Katalog podatności CVE

Grav przed wersją 2.0.15 zawiera podatność na dowolny zapis plików w walidacji dynamicznych danych Blueprint, która używa niekompletnej listy blokowanych zamiast pozytywnej listy dozwolonych. Atakujący z uprawnieniami do edycji stron lub konfiguracji blueprint mogą wywołać funkcję error_log za pomocą dyrektywy data, aby dodać ładunki PHP do plików dostępnych z sieci, osiągając zdalne wykonanie kodu.

Podatność w karakeep-app karakeep do wersji 0.32.0 dotyczy nieznanej funkcji w pliku apps/web/server/auth.ts komponentu OAuth Sign-In. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit został publicznie ujawniony.

Wtyczka Grav Form przed wersją 9.1.19 nie escapuje właściwości definicji pól, w tym prepend, append, tekst spacera, tekst sekcji i etykiety opcji select w szablonach formularzy. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać dowolny HTML i JavaScript, który wykonuje się dla wszystkich odwiedzających formularz przez nieescapowane filtry |raw i niecytowane atrybuty.

Grav plugin-api przed wersją 1.0.15 zawiera podatność na wstrzykiwanie skryptów, gdzie sanitizer SVG sprawdza tylko dokładne rozszerzenie 'svg', pozwalając plikom .svgz i .xhtml ominąć sanityzację i być przechowywanym bez oczyszczenia. Atakujący z uprawnieniami api.media.write mogą przesyłać pliki zawierające wykonywalne ładunki skryptów, które wykonują się w originie witryny, gdy są dostępne przez administratorów lub odwiedzających.

Grav przed wersją 2.0.15 zawiera podatność na path traversal w serwerze statycznych zasobów w index.php, który używa dopasowania prefiksu string zamiast walidacji granic katalogów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do plików w katalogach sąsiednich, wykorzystując nazwy katalogów, które rozszerzają bazową ścieżkę string, takie jak żądanie assets-secret, gdy assets jest skonfigurowaną bazą.

SiYuan przed wersją v3.7.4 zawiera podatność na nieprawidłową autoryzację w ośmiu punktach końcowych trybu publikacji, które filtrują wyniki za pomocą listy widoczności zamiast listy wyłączonych. Anonimowi odwiedzający mogą odkrywać i czytać treści z dokumentów oznaczonych jako zabronione do publikacji, uzyskując dostęp do punktów końcowych wyszukiwania, linków zwrotnych, treści zasobów, zapisanych kryteriów, ostatnich dokumentów, grafu i tagów.

SiYuan przed wersją v3.7.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji isPrivateIP w kernel/util/net.go, używanej przez SSRFSafeDialer do egzekwowania ochrony SSRF w trybie SafeMode. Funkcja sprawdza tylko adresy loopback, link-local unicast, prywatne i nieokreślone, ale nie rozpoznaje adresów przejściowych IPv6 (NAT64 64:ff9b::/96, 6to4 2002::/16, Teredo 2001::/32), które zawierają prywatne cele IPv4. Gdy tryb SafeMode jest włączony, uwierzytelniony atakujący może ominąć zabezpieczenie SSRF za pomocą sieciowego proxy, proxy WebSocket lub proxy SSE, podając URL, którego nazwa hosta rozwiązuje się na taki adres przejściowy, docierając do usług wewnętrznych i punktów końcowych metadanych chmury (np. 169.254.169.254). Ponieważ proxy zwraca pełną treść odpowiedzi, jest to pełny odczyt SSRF, który może być użyty do kradzieży poświadczeń instancji, dostępu do usług wewnętrznych i skanowania portów wewnętrznej infrastruktury.

SiYuan przed wersją v3.7.4 nie ma kontroli autoryzacji w 17 punktach końcowych metadanych/treści bloków w kernel/api/block.go (w tym getRefText, checkBlockExist i getBlockBreadcrumb). Te procedury obsługi są chronione tylko podstawowym uwierzytelnieniem (model.CheckAuth) i nie mają filtrowania dostępu do publikacji, co pozwala anonimowym czytelnikom trybu publikacji na ujawnianie prywatnych treści bloków, metadanych strukturalnych i informacji o istnieniu dowolnych identyfikatorów bloków w całym obszarze roboczym.

SiYuan przed wersją v3.7.4 zawiera podatność niewystarczającej kontroli dostępu w punkcie końcowym /api/lute/spinBlockDOM, który jest chroniony tylko przez middleware CheckAuth zamiast CheckAdminRole jak jego sąsiedni punkt końcowy. Uwierzytelnieni użytkownicy z rolami RoleEditor lub RoleReader mogą wywołać punkt końcowy do transformacji dowolnego wejścia DOM, a duże ładunki powodują zagłodzenie punktu końcowego przez serializację mutex per-ścieżka.

SiYuan przed wersją v3.7.4 zawiera podatność na cross-site scripting w procesie walidacji przesyłania plików, która nie koduje nazw plików przed wstawieniem ich do HTML za pomocą insertAdjacentHTML. Atakujący mogą stworzyć złośliwą nazwę pliku zawierającą ładunki skryptów, które wykonują się z pełnym dostępem do systemu operacyjnego, gdy użytkownik przeciąga, upuszcza lub wkleja plik do edytora.

Podatność przechowywania wrażliwych danych w postaci jawnego tekstu w produkcie Cryptosim firmy Kriptok Crypto and Information Technologies Industry Trade Inc. umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji przed 3.1.0.229.

Podatność na nieprawidłowe ograniczenie ścieżki do katalogu (Path Traversal) w AKINSOFT Wolvox9 ERP / KontrolPanel.exe firmy AKIN Software pozwala na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji od s26.02.17 do przed 26.02.22.

W karakeep do wersji 0.32.0 wykryto podatność w funkcji authorize pliku auth.ts komponentu Login Endpoint. Manipulacja prowadzi do nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudnym wykorzystaniem. Exploit jest publiczny.

Bastillion nieprawidłowo waliduje ścieżki URI w swoim kontrolerze, co pozwala nieuwierzytelnionym atakującym ominąć filtry uwierzytelniania przez dodanie dowolnych segmentów ścieżki. Atakujący mogą uzyskać dostęp do kontrolerów administracyjnych, aby odczytać listy użytkowników, tworzyć konta menedżerów i rejestrować zarządzane systemy, przejmując kontrolę nad dostępem SSH do zarządzanej floty.

SpiderFoot nie koduje znaków HTML w tytułach korelacji budowanych z zewnętrznych danych skanowania, takich jak banery serwerów i metadane. Atakujący mogą wstrzyknąć złośliwe elementy HTML z obsługą zdarzeń do wyników korelacji, które wykonują skrypty w przeglądarce operatora po otwarciu widoku korelacji, potencjalnie kradnąc klucze API.

Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.

Luka typu Stored XSS w FileOrbis (oprogramowanie firmy Fileorbis Informatics Services Trade Inc.) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka dotyczy wersji przed 16.5.

Wykryto lukę bezpieczeństwa w OpenBoxes do wersji 0.9.1. Problem dotyczy funkcji DocumentController w pliku DocumentController.groovy, co prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 0.9.2 rozwiązuje problem.

Carbone jest podatny na Denial of Service z powodu braku ochrony przed bombami zip podczas przetwarzania plików .docx. Biblioteka używa yazl do dekompresji zip bez walidacji rozmiarów wpisów, co pozwala atakującemu dostarczyć złośliwy plik .docx zawierający bombę zip, która dekompresuje się do znacznie większego rozmiaru, powodując nadmierne zużycie pamięci i awarię serwera aplikacji. Problem został naprawiony w wersjach 3.8.2, 4.26.3 i 5.4.4.

Biblioteka cowlib (Erlang) w wersji od 2.9.0 do 2.20.0 nie escapuje wartości wstawianych do nagłówka Link: w funkcji cow_link:link/1. Znaki specjalne w URI, rel lub kluczach atrybutów mogą przedostać się do nagłówka, umożliwiając wstrzyknięcie dodatkowych dyrektyw Link. W efekcie przeglądarki ofiar mogą być zmuszone do wykonywania połączeń do zasobów kontrolowanych przez atakującego.