Katalog podatności CVE

Vikunja w wersjach od 0.13.0 przed 2.7.0 zawiera błąd nieprawidłowej autoryzacji, który pozwala członkom projektu z uprawnieniem Write usuwać udziały linków na poziomie administratora. Sprawdzenie uprawnień do usunięcia odczytuje niezaładowany obiekt udziału, więc atakujący może wysyłać żądania DELETE do endpointów udziałów projektów v1 lub v2 z kolejnymi identyfikatorami, aby unieważnić linki administratora i istniejące sesje udziałów.

Vikunja 2.6.0 zawiera błąd kontroli dostępu w funkcji getProjectAccessForUser (pkg/models/project_access.go), która wyznacza efektywne uprawnienie użytkownika do projektu jako maksimum w drzewie projektów, nadpisując jawne udziały o niższych uprawnieniach w podprojektach. Współpracownik z prawem zapisu w projekcie nadrzędnym, ale tylko do odczytu w projekcie podrzędnym, może modyfikować zadania i zawartość tego podprojektu.

Vikunja w wersjach od 0.22.0 przed 2.7.0 zawiera błąd nieprawidłowego odbierania dostępu, który pozwala usuniętym współpracownikom nadal otrzymywać dane projektu przez utworzone przez nich webhooki. Byli współpracownicy nadal otrzymują tytuły i opisy zadań przez swój webhook, w tym treści utworzone po odebraniu im dostępu.

Vikunja od 1.0.0-rc0 przed 2.7.0 zawiera błąd nieprawidłowej autoryzacji w funkcji RecalculateTaskPositions, który pozwala uwierzytelnionym użytkownikom bez dostępu do jakichkolwiek projektów zapisywać wiersze task_positions dla wszystkich zadań w całej instancji. Atakujący mogą usunąć swój Inbox po zmianie default_project_id, a następnie tworzyć puste filtry zapisane, aby utrwalić odwołania między dzierżawcami i wzmocnić zapisy w celu przeprowadzenia ataku typu denial of service.

Vikunja w wersjach od 2.3.0 przed 2.7.0 zawiera błąd nieprawidłowej walidacji sesji, który pozwala atakującym zachować dostęp do WebSocket po odebraniu uprawnień, ponieważ funkcja handleAuth nigdy nie sprawdza roszczenia sid tokenu JWT względem tabeli sesji. Atakujący posiadający skradziony token dostępu może otwierać lub utrzymywać połączenia z /api/v2/ws po usunięciu sesji lub włączeniu TOTP, nadal otrzymując powiadomienia notification.created ofiary, w tym treści komentarzy, zadań i projektów.

Admidio przed 5.0.16 zawiera błąd ujawnienia informacji, który pozwala nieuwierzytelnionym atakującym przeglądać linki internetowe ograniczone do ról, ponieważ plik rss/links.php pomija filtr widoczności ról category_view. Atakujący mogą zażądać kanału RSS z linkami dla organizacji, aby uzyskać nazwy linków, adresy URL, opisy, kategorie i nazwy twórców z zastrzeżonych kategorii LNK.

Admidio od 5.0.11 przed 5.0.16 zawiera błąd kontroli dostępu w pliku modules/inventory/inventory_data.php, który pozwala uwierzytelnionym użytkownikom obejść ograniczenie inventory_module_enabled. Atakujący z dowolnym ważnym loginem może zażądać kanału JSON DataTables, aby odczytać wszystkie pozycje inwentarza i nazwiska opiekunów, nawet gdy moduł jest wyłączony.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd obejścia autoryzacji, który pozwala uwierzytelnionym użytkownikom eksportować listy mimo ograniczeń eksportu, poprzez żądanie mode=pdfl. Sprawdzenie groups_roles_export w pliku modules/groups-roles/lists_show.php pomija pdfl, co następnie uruchamia eksport PDF, pozwalając użytkownikom z prawem przeglądania list pobierać listy członków jako pliki PDF.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd niebezpiecznego odwołania do obiektu (IDOR) w funkcji ForumService::saveTopic(), który pozwala uwierzytelnionym członkom modyfikować tematy forum innych użytkowników. Atakujący mogą zastąpić parametr topic_uuid w swoim żądaniu topic_save, ponownie używając swojego tokenu CSRF, aby nadpisać tytuł i pierwszy post tematu ofiary.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera błąd obejścia autoryzacji w pliku attachment.php, który pozwala atakującym pobierać załączniki zastrzeżonych FAQ poprzez obejście kontroli uprawnień na poziomie rekordu. Użytkownicy o niskich uprawnieniach z prawem dlattachment, lub anonimowi użytkownicy gdy allowDownloadsForGuests jest włączone, mogą żądać identyfikatorów załączników, aby uzyskać poufne pliki z zastrzeżonych FAQ.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność CSRF w endpointach administracyjnych API Elasticsearch i OpenSearch, które nie weryfikują tokenu CSRF dla akcji tworzenia, usuwania i importu. Atakujący może nakłonić użytkownika z uprawnieniem CONFIGURATION_EDIT do odwiedzenia złośliwej strony, co wywoła te akcje, usuwając indeksy wyszukiwania, wymuszając ponowne indeksowanie lub wyczerpując zasoby.

phpMyFAQ 3.2.0 przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność IDOR w GET /admin/api/user/data/{userId}, który zwraca pełny wiersz faquserdata dowolnego użytkownika, w tym aktywny sekret TOTP, bez sprawdzenia uprawnień SuperAdmin lub chronionego celu. Delegowani administratorzy z prawami zarządzania użytkownikami mogą odczytać sekret TOTP SuperAdmina i wygenerować ważne kody, omijając uwierzytelnianie dwuskładnikowe.

phpMyFAQ 4.2.0-alpha przed 4.2.0-beta zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym odczytać ukryte otwarte pytania z powodu odwróconego sprawdzenia api.onlyPublicQuestions w OpenQuestionController. Atakujący mogą wysyłać żądania GET do endpointu /api/v4.0/open-questions, aby uzyskać niepubliczne pytania moderacyjne lub wewnętrzne wraz z powiązanymi nazwami użytkowników.

phpMyFAQ 4.2.0-alpha przed 4.2.0-beta zawiera podatność stored XSS w SvgSanitizer, która pozwala użytkownikom z uprawnieniem FAQ_EDIT obejść sanityzację przy użyciu niestandardowych encji XML DTD. Atakujący mogą przesłać SVG definujący encję rozwijającą się do javascript w href kotwicy, wykonując skrypt, gdy widzowie klikną, aby przejąć sesje administratora.

phpMyFAQ 4.2.0-alpha przed 4.2.0-beta zawiera podatność obejścia autoryzacji w isFaqAccessibleForUser(), która traktuje brakujące tłumaczenie FAQ jako widoczne dla nieuwierzytelnionych użytkowników. Atakujący mogą wysłać niedopasowany nagłówek Accept-Language do endpointów API komentarzy i załączników, aby odczytać komentarze i listy załączników nieopublikowanych lub ograniczonych ACL FAQ.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność niewłaściwej autoryzacji w attachment.php, która nie weryfikuje, czy nadrzędny FAQ załącznika jest opublikowany lub widoczny dla żądającego. Uwierzytelnieni użytkownicy z uprawnieniem dlattachment mogą żądać index.php?action=attachment&id=<ID>, aby pobrać pełne pliki załączników należących do szkiców FAQ.

phpMyFAQ od 4.2.0-alpha przed 4.2.0-beta zawiera podatność stored XSS w SvgSanitizer, która pozwala edytorom FAQ przechowywać wykonywalne pliki SVG. Atakujący mogą podzielić tagi script wokół usuniętych tokenów, takich jak instrukcje przetwarzania, aby jednoprzebiegowe usuwanie je ponownie złożyło, wykonując skrypt w origin aplikacji, gdy ofiary otworzą plik.

phpMyFAQ 3.2.0 przed 4.0.0 oraz 4.0.2 przed 4.2.0-beta zawiera obejście uwierzytelniania w przepływie logowania Microsoft Entra ID, który łączy użytkowników za pomocą zmiennego oświadczenia preferred_username, a AuthEntraId::create() ignoruje wyjątek duplikatu logowania, kontynuując z istniejącym kontem lokalnym. Atakujący kontrolujący tożsamość Entra w skonfigurowanym dzierżawcy z pasującym preferred_username może przejąć to konto lokalne, w tym konta superadministratora.

phpMyFAQ 3.2.1 przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność stored XSS, która pozwala uwierzytelnionym autorom treści wstrzykiwać JavaScript poprzez osadzanie iframe'ów ze źródłami data:text/html w treści FAQ lub News. Atakujący mogą obejść listę dozwolonych hostów mediów w FaqHelper::cleanUpContent(), renderowaną przez surowy filtr Twig, aby uruchomić interfejsy phishingowe lub przekierowania top-frame dla widzów.

phpMyFAQ 4.2.0-alpha przed 4.2.0-beta zawiera podatność eskalacji uprawnień w GroupController::saveCategoryRestrictions(), która pozwala delegowanym administratorom przypisywać kategorie poza ich własnym zakresem. Administratorzy z ograniczeniami kategorii mogą wysłać POST do /admin/api/group/category-restrictions z categoryIds spoza zakresu lub pustymi, aby przyznać grupom nieograniczony dostęp do kategorii.