Katalog podatności CVE

W Lychee w wersjach przed 7.7.1 przepływ POST /api/v2/Shop/Checkout/Process akceptuje nieograniczoną tablicę additional_data, która jest scalana po parametrach zakupu obliczonych przez serwer. Nieuwierzytelniony kupujący może zastąpić kwotę, walutę, returnUrl, cancelUrl lub transactionId przed przekazaniem do bramki Omnipay, co pozwala na niedopłatę i uzyskanie towarów.

W Lychee w wersjach przed 7.7.0 obsługa PDF przez ImageMagick z Ghostscript nie stosuje skutecznego limitu wymiarów stron PDF w ImagickHandler::loadPdf(). Uwierzytelniony użytkownik może przesłać mały plik PDF z nadmiernym /MediaBox, powodując zużycie znacznych zasobów CPU i zablokowanie kolejki przetwarzania obrazów.

W Lychee w wersjach przed 7.7.0 ukryty dostawca testowy Omnipay Dummy może być użyty przez kupującego (w tym gościa) poprzez bezpośrednie przesłanie go w żądaniu, ponieważ CreateSessionRequest nie wymusza OmnipayProviderType::isAllowed(). Umożliwia to zakończenie przepływu bramki testowej bez rzeczywistej płatności i zwolnienie przedmiotu zakupu, jeśli włączone jest automatyczne realizowanie.

W Lychee w wersjach przed 7.6.4 kontroler SecurePathController obsługujący GET /image/{path} łączy ścieżkę kontrolowaną przez atakującego z katalogiem głównym magazynu i wykonuje sprawdzenie prefiksu przed kanonikalizacją segmentów kropek. W określonej konfiguracji nieadministracyjnej każdy uwierzytelniony użytkownik może odczytać pliki spoza dozwolonego katalogu, w tym konfigurację aplikacji i prywatne obrazy innych użytkowników.

W Lychee w wersjach przed 7.6.3 punkt końcowy GET /api/v2/Zip autoryzuje archiwa albumów i zdjęć poprzez AlbumPolicy::canDownload() i PhotoPolicy::canDownload() bez uprzedniego wymuszenia AlbumPolicy::canAccess(). Dla publicznego, chronionego hasłem albumu z włączonym grants_download, nieuwierzytelniony atakujący znający identyfikator albumu może pobrać archiwum ZIP bez podania hasła.

W Lychee w wersjach przed 7.6.1 punkt końcowy POST /api/v2/Album::unlock nie ma ograniczeń liczby prób, licznika prób, opóźnienia, CAPTCHA ani blokady. Zdalny nieuwierzytelniony atakujący znający identyfikator albumu może zautomatyzować zgadywanie hasła do chronionego albumu i uzyskać dostęp do prywatnej kolekcji zdjęć.

Wtyczka XStore dla WordPress zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach wcześniejszych niż 9.7.9.

OpenNext Cloudflare, adapter Next.js dla Cloudflare, w wersjach od 0.3.0 do 1.20.2 nieprawidłowo przetwarza zakodowane ścieżki URL, gdy włączone jest przechwytywanie pamięci podręcznej, a kontrola dostępu opiera się na middleware. Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych treści z pamięci podręcznej, używając procentowo zakodowanej ścieżki, która nie pasuje do reguł autoryzacji, ale dekoduje się do klucza chronionej trasy.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach przed 0.149.0 nie wykrywa cykli w schematach allOf, anyOf lub oneOf odwołujących się do schematu nadrzędnego podczas walidacji żądań i odpowiedzi. Prowadzi to do nieograniczonej rekurencji i przepełnienia stosu, które kończy proces i nie może być przechwycone przez recover.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.149.0 nie sprawdza wartości nil dla schematów tablicowych OpenAPI 3.1 w trzech ścieżkach dekodera openapi3filter. Nieuwierzytelniony klient zdalny może wywołać deterministyczny panic nil-pointer poprzez parametr zapytania tablicowego, parametr deepObject lub treść żądania form-urlencoded.

Sonatype Nexus Repository 3 pozwala użytkownikowi posiadającemu uprawnienie do tworzenia lub aktualizacji ról przyznawać role i uprawnienia, których sam nie posiada. Może to prowadzić do eskalacji uprawnień aż do pełnego dostępu administracyjnego.

W Nexus Repository 3 brakuje kontroli autoryzacji w ścieżce przesyłania NuGet Components API, co pozwala kontu z jedynie uprawnieniami odczytu i przeglądania repozytorium na przesyłanie pakietów symboli NuGet (.snupkg). Wykorzystanie wymaga hostowanego repozytorium NuGet z włączonym Symbol Server, a przy włączonym dostępie anonimowym warunek ten jest spełniony domyślnie.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.143.0 akceptuje schematy tablicowe OpenAPI 3.1 bez słowa kluczowego items i następnie dereferencjonuje wartość nil Schema.Items podczas dekodowania żądań i odpowiedzi. Zdalny nieuwierzytelniony klient może wywołać deterministyczny panic nil-pointer podczas ValidateRequest lub ValidateResponse.

FasterXML Jackson 1.x, potwierdzony w jackson-mapper-asl w wersjach 1.8.3, 1.9.2, 1.9.11, 1.9.12 i 1.9.13, pozwala atakującym wywołać odmowę usługi poprzez dostarczenie głęboko zagnieżdżonego wejścia JSON do aplikacji deserializującej niezaufany JSON za pomocą ObjectMapper.readValue.

W Ansible Operator Plugins występuje podatność na wstrzyknięcie szablonu Jinja2. Użytkownik Kubernetes o niskich uprawnieniach może spreparować wartości specyfikacji zasobu niestandardowego (CR), które są przetwarzane przez Ansible bez odpowiedniej sanityzacji, co prowadzi do wykonania kodu w podzie operatora.

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 nieprawidłowo przetwarza wartości uprawnień w funkcji ACL::hasPrivilege(). Użytkownik bezpośrednio przypisany zarówno do uprawnienia zapisu komponentu, jak i user-config-readonly może zostać uznany za pozbawionego ograniczenia tylko do odczytu, co pozwala na zapisywanie zmian konfiguracji przez API MVC.

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 pozwala na wstrzyknięcie znaków CR i LF w polu nazwy użytkownika formularza logowania WebGUI. Atakujący z dostępem sieciowym do strony logowania może sfałszować zdarzenia uwierzytelniania dla innego adresu IP, dodając go do tabeli sshlockout PF, lub zresetować własny licznik prób brute-force.

W OPNsense przed wersją 26.1.11 widget pulpitu OpenVPN oraz widok statusu połączeń umieszczają nazwę common_name klienta w atrybutach data-common-name bez bezpiecznego kodowania cudzysłowów. Przy konfiguracji z username-as-common-name i uwierzytelnianiem RADIUS lub LDAP możliwe jest wstrzyknięcie zdarzenia i wykonanie skryptu w sesji administratora. Luka naprawiona w wersji 26.1.11.

W OPNsense przed wersją 26.1.10 moduł Trust przechowuje kontrolowane przez atakującego wartości refid i wstawia je do wyrażeń XPath, co umożliwia atakującemu z uprawnieniami CA Manager lub Certificate Manager odzyskiwanie wartości z config.xml znak po znaku. Luka naprawiona w wersji 26.1.10.

W Unitronics UniStream Pro (wersje B10/C10) z UniLogic przed wersją 1.41.329 występuje luka polegająca na użyciu formatu ciągu kontrolowanego z zewnątrz. Może to prowadzić do nieoczekiwanego zachowania lub wykonania kodu.