Katalog podatności CVE

fish-island-backend do commita 7c61b78 zawiera nieuwierzytelnioną podatność server-side request forgery, która pozwala zdalnym atakującym zmusić serwer do pobierania adresów URL dostarczonych przez atakującego poprzez parametr url w GET /api/web/parse. Atakujący mogą kierować żądania OkHttp podążające za przekierowaniami na hosty wewnętrzne, usługi loopback lub punkty końcowe metadanych chmury, a następnie odczytywać tytuły stron, opisy meta i favikony.

Roncoo-pay do commita 9428382 zawiera podatność braku autoryzacji w F2FPayController.orderQuery, która pozwala nieuwierzytelnionym atakującym pobierać rekordy płatności poprzez podanie parametru trxNo. Atakujący mogą odgadywać numery transakcji, składające się z prefiksu '7' i identyfikatora snowflake, aby uzyskać pełny zserializowany rekord płatności dowolnego sprzedawcy.

AipexBase do commita 690adb9 zawiera podatność wstrzyknięcia SQL, która pozwala atakującym wstrzykiwać SQL poprzez pola order_by i group_by w punkcie końcowym /api/data/invoke. Atakujący mogą dostarczać podzapytania lub funkcje EXTRACTVALUE i UPDATEXML, które omijają listę blokowanych SqlGuard i zabezpieczenia na poziomie wierszy, odczytując wiersze i tabele innych użytkowników.

Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w funkcji list_skill_versions, która pozwala uwierzytelnionym pracownikom odczytywać metadane wersji umiejętności innych działów poprzez obejście sprawdzenia can_access_skill. Atakujący posiadający domyślne uprawnienie skill:read mogą wysłać żądanie GET /api/skills/{slug}/versions dla umiejętności innego działu, aby uzyskać numery wersji, hashe, ścieżki przechowywania i dzienniki zmian.

Arkon do wersji 0.9.2 zawiera podatność złamanej kontroli dostępu, która pozwala uwierzytelnionym pracownikom odczytywać i modyfikować źródła innych działów, ponieważ trasy by-id w app/routers/sources.py pomijają sprawdzenie can_access_document. Atakujący mogą wywołać trasy plan, progress, PATCH, retry i approve-extraction z identyfikatorami obcych źródeł, aby ujawnić pochodne tytuły i podsumowania wiki oraz zmienić stan przetwarzania.

Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w GET /api/wiki/graph, która pozwala uwierzytelnionym pracownikom odczytywać metadane wiki innych działów poprzez podanie obcego sluga. Atakujący posiadający jedynie uprawnienie wiki:read:own_dept mogą wywołać get_neighborhood() bez sprawdzeń zakresu, aby uzyskać slugi stron, tytuły, typy i krawędzie linków do głębokości 3.

tarteaucitron.js przed wersją 1.37.0 zawiera podatność cross-site scripting, ponieważ getElemAttr rozwiązuje atrybuty z prefiksem 'data-', podczas gdy zabezpieczenie https-only waliduje atrybut bez prefiksu. Atakujący mogący umieścić znaczniki, tacy jak autorzy CMS, mogą dodać data-url z adresem javascript: obok nieszkodliwego url, aby wykonać skrypt w origin witryny poprzez iframe src.

Netcore NR256CN do wersji 1.5.140116 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do chronionych handlerów CGI zarządzania poprzez poprzedzenie URI publiczną trasą. Atakujący mogą żądać ścieżek z prefiksem l7_web_auth.cgi lub trasy .ico, aby wywołać chronione handlery zarządzania bez poświadczeń.

WhaTicket Community do commita cf04795 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym agentom na dostęp do zgłoszeń innych agentów, ponieważ ShowTicketService nie wykonuje sprawdzeń własności ani kolejki. Atakujący mogą podać identyfikator zgłoszenia innego agenta do GET /tickets/:ticketId i /messages/:ticketId, aby odczytać pełną historię wiadomości i wysłać odpowiedzi WhatsApp przez POST.

99AI do wersji 4.3.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala nieuwierzytelnionym atakującym na odczyt wiadomości czatu innych użytkowników, ponieważ querySingleChat nie sprawdza właściciela. Atakujący mogą wysłać nagłówek fingerprint, aby uzyskać JWT gościa i iterować kolejne wartości chatId, aby pobrać treść wiadomości i dane zadań innych użytkowników.

Fuint do commita 57ec018 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym członkom na odczyt rekordów rezerwacji innych członków poprzez podanie dowolnych wartości bookId do /clientApi/book/myBookDetail. Atakujący mogą iterować autoinkrementowany bookId, aby pobrać nazwiska kontaktowe, numery telefonów, kody weryfikacyjne w sklepie, daty usług, sklepy i uwagi.

yshop-crm do wersji 2.1.3 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom sprzedaży na dostęp do rekordów klientów innych użytkowników poprzez podanie dowolnych identyfikatorów. Atakujący mogą enumerować identyfikatory w endpointach get, update, delete i do-open, aby odczytać dane kontaktowe, nadpisać lub usunąć klientów, albo zwolnić ich do publicznej puli.

Niefy wx-api do wersji 0.8.2 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na podszycie się pod fanów WeChat poprzez dostarczenie surowego ciasteczka openid do kontrolerów skierowanych do fanów. Atakujący znający openid ofiary mogą wywołać endpointy /wxUser/getUserInfo i /wxUserTags, aby odczytać pseudonim, telefon, unionid i tagi oraz dodawać lub usuwać tagi fanów.

HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę braku autoryzacji w punkcie końcowym hcp-mp PayController.xcxRecharge, która pozwala atakującym modyfikować saldo portfela dowolnego członka bez dokonywania płatności. Atakujący mogą wysyłać żądania z dowolnymi parametrami amount i userId, aby zwiększać lub zmniejszać salda oraz korzystać z usług ładowania za darmo.

HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w hcp-mp MeController i OrderController, która ufa parametrom userId, openId i orderNumber dostarczonym przez klienta. Atakujący mogą enumerować sekwencyjne identyfikatory członków w punktach końcowych takich jak /me/getMemberBalanceByUserId i /order/orderDetail, aby odczytać portfel, kredyty, profil i zamówienia ładowania dowolnego członka.

data-platform-open do commita efeacd3 używa zakodowanego na stałe, publicznie znanego domyślnego klucza AES w AesPasswordEncAndDecServiceImpl, co pozwala uwierzytelnionym atakującym odszyfrować przechowywane hasła do źródeł danych. Atakujący mogą uzyskać zaszyfrowane hasła z API szczegółów źródła danych, na przykład poprzez IDOR między obszarami roboczymi, i odszyfrować je offline, aby odzyskać poświadczenia do bazy danych w postaci jawnej.

qKnow do wersji 2.4.3 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp do punktów końcowych integracji przepływu pracy /flyflow dozwolonych w SecurityConfig. Atakujący mogą wysyłać sekwencyjne wartości userId do /flyflow/userById lub wywoływać roleAll i deptListByParentDeptId, aby enumerować numery telefonów użytkowników, role i strukturę działów.

Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy użytkowników z dowolnego działu poprzez ignorowanie zakresu danych roli. Atakujący mogą wysyłać żądania GET /xboot/user/getByDepartmentId/{departmentId} z dowolnymi identyfikatorami działów, aby uzyskać nazwy użytkowników, prawdziwe nazwiska, numery telefonów, adresy e-mail i statusy.

Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych ról poprzez wysłanie openDataFilter=false. Atakujący mogą dołączyć ten parametr do punktów końcowych getByParentId lub search działu, aby uzyskać całe drzewo działów organizacji i nazwy poza przypisanym zakresem.

Allegro Ralph do wersji 20260902.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom personelu obejść uprawnienia do modelu rack, ponieważ RalphPermission pomija sprawdzenia dla widoków bez queryset. Atakujący mogą wywoływać DCAssetsView i SRRacksAPIView pod /api/rack/<id> i /api/server_room/<id>, aby odczytywać nazwy hostów, numery seryjne i adresy IP zarządzania oraz modyfikować, przenosić lub tworzyć racki.