Katalog podatności CVE

SiYuan przed wersją v3.7.4 nieprawidłowo ogranicza nadmierne próby uwierzytelnienia w middleware CheckAuth(). Gałąź HTTP Basic Authentication, która chroni prawie całą powierzchnię /api/*, akceptuje kod dostępu do obszaru roboczego jako hasło Basic Auth, ale nie konsultuje bramki CAPTCHA/blokady ani nie zwiększa licznika nieudanych prób używanych przez ścieżkę logowania cookie/sesja. Pozwala to nieuwierzytelnionym zdalnym atakującym na brute-force kodu dostępu administratora z nieograniczoną liczbą automatycznych żądań i uzyskanie pełnego dostępu RoleAdministrator do jądra. Dodatkowo kod dostępu jest porównywany w czasie niestałym.

SiYuan przed wersją 3.7.4 zawiera podatność polegającą na niewłaściwym ograniczeniu nadmiernych prób uwierzytelniania w punkcie końcowym authFilePublishAccess, co pozwala niezalogowanym atakującym na brute-force haseł publikacji poszczególnych notatników. Atakujący mogą wysyłać nieograniczoną liczbę prób odgadnięcia hasła bez ograniczania szybkości lub CAPTCHA, aby uzyskać dostęp do chronionych hasłem opublikowanych notatników.

SiYuan przed wersją v3.7.4 nie waliduje ani nie koduje wartości szerokości kolumn tabeli, co pozwala na przechowywany cross-site scripting w atrybutach style. Atakujący mogą wstrzyknąć złośliwe ładunki przez API setAttrViewColWidth, które wychodzą poza atrybuty style i wstrzykują obsługę zdarzeń na każdej komórce tabeli, wykonując dowolny kod w rendererze Electron z włączoną integracją Node.

SiYuan przed wersją v3.7.4 zawiera podatność na zdalne wykonanie kodu w operatorze obliczeń szablonu, który renderuje szablony Go tworzone przez użytkownika i przechowuje dane wyjściowe bez sanityzacji. Atakujący mogą wstrzyknąć złośliwy HTML i JavaScript do obliczeń szablonu, które wykonują się w rendererze klienta desktop z włączoną integracją Node, umożliwiając wykonanie dowolnego kodu po otwarciu bazy danych.

SiYuan przed wersją v3.7.4 nie koduje poprawnie metadanych menu bazy danych w interpolacji HTML, co pozwala na wykonanie skryptu z przechowywanych wartości, gdy użytkownik otwiera menu grupy, widoku lub edycji pól. Atakujący mogą wstrzyknąć znaczniki przez opisy lub nazwy pól, które zamykają zawierające elementy i wykonują dowolny kod przez obsługę zdarzeń, docierając do wbudowanych funkcji Node z powodu niebezpiecznej konfiguracji Electron.

SiYuan przed wersją v3.7.4 nie waliduje ani nie koduje pól adnotacji zapisywanych na dysku przez endpoint setFileAnnotation. Atakujący mogą wstrzyknąć złośliwe znaczniki do pól adnotacji, które wykonują się jako skrypt w rendererze PDF z pełnym dostępem do Node.js, gdy użytkownik otworzy opatrzony adnotacjami plik PDF.

Wykryto podatność w systemie Online Food Order System 1.0 firmy code-projects. Dotyczy ona nieznanej funkcji w pliku edit_food_items.php. Manipulacja argumentem dname prowadzi do podatności na atak XSS (cross site scripting). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W bibliotece pkp-lib w wersjach 3.3.0, 3.4.0 i 3.5.0 wykryto słabość w funkcji setData pliku classes/user/form/APIProfileForm.php, dotyczącą generowania kluczy API. Manipulacja argumentem apiKey prowadzi do niewystarczającej entropii. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudną eksploatacją. Dostępna jest poprawka o identyfikatorze 529b5df878e571ccc727647f7748eafc1466b041.

W systemie Jinher OA 1.0 wykryto słabość w nieznanej funkcji pliku /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. Manipulacja argumentem httpOID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany, ale nie odpowiedział.

Wtyczka Link Library dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji ll_delete_link_fields we wszystkich wersjach do 7.9.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Wykorzystanie wymaga, aby administrator włączył opcję 'Delete local file on link deletion' (domyślnie wyłączoną) i następnie trwale usunął link przesłany przez atakującego, co jest rutynową czynnością moderacyjną.

W systemie Online Book Store System 1.0 firmy SourceCodester wykryto podatność w module ustawień systemowych, w pliku /admin/index.php?page=site_settings. Manipulacja danymi prowadzi do podatności na atak XSS (cross site scripting). Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W systemie SourceCodester Online Clothing Store 1.0 wykryto podatność w nieznanej części pliku /db/shopping.sql komponentu SQL Database Backup. Manipulacja prowadzi do udostępnienia plików lub katalogów. Atak zdalny jest możliwy. Exploit został opublikowany i może być wykorzystany.

W urządzeniu LB-LINK X-PRO 1.0.22-20231206 wykryto lukę związaną z nieznaną funkcją pliku /etc/config/easycwmp. Manipulacja prowadzi do użycia twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania. Exploit został opublikowany i może być użyty. Producent nie odpowiedział na zgłoszenie.

Wtyczka Pods – Custom Content Types and Fields dla WordPressa do wersji 3.3.9 włącznie zawiera podatność na eskalację uprawnień przez obejście autoryzacji. Router AJAX pods_admin przekazuje wszystkie kontrole dostępu przez funkcję pods_error(), która w trybie zgodności meta-box-loader tylko zapisuje błędy do logu i zwraca false zamiast przerywać żądanie, przez co zabezpieczenia są nieskuteczne. Niezalogowany atakujący może eskalować uprawnienia do administratora lub zmienić hasło dowolnego konta, w tym właściciela strony, co umożliwia całkowite przejęcie witryny.

W urządzeniu LB-LINK X-PRO w wersji 1.0.22-20231206 wykryto podatność związaną z twardo zakodowanymi poświadczeniami w pliku /etc/shadow. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego stopnia złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność SQL injection w pliku /edit_teacher.php, gdzie manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W VictoriaMetrics do wersji 1.146.0 wykryto podatność w komponencie VMAuth Authentication Endpoint, w funkcji requestHandler pliku app/vmauth/main.go. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Zalecana jest aktualizacja do wersji 1.147.0.

W narzędziu dtale (mangroup) do wersji 3.22.0 wykryto podatność w funkcji Login w pliku dtale/auth.py. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale charakteryzuje się wysoką złożonością. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.

W narzędziu dtale (mangroup) do wersji 3.22.0 wykryto podatność w funkcji build_secret_key w pliku dtale/app.py, dotyczącą ciasteczek sesji Flask. Problem polega na generowaniu niewystarczająco losowych wartości, co może umożliwić atakującemu przewidzenie klucza sesji. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a pull request z poprawką oczekuje na akceptację.

W systemie Open Source Point of Sale (opensourcepos) do wersji 3.4.2 wykryto podatność w funkcji Login::index w pliku app/Config/Filters.php. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.