Katalog podatności CVE

Chamilo LMS to open-source'owy system zarządzania nauczaniem. Przed wersją 2.0.1 akcje add, delete_gradebook_from_skill, save_profile i delete_profile w public/main/inc/ajax/skill.ajax.php wykonują mutacje bazy danych bez walidacji Security::check_token(). Atakujący może wykorzystać cross-site request forgery, aby zmusić uwierzytelnionego administratora lub DRH odwiedzającego złośliwą stronę do tworzenia, modyfikowania lub usuwania rekordów umiejętności i profili albo usuwania powiązań umiejętności z dziennikiem ocen. Problem naprawiono w wersji 2.0.1.

Chamilo LMS to open-source'owy system zarządzania nauczaniem. W linii 1.x przed 1.11.40 i w linii 2.x przed 2.0.1 wiele wywołań eval() w dołączonych bibliotekach PEAR HTML_QuickForm może wykonać dowolny kod PHP, jeśli nazwy elementów formularza zawierają dane pod wpływem atakującego. Standardowe formularze Chamilo używają zakodowanych na stałe nazw elementów; wykorzystanie wymaga specyficznej dla dewelopera wtyczki lub błędnej konfiguracji, która pozwala danym wejściowym użytkownika dotrzeć do tych nazw elementów. Tam, gdzie ta warunkowa ścieżka istnieje, wpływ może być pełnym przejęciem serwera. Problem naprawiono w wersjach 1.11.40 i 2.0.1.

WHartTest w wersjach od 2.2.0 do 2.8.1 zawiera podatność braku autoryzacji w ScheduledTaskViewSet i TaskExecutionViewSet, która pozwala uwierzytelnionym użytkownikom na dostęp do zadań innych projektów. Atakujący mogą ustawić project_pk na sekwencyjny identyfikator innego projektu, aby modyfikować, usuwać lub uruchamiać zaplanowane zadania poprzez run-now oraz czytać logi wykonania.

Tamery (dawniej Conar) w wersji 0.26.1 przed 0.99.0 zawiera podatność obejścia autoryzacji w obsłudze chatsMessages.update API synchronizacji w chmurze, która pozostawia dostarczony przez klienta chatId jako zapisywalny. Uwierzytelnieni subskrybenci Pro, którzy znają identyfikator czatu innego użytkownika, mogą przenosić wiadomości z dowolnymi częściami i metadanymi do historii czatu AI ofiary.

Tamery (dawniej Conar) w wersjach od 0.32.0 do 0.99.0 zawiera podatność polegającą na błędnej autoryzacji w obsłudze connectionsResources.create w API synchronizacji w chmurze. Uwierzytelniony użytkownik może dołączać zasoby do połączeń innych użytkowników, podając identyfikator połączenia ofiary w żądaniu zbiorczym.

ShowDoc do wersji 3.9.5 zawiera obejście autoryzacji w punkcie końcowym api/paramDescLib/deleteEntries, który sprawdza uprawnienia do edycji tylko dla pierwszego podanego identyfikatora wpisu. Uwierzytelniony atakujący może umieścić własny identyfikator jako pierwszy i dołączyć identyfikatory innych użytkowników, aby trwale usunąć ich wpisy opisów parametrów.

Blossom do wersji 1.17.1 zawiera obejście autoryzacji umożliwiające uwierzytelnionym użytkownikom dostęp do folderów innych użytkowników, ponieważ zapytania FolderService filtrują wyłącznie po identyfikatorze folderu. Atakujący może podać identyfikator folderu innego użytkownika w punktach /folder/info, /folder/upd, /folder/open lub /folder/del, aby odczytać ścieżki przechowywania, zmienić nazwę, przełączyć widoczność lub usunąć foldery.

PowerDNS-Admin do wersji 2026.08.1 zawiera obejście autoryzacji umożliwiające uwierzytelnionym kontom z rolą User odświeżanie stref wtórnych, do których nie mają dostępu, poprzez podanie innego pola 'domain' w treści JSON. Atakujący uprawniony do dowolnej strefy może wymusić transfery axfr-retrieve innych stref wtórnych i wywnioskować istnienie strefy na podstawie różniących się odpowiedzi.

FilePress do wersji 3.0.1 zawiera podatność polegającą na braku autoryzacji w dzz/pichome/library, umożliwiającą uwierzytelnionym użytkownikom zarządzanie folderami innych bibliotek, ponieważ checkuserperm_by_uid sprawdza jedynie członkostwo w dowolnej bibliotece. Atakujący znający appid lub identyfikator folderu innej biblioteki może wywołać operacje folder.php, takie jak deletefolder i rename, lub rightdata.php getfolderdata, aby usuwać, modyfikować lub odczytywać obce foldery.

Nging do wersji 5.3.5 zawiera podatność polegającą na ujawnieniu informacji, umożliwiającą każdemu uwierzytelnionemu użytkownikowi zaplecza wylistowanie katalogów hosta poprzez nadużycie publicznego punktu końcowego /user/autocomplete_path. Użytkownicy z niskimi uprawnieniami, bez uprawnień do menedżera plików, mogą podawać dowolne ścieżki w parametrze zapytania, aby wyliczyć katalogi czytelne dla procesu Nging i potwierdzić istnienie konkretnych plików.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FriendController.friendList, umożliwiającą uwierzytelnionym użytkownikom przeglądanie list znajomych innych użytkowników poprzez podanie parametru uid. Atakujący może wysyłać żądania GET do /user/friend/page z uid ofiary, omijając brak sprawdzenia uprawnień administratora lub właściciela, aby odczytać listę kontaktów dowolnego użytkownika.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FeedController.delFeed, umożliwiającą uwierzytelnionym użytkownikom usuwanie wpisów (momentów) innych użytkowników poprzez podanie dowolnych wartości feedId. Atakujący może wysyłać żądania POST do /feed/del z feedId innego użytkownika, aby usunąć jego wpisy wraz z powiązanymi multimediami, komentarzami i polubieniami.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w PrivacyController, umożliwiającą uwierzytelnionym użytkownikom dostęp do ustawień prywatności innych użytkowników poprzez podanie ich uid. Atakujący może wysyłać żądania GET lub POST do /privacy z parametrem uid ofiary, aby odczytać i nadpisać ustawienia UserPrivacy tego użytkownika bez sprawdzenia właściciela.

Tencent BlueKing CMDB (bk-cmdb) do wersji 3.14.6 zawiera podatność polegającą na braku autoryzacji, umożliwiającą uwierzytelnionym użytkownikom przeglądanie hostów innych firm (business) poprzez POST /api/v3/hosts/search/asstdetail. Atakujący może przesyłać warunki wyszukiwania hostów dotyczące innych firm lub pomijać filtry firmy, aby uzyskać atrybuty hostów i szczegóły powiązań topologii, ponieważ trasa jest mapowana na SkipAction, a SearchHostWithAsstDetail pomija AuthorizeSearchHost.

RuoYi-Vue-Plus do wersji 6.0.0 zawiera podatność obejścia autoryzacji w metodzie SysUserServiceImpl.selectUserListByDept, która pozwala uwierzytelnionym użytkownikom czytać dane użytkowników innych działów. Użytkownicy posiadający uprawnienie system:user:list w roli ograniczonej do działu mogą wysłać żądanie GET /system/user/list/dept/{deptId} z dowolnym identyfikatorem działu, aby uzyskać nazwy użytkowników, pseudonimy, status konta, ostatni adres IP i czas logowania oraz uwagi.

Open Web Analytics przed wersją 1.14.1 zawiera podatność autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać dane raportów innych witryn, ponieważ raporty clickstream i transakcji nie są ograniczone do autoryzowanego siteId. Użytkownicy z uprawnieniem view_reports dla jednej witryny mogą podać jej siteId wraz z session_id lub order_id innej witryny, aby odczytać historię odwiedzin, adresy IP, user agentów i dane zamówień.

ZenTao PMS do wersji 22.6 zawiera podatność braku autoryzacji w doc::ajaxGetDoc(), która pozwala uwierzytelnionym użytkownikom czytać dokumenty bez sprawdzenia uprawnień checkPrivDoc(). Atakujący z niskimi uprawnieniami mogą enumerować sekwencyjne identyfikatory dokumentów, aby uzyskać treść i wersje robocze prywatnych dokumentów oraz dokumentów z ograniczonych bibliotek, produktów, projektów lub zespołów.

Blossom do wersji 1.17.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom bez trybu tylko do odczytu modyfikować obrazy innych użytkowników poprzez podanie dowolnych identyfikatorów obrazów. Atakujący mogą wywołać endpointy usuwania obrazu, /picture/del/batch lub /picture/star, aby trwale usunąć obrazy i pliki ofiar lub zmienić ich status gwiazdki.

Wtyczka JetFormBuilder firmy Crocoblock zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 3.6.7.1 włącznie.

Wtyczka The Events Calendar firmy Liquid Web / StellarWP zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony), która umożliwia atak Stored XSS. Problem dotyczy wersji od nieznanej do 6.18.2 włącznie.