Katalog podatności CVE

W abp-next-admin w wersjach 10.4.0–10.7.0 występuje obejście autoryzacji między dzierżawcami w endpointcie pobierania po nazwie w BlobManagement. Uwierzytelniony użytkownik może podać w ścieżce żądania identyfikator dzierżawcy ofiary, co powoduje przełączenie kontekstu dzierżawcy i zwrócenie plików należących do tego dzierżawcy.

SerpBear w wersjach przed 3.1.1 zawiera brak uwierzytelniania w pages/api/notify.ts, ponieważ funkcja verifyUser() nigdy nie jest wywoływana. Zdalny nieuwierzytelniony atakujący może wielokrotnie wysyłać żądania POST do /api/notify, opcjonalnie z parametrem domain, wyczerpując limity SMTP, wywołując flagi nadużyć u dostawcy i zalewając odbiorców wiadomościami.

Bastille w wersjach do 1.4.4 zawiera podatność na podążanie za dowiązaniami symbolicznymi w podkomendach cp.sh, rcp.sh i jcp.sh, umożliwiającą użytkownikom w jailu ucieczkę z izolacji. Atakujący wewnątrz jaila może utworzyć dowiązania wskazujące na ścieżki hosta lub inne korzenie jaili, przez co kopie uruchamiane przez administratora nadpisują lub odczytują pliki hosta z uprawnieniami roota.

xiaozhi-esp32-server w wersjach do 0.9.8 zawiera obejście uwierzytelniania w WebSocketServer._handle_auth, które pozwala zdalnym nieuwierzytelnionym atakującym pominąć weryfikację tokenu Bearer HMAC poprzez podszycie się pod nagłówek Device-ID. Atakujący podający identyfikator urządzenia w formacie adresu MAC z listy dozwolonych może otworzyć uwierzytelnioną sesję WebSocket, wydawać polecenia asystenta głosowego, wymieniać dźwięk i czytać kontekst rozmów tego urządzenia.

WPGraphQL w wersjach przed 2.24.1 zawiera brak autoryzacji w mutacji createComment, który pozwala nieuwierzytelnionym atakującym komentować niepubliczne wpisy poprzez obejście sprawdzania statusu wpisu. Atakujący może dołączać komentarze do szkiców, wpisów prywatnych, usuniętych lub chronionych hasłem, ujawniając ukryte tytuły przez powiadomienia moderatorów, wyliczając identyfikatory wpisów oraz ustawiając daty wsteczne lub oznaczając komentarze jako pingbacki.

WPGraphQL w wersjach przed 2.24.1 zawiera brak ograniczania szybkości żądań, który pozwala nieuwierzytelnionym atakującym zalewać skrzynki e-mailami resetującymi hasło poprzez aliasowanie mutacji sendPasswordResetEmail. Atakujący może wysłać jedno żądanie HTTP z wieloma aliasami, omijając batch_limit, wyczerpując limity dostawcy poczty i wielokrotnie rotując klucze resetowania, blokując legalne odzyskiwanie hasła.

WPGraphQL w wersjach przed 2.24.2 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym ustalić istnienie obiektów na podstawie różnych odpowiedzi błędów. Atakujący może iterować identyfikatory w mutacjach deleteMediaItem, updateMediaItem, deleteComment i updateComment, aby odkryć ukryte szkice, wpisy prywatne, usunięte, niestandardowe typy wpisów i niezatwierdzone komentarze.

WPGraphQL Smart Cache w wersjach przed 2.3.3 zawiera podatność na niekontrolowane zużycie zasobów, która pozwala nieuwierzytelnionym atakującym trwale zapisywać nieograniczoną liczbę dokumentów zapytań przez obsługę Automatic Persisted Query. Atakujący może wysyłać różne zapytania z pasującymi wartościami queryId SHA-256, w tym operacje wsadowe, aby nieograniczenie powiększać tabelę wp_posts i pogarszać wydajność bazy danych.

Wtyczka JetFormBuilder (Crocoblock) w wersjach do 3.6.7.1 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to prowadzić do wstrzyknięcia kodu w kontekście strony.

Wtyczka The Events Calendar (Liquid Web / StellarWP) w wersjach do 6.18.2 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt może zostać trwale zapisany i wykonany u użytkowników przeglądających stronę.

W wersjach @zuke/cli przed 1.4.0 narzędzie sprawdza nazwy szablonów przez lstat, ale następnie wykonuje operacje odczytu, zapisu i zmiany uprawnień podążające za dowiązaniami symbolicznymi w poleceniach zuke setup i zuke import. Atakujący może dostarczyć niezaufane repozytorium, szablon lub archiwum zawierające dowiązanie symboliczne o nazwie szablonu, co pozwala nadpisać plik poza wybranym katalogiem z uprawnieniami użytkownika uruchamiającego narzędzie. Podatność naprawiono w wersji 1.4.0.

Wtyczka Webba Booking (webba-booking-lite) zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.5.4 włącznie.

RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.

Automatyczne tworzenie linków do adresów URL w treści HTML zgłoszeń w RT nie escapuje HTML adresu URL umieszczanego w linku. Adres URL skonstruowany tak, aby wyłamać się z adresu linku, może dodać skrypt uruchamiany przy wyświetlaniu historii zgłoszenia bez dodatkowej akcji przeglądającego. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki przyznającej CreateTicket lub ReplyToTicket dla Everyone — może to wykorzystać. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność polegającą na odczycie poza granicami bufora w loaderze obrazów Mac PICT i wtyczce importu podczas dekodowania danych pikseli planar. Atakujący może dostarczyć spreparowany plik PICT ze zmienionymi wymiarami, powodując nadmierny odczyt sterty prowadzący do awarii lub ujawnienia pamięci sterty.

Wtyczka Blocksy Companion firmy Creative Themes zawiera podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiającą przechowywany XSS. Problem dotyczy Blocksy Companion w wersjach od n/a do 2.1.60.

Collabora Online to oparty na technologii LibreOffice internetowy pakiet biurowy do współpracy. Przed wersjami 24.04.18 i 25.04.11 parametr zapytania/formularza host_session_id jest podstawiany do strony edytora cool.html bez kodowania HTML, w przeciwieństwie do parametrów przekazywanych przez istniejący mechanizm kodowania zmiennych. Atakujący, który nakłoni ofiarę do załadowania spreparowanego URL, może wstrzyknąć HTML i, przy braku skutecznej Content Security Policy, wykonać skrypty w origin iframe Collabora Online, ujawniając token uwierzytelniania sesji i zawartość strony. Reverse proxy zachowujący nagłówek Content Security Policy wysyłany przez coolwsd łagodzi scenariusz wykonania skryptu. Problem naprawiono w wersjach 24.04.18 i 25.04.11.

Collabora Online to oparty na technologii LibreOffice internetowy pakiet biurowy do współpracy. Przed wersjami 24.04.18 i 25.04.11 kilka operacji na dokumentach delegowanych do LibreOfficeKit w procesie kit dla dokumentu nie egzekwuje stanu tylko do odczytu sesji. Użytkownik tylko do odczytu, taki jak użytkownik WOPI z rolą przeglądającego, może wysyłać spreparowane wiadomości WebSocket, aby wykonywać modyfikujące dokument polecenia UNO i operacje dialogowe mimo interfejsu tylko do odczytu. Zmiany mogą wprowadzać w błąd współoglądających w sesji na żywo lub upoważniony edytor udostępniający sesję może nieświadomie zapisać modyfikacje. Atakujący tylko do odczytu nie może bezpośrednio zapisać dokumentu, a zmiany są odrzucane po zakończeniu sesji kit, chyba że upoważniony edytor je zapisze. Problem naprawiono w wersjach 24.04.18 i 25.04.11.

Chamilo LMS to open-source'owy system zarządzania nauczaniem. Przed wersją 2.0.1 akcje add, delete_gradebook_from_skill, save_profile i delete_profile w public/main/inc/ajax/skill.ajax.php wykonują mutacje bazy danych bez walidacji Security::check_token(). Atakujący może wykorzystać cross-site request forgery, aby zmusić uwierzytelnionego administratora lub DRH odwiedzającego złośliwą stronę do tworzenia, modyfikowania lub usuwania rekordów umiejętności i profili albo usuwania powiązań umiejętności z dziennikiem ocen. Problem naprawiono w wersji 2.0.1.