera podatność na SSRF w punkcie końcowym weryfikacji źródła danych, która pozwala użytkownikom na poziomie buildera podawać dowolne adresy URL bez walidacji SSRF. Atakujący mogą wykorzystać to do wycieku wewnętrznych poświadczeń CouchDB, wysyłając żądania do serwerów kontrolowanych przez atakującego, uzyskując pełny dostęp do bazy danych w wdrożeniach chmurowych.

Budibase przed wersją 3.41.3 zawiera podatność braku autoryzacji w punkcie końcowym POST /api/resources/duplicate, która pozwala uwierzytelnionym builderom wstrzykiwać tabele, automatyzacje, zapytania i ekrany do dowolnej innej aplikacji bez posiadania roli w docelowym workspace. Atakujący mogą wstrzykiwać zasoby, podając dowolny identyfikator docelowego workspace w treści żądania, a następnie uruchamiać wstrzyknięte automatyzacje z wychodzącymi webhookami, aby eksfiltrować dane z aplikacji ofiary.

Budibase backend-core (@budibase/backend-core, używany przez @budibase/server) pomija zakres adresów współdzielonych 100.64.0.0/10 z domyślnej czarnej listy SSRF (DEFAULT_BLACKLIST) używanej przez podgląd zapytań REST. Gdy domyślna czarna lista jest aktywna (tj. samodzielne wdrożenie nie zdefiniowało BLACKLIST_IPS), uwierzytelniony użytkownik z uprawnieniami Buildera może wysłać żądanie podglądu zapytania REST do POST /api/queries/preview, kierując je do osiągalnego serwisu HTTP(S) w zakresie 100.64.0.0/10, co powoduje, że serwer wysyła żądanie do tego celu i zwraca odpowiedź przez przepływ podglądu. Według porady, nie zidentyfikowano wydanej poprawki w momencie publikacji; remediacja polega na dodaniu 100.64.0.0/10 do DEFAULT_BLACKLIST.

Budibase przed wersją 3.41.3 nie waliduje przypisań ról buildera w zakresie aplikacji w publicznych punktach końcowych tworzenia i aktualizacji użytkowników, co pozwala uwierzytelnionemu builderowi w zakresie aplikacji przyznać dostęp buildera do niepowiązanych aplikacji. Atakujący mogą wysyłać spreparowane żądania do API aktualizacji użytkownika z polami builder.apps, aby eskalować uprawnienia i uzyskać nieautoryzowany dostęp buildera do innych aplikacji w tym samym tenant.

Budibase przed wersją 3.41.3 nie egzekwuje ograniczeń ról per tabela na punkcie końcowym POST /api/datasources/query, co pozwala użytkownikom z niskimi uprawnieniami BASIC odczytywać, tworzyć, aktualizować lub usuwać wiersze w dowolnej tabeli niezależnie od skonfigurowanych uprawnień. Atakujący z rolą BASIC mogą wysyłać spreparowane żądania zapytań z identyfikatorami docelowych tabel, aby ominąć kontrolę dostępu na poziomie tabel i manipulować ograniczonymi danymi.

W filebrowser od wersji 2.24.0 występuje wyścig w obsłudze przesyłania TUS, który pozwala uwierzytelnionym użytkownikom zapisywać poza zadeklarowaną długością Upload-Length poprzez wysyłanie równoczesnych żądań PATCH. Atakujący mogą wysyłać wiele jednoczesnych żądań PATCH na tym samym offsecie, aby ominąć walidację długości, co skutkuje plikami przekraczającymi zadeklarowany rozmiar i wyzwalaniem hooków zakończenia dla zbyt dużych przesyłek.

W filebrowser do wersji 2.63.23 nie są usuwane rekordy udostępniania, gdy udostępniony plik zostanie zmieniony nazwą (tylko usunięcie wyzwala czyszczenie). Rekord udostępniania jest powiązany ze ścieżką, więc przetrwa zmianę nazwy i pozostaje uśpiony (zwracając 404, gdy ścieżka jest pusta). Gdy później pojawi się nowy, niezwiązany plik pod oryginalną ścieżką — przez ponowne przesłanie, innego użytkownika z uprawnieniami do tworzenia lub hook — stary publiczny link udostępniania serwuje ten nowy plik z ustawieniami hasła i wygaśnięcia oryginalnego linku, nieoczekiwanie go ujawniając.

Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.

filebrowser do wersji 2.63.23 nie waliduje nazwanych potoków w archiwach katalogów i publicznych handlerach pobierania, co pozwala atakującym na wywołanie blokujących wywołań systemowych open. Uwierzytelnieni użytkownicy lub anonimowi goście z publicznymi linkami mogą wielokrotnie żądać archiwów zawierających nazwane potoki, co powoduje zablokowanie gorutyn serwera i wyczerpanie zasobów połączeń.

SiYuan przed wersją v3.8.1 zawiera podatność na SSRF w narzędziach agenta http_request i web_fetch, które wykonują rozwiązywanie DNS tylko w czasie guard, bez walidacji rozwiązywania w czasie połączenia. Atakujący mogą użyć DNS rebinding, aby odpowiedzieć na guard rozwiązywaniem z publicznym IP, a na połączenie z prywatnym lub metadata IP, omijając obronę SSRF i uzyskując dostęp do metadanych instancji chmury i usług wewnętrznych.

SiYuan przed wersją v3.8.1 zawiera podatność na path traversal w narzędziu MCP asset.upload, które akceptuje dowolne bezwzględne ścieżki plików bez walidacji granic workspace. Atakujący może nakłonić agenta AI do przesłania wrażliwych plików, takich jak klucze SSH lub dane uwierzytelniające, spoza workspace do katalogu zasobów poprzez wstrzyknięcie promptu.

Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.

Wykryto podatność w iswalle getnote-mcp do wersji 1.5.0. Funkcja fs.readFileSync w pliku src/index.ts komponentu upload_image jest podatna na path traversal poprzez manipulację argumentem image_path. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Aktualizacja do wersji 1.5.1 naprawia problem.

Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.

WWBN AVideo do wersji 30.0 (oraz master do commita 4cb576e) zawiera podatność na cross-site request forgery w plugin/Live/myLiveControls.save.json.php. Endpoint sprawdza tylko, czy użytkownik jest zalogowany, i przetwarza parametry customUrl, customMessage i autoRedirect z $_REQUEST przez żądanie GET bez wymuszania tokena CSRF lub sprawdzania pochodzenia. Atakujący, który zwabi zalogowanego streamera na złośliwą stronę, może po cichu zmienić ustawienia przekierowania widzów kanału na żywo, co spowoduje przekierowanie widzów na phishingową stronę lub wyświetlenie sfałszowanej wiadomości.

WWBN AVideo do wersji 30.0 nie egzekwuje uwierzytelniania na endpointach report4.json.php i report4.1.json.php, co pozwala nieuwierzytelnionym użytkownikom na dostęp do statystyk rejestracji użytkowników. Atakujący mogą wysyłać żądania GET do tych endpointów, aby uzyskać dzienne i skumulowane liczby rejestracji bez sesji lub autoryzacji.

Rozszerzenie Joomla - mrvinoth.com - Refleksyjny XSS w All Video Share 1.0.0-4.5.0. Różne dane wejściowe dostarczane przez użytkownika nie były odpowiednio escapowane, co prowadzi do wektorów refleksyjnego XSS.