Katalog podatności CVE

Problem z izolacją witryn w komponencie Graphics: CanvasWebGL przeglądarki Firefox i klienta poczty Thunderbird. Podatność została naprawiona w Firefox 154, Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.

Podczas instalacji agenta Zabbix na systemie Windows do niestandardowego katalogu instalacyjnego, instalator nie weryfikował, czy wybrany katalog ma bezpieczne uprawnienia dostępu. Jeśli katalog docelowy pozwalał nieautoryzowanym użytkownikom na modyfikację zawartości, atakujący mógł umieścić złośliwą bibliotekę DLL, która mogła zostać później załadowana przez aplikację, co prowadzi do przechwycenia DLL (DLL sideloading). Instalator został wzmocniony, aby wykrywać potencjalnie niebezpieczne katalogi instalacyjne i wymaga teraz wyraźnego potwierdzenia użytkownika przed kontynuacją instalacji w takich lokalizacjach.

DataEase to narzędzie do wizualizacji i analizy danych typu open source. Wersje przed 2.10.23 mają podatność na path traversal. Przyczyną jest to, że na systemie Windows separator plików to '\', a serwer filtruje tylko znak '/' podczas skracania ciągów. Luka została naprawiona w wersji 2.10.23. Brak znanych obejść.

Zautentykowany administrator może doprowadzić do awarii serwera lub proxy Zabbix, tworząc specjalnie spreparowane skrypty JavaScript dla elementów preprocessing/script, co prowadzi do odmowy usługi.

Akcja host.get w API Zabbix może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia klucza PSK hosta, co może prowadzić do utraty integralności danych.

Administrator Zabbix może odczytać pamięć poza dozwolonym obszarem, wykorzystując błąd w logice HttpRequest w skryptach/preprocessingu JavaScript, co prowadzi do potencjalnej utraty poufności.

Uwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji validate.api.exists, co prowadzi do potencjalnej odmowy usługi.

W Zabbix 7.4 klucz kryptograficzny używany do podpisywania sesji Frontend został błędnie zapisany w seedzie bazy danych. Obecnie jedyny znany scenariusz wykorzystania dotyczy wdrożeń korzystających zarówno z uwierzytelniania SAML, jak i użytkowników gości. W takich przypadkach klucz może zostać użyty do sfałszowania ważnych ciasteczek sesji, co może prowadzić do nieautoryzowanego dostępu. Dla innych wdrożeń Zabbix nie ma znanego wpływu.

Akcja frontendu validate.api.exists może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia jawnych wartości makr użytkownika, co prowadzi do potencjalnej utraty poufności.

Nieuwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji popup.testtriggerexpr, co prowadzi do potencjalnej odmowy usługi.

Podatność na zanieczyszczenie prototypu w funkcji searchParamsToObject() prowadzi do trwałego XSS w komponencie Maps. Przetwarzanie parametrów URL nie filtrowało niebezpiecznych właściwości, takich jak __proto__, w połączeniu z niebezpiecznym tworzeniem elementów przez jQuery, które przechodziło przez łańcuch prototypów.

Pole OAuth 'Client secret' w mediach e-mail nie może być odczytane po zapisaniu, ale Super Admin może je ujawnić, ustawiając złośliwy 'Token endpoint'. Wprowadzono zmiany resetujące client secret przy zmianie token endpoint.

Mechanizm blokady logowania w API i frontendzie Zabbix ma wadę, przez którą kilka nieudanych prób logowania wysłanych jednocześnie nie jest poprawnie liczonych do licznika blokad, co może pozwolić na więcej prób odgadnięcia hasła niż zamierzono.

Podatność na zewnętrzną kontrolę nazwy pliku lub ścieżki w aplikacji Citrix WorkSpace App na macOS. Problem dotyczy wersji WorkSpace App: 2607.

Podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w EdoWEB firmy Netiket Information Technologies umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy EdoWEB przed wersją 780-g7.

ArcadeDB przed wersją 26.8.1 nie sanityzuje nazw baz danych w poleceniach create database i drop database w punkcie końcowym POST /api/v1/server, co pozwala uwierzytelnionym użytkownikom root na zapisywanie i usuwanie dowolnych plików poza skonfigurowanym katalogiem baz danych. Atakujący mogą podać nazwy baz danych zawierające sekwencje ../, aby tworzyć bazy danych w dowolnych ścieżkach systemu plików lub rekurencyjnie usuwać katalogi, do których serwer ma dostęp.

ArcadeDB przed wersją 26.8.1 zawiera podatność braku uwierzytelnienia w pluginie Redis wire-protocol, co pozwala nieuwierzytelnionym atakującym na odczyt, zapis i usuwanie danych. Atakujący mogą łączyć się z portem Redis i wykonywać dowolne polecenia na dowolnej bazie danych bez podawania poświadczeń.

Wtyczka Gremlin wire-protocol w ArcadeDB (com.arcadedb:arcadedb-gremlin) w wersjach <= 26.7.3 wymusza uwierzytelnianie (SASL PLAIN), ale nie przeprowadza autoryzacji: nie sprawdza uprawnień dostępu do bazy danych (canAccessToDatabase) i nie wiąże uwierzytelnionego podmiotu z silnikiem. W rezultacie każdy ważny poświadczenie serwera — nawet takie przyznane dla zero lub jednej niepowiązanej bazy — może czytać, zapisywać i usuwać dane w dowolnej bazie na serwerze, wybierając docelową bazę przez alias źródła przejścia, całkowicie omijając ACL silnika per-type/read-only/UPDATE_SCHEMA. Problem naprawiono w wersji 26.8.1.

ArcadeDB przed wersją 26.8.1 nie egzekwuje uwierzytelniania SASL dla poleceń danych w pluginie MongoDB wire-protocol. Nieuwierzytelnieni atakujący mogą wydawać polecenia insert, find, update, delete i create na dowolnej bazie danych, łącząc się z portem 27017 bez poświadczeń.

Serwer ArcadeDB (com.arcadedb:arcadedb-server) w wersjach 26.7.3 i wcześniejszych nie propaguje uwierzytelnionego podmiotu do asynchronicznych wątków roboczych poleceń. Gdy polecenie HTTP jest wysyłane z awaitResponse:false, wykonuje się na asynchronicznym workerze, którego DatabaseContext nie ma powiązanego użytkownika, co powoduje, że brama autoryzacji skryptów staje się nieaktywna. Użytkownik z dostępem tylko do odczytu do jednej bazy danych może wysłać asynchroniczne polecenie JavaScript (language=js) przez endpoint /api/v1/command, aby uruchomić kod z nieograniczonym dostępem do hosta (np. database.getSecurity().createUser) i utworzyć administratora całego serwera, eskalując do pełnej kontroli administracyjnej. Naprawione w wersji 26.8.1.