Katalog podatności CVE

Rozszerzenie Joomla Zoo (od yootheme.com) przed wersją 4.1.66 zawiera brak tokenów CSRF przy zmianach stanu na froncie, co umożliwia ataki CSRF.

Spring AI w wersjach 2.0.0, 1.1.0-1.1.8 oraz 1.0.0-1.0.9 zawiera podatność w obsłudze wywołań narzędzi, gdzie lista narzędzi dostępnych dla żądania nie jest w pełni egzekwowana. W pewnych warunkach można wywołać narzędzie, które nie było udostępnione dla bieżącego żądania, co może prowadzić do eskalacji uprawnień.

W Spring AI, w obsłudze pamięci podręcznej semantycznej, skrót kontekstu używany do izolowania odpowiedzi z pamięci podręcznej między różnymi promptami systemowymi mógł pozwolić na współdzielenie odpowiedzi z pamięci podręcznej między niepowiązanymi kontekstami. Dotyczy wersji Spring AI 2.0.0.

Transport MCP Streamable HTTP server (warianty WebFlux i WebMvc) nie ogranicza liczby przechowywanych sesji i domyślnie nie wymaga uwierzytelnienia klientów. Zdalny atakujący może spowodować nieograniczone gromadzenie sesji, stopniowo wyczerpując pamięć i prowadząc do odmowy usługi (DoS) dla wszystkich legalnych klientów. Dotyczy Spring AI w wersji 2.0.0.

Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.

Wtyczka Limit Login Attempts Reloaded dla WordPressa przed wersją 3.3.5 nie porównuje nazw logowania z listą zablokowanych w sposób niewrażliwy na wielkość liter i nie uwzględnia adresu e-mail konta, co pozwala kontu, które administrator chciał zablokować, na zalogowanie się.

Wtyczka Passster dla WordPressa przed wersją 4.3.9 nieprawidłowo dopasowuje własne ścieżki publicznych endpointów przy podejmowaniu decyzji, które żądania REST API mogą ominąć globalną ochronę hasłem, porównując je jako niezakotwiczony podciąg URI żądania zamiast z rozwiązaną trasą, co pozwala nieuwierzytelnionemu atakującemu na odczyt treści globalnie chronionych hasłem postów i stron.

Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.

Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.

Wtyczka LitExtension dla WordPressa do wersji 1.2.5 nie weryfikuje nonce przed akcją administracyjną, która nadpisuje token autoryzacyjny łącznika migracji sklepu, co pozwala atakującym na przejęcie tokenu łącznika poprzez nakłonienie zalogowanego administratora do kliknięcia spreparowanego linku (CSRF).

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie weryfikuje adresu URL webhooka podanego przez użytkownika ani nie sprawdza własności wydarzenia, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wywoływanie ślepych żądań po stronie serwera do dowolnych hostów.

Procedura report.list w pakiecie trpc w Reconmap akceptuje projectId i dashboardId, ale weryfikuje tylko członkostwo dla projectId, nie sprawdzając, czy dashboardId należy do tego projektu. Uwierzytelniony użytkownik może podać projectId z własnej organizacji i dashboardId z innej organizacji, uzyskując dostęp do wszystkich raportów w tym dashboardzie. Istniała już poprawnie zakresowana funkcja listReportsCore, ale router jej nie używał.

Procedura report.get w raporcie TRPC akceptuje tylko reportId i zwraca getReportById(reportId) bez sprawdzenia dostępu. Middleware enforceAccess sprawdza członkostwo tylko, gdy dane wejściowe zawierają projectId lub organizationId, więc sam reportId przechodzi bez kontroli. Uwierzytelniony użytkownik może odczytać pełną konfigurację dowolnego zapisanego raportu, w tym projectId, serie zdarzeń, filtry, podziały i formuły.

API Reconmap stosuje domyślną politykę autoryzacji wymagającą uwierzytelnionego użytkownika z rolą administratora, ale akcja podglądu raportu w ReportsController.cs ma atrybut [AllowAnonymous], co wyłącza tę politykę. Funkcja PreviewReport ładuje projekt na podstawie id, powiązaną organizację i renderuje je do szablonu, bez żadnej weryfikacji uwierzytelnienia, członkostwa w projekcie czy roli. Ponieważ id jest kluczem głównym, nieuwierzytelniony atakujący może przeglądać sekwencyjne id i uzyskać dane wrażliwe wszystkich projektów.

Backend filestore w pkg/object/file.go, używany dla magazynów file:// i jako wspólny cel synchronizacji juicefs, wyprowadza każdą operację z path(key), która nie sprawdza, czy wynik pozostaje w katalogu głównym. Klucze obiektów z zewnętrznego magazynu mogą zawierać segmenty przejścia (np. ../), co pozwala na zapis plików poza zamierzonym katalogiem lokalnym bez zgłaszania błędu. Operator synchronizujący z nie w pełni kontrolowanego bucketa jest narażony na zapis plików w miejscach kontrolowanych przez atakującego.

Podatność w bibliotece misp-stix wynika z niepełnego czyszczenia stanu parsera między konwersjami dokumentów STIX. Ponowne użycie tej samej instancji parsera może spowodować, że dane z wcześniej przetworzonego dokumentu (np. galaktyki, rekordy DNS, tytuły, znaczniki czasu) zostaną dołączone do zdarzenia MISP generowanego z kolejnego dokumentu. Problem dotyczy zarówno parserów STIX 1, jak i STIX 2.

W Dolibarr do wersji 23.0.4 zidentyfikowano słabość w pliku htdocs/user/card.php w komponencie Account Handler. Manipulacja argumentem ID powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 24.0.0 łagodzi problem.

W urządzeniu Comfast CF-N1-S w wersji 2.6.0.1 odkryto podatność na wstrzykiwanie komend w funkcji system w pliku /cgi-bin/mbox-config?method=SET&section=ntp_timezone. Manipulacja argumentem timestr umożliwia zdalne wykonanie komend. Exploit został opublikowany i może być wykorzystywany w atakach.

SiYuan przed wersją v3.7.4 nie waliduje parametru packageName w punktach końcowych instalacji i odinstalowania Bazaar, co pozwala uwierzytelnionym administratorom na przeprowadzenie ataku typu path traversal. Atakujący z dostępem administratorskim mogą zapisywać dowolne pliki w dowolnej lokalizacji lub rekurencyjnie usuwać katalogi, podając spreparowane wartości packageName.

Używanie niezaufanych, nieznormalizowanych danych jako danych metryk (takich jak nazwy metryk, klucze tagów lub wartości tagów) jest niebezpiecznym antywzorcem, którego ogólna instrumentacja nie powinna nigdy wykonywać. Podatność dotyczy biblioteki Micrometer w wersjach 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejszych.