Katalog podatności CVE

Router Netis NC63 z oprogramowaniem V3.0.0.3327 zawiera podatność umożliwiającą nieuwierzytelnioną aktualizację oprogramowania. Atakujący bez uwierzytelnienia może przesłać niepodpisany obraz firmware, wykorzystując brak egzekwowania uwierzytelnienia w serwerze Boa i dyspozytorze CGI netis.cgi. Wysyłając żądanie multipart POST do /cgi-bin/upload_fw.cgi bez ważnego ciasteczka sesji, atakujący może ominąć uwierzytelnienie, ponieważ Boa udziela dostępu do każdej ścieżki zawierającej '.cgi' bez weryfikacji ciasteczka, a netis.cgi odczytuje, ale nie egzekwuje stanu uwierzytelnienia przed wywołaniem procedury aktualizacji firmware, która akceptuje obrazy weryfikowane tylko przez podrabialną sumę kontrolną i statyczne ciągi produktu, a nie podpis kryptograficzny. Może to prowadzić do trwałego przejęcia routera.

W module płac w Roskus Prospero Flow CRM przed wersją 5.15.10 wykryto podatność polegającą na obejściu autoryzacji przez klucz kontrolowany przez użytkownika. Uwierzytelnieni użytkownicy z uprawnieniem do odczytu płac mogą przeglądać dane wynagrodzeń i kont bankowych pracowników innych firm w instancji, a użytkownicy z uprawnieniem do tworzenia płac mogą tworzyć rekordy płac przypisane do pracowników innej firmy. Dzieje się tak, ponieważ zapytanie listujące nie jest ograniczone do firmy wywołującego, a identyfikator pracownika jest weryfikowany pod kątem globalnego istnienia, a nie przynależności do firmy.

W alldatacenter alldata do wersji 0.6.8 wykryto podatność związaną z deserializacją w funkcji Hessian2Input.readObject w pliku /serialize/impl/HessianSerializer.java komponentu xxl-rpc Listener. Manipulacja danymi prowadzi do deserializacji, a atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Projekt zamknął zgłoszenie jako 'nieplanowane' bez dalszych wyjaśnień.

W SourceCodester Simple Client Management System 1.0 wykryto podatność SQL injection w nieznanej funkcji pliku /classes/Master.php?f=save_service. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Tenda W20E w wersji 15.11.0.6(1068_1546_841)_CN_TDC wykryto podatność na przepełnienie bufora stosu w funkcji ipMacBindListStore pliku /goform/addIpMacBind. Manipulacja argumentem IPMacBindRule może prowadzić do przepełnienia bufora. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W Tenda W20E w wersji 15.11.0.6(1068_1546_841)_CN_TDC odkryto podatność na przepełnienie bufora stosu w funkcji formQOSRuleDel pliku /goform/delQos. Manipulacja argumentem qosIndex prowadzi do przepełnienia bufora. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie /api/filetree/authFilePublishAccess, który jest zarejestrowany tylko z CheckAuth i dostępny anonimowo. Endpoint nigdy nie ustawia kodu błędu, więc wynik jest sygnalizowany przez komunikat odpowiedzi i obecność nagłówka Set-Cookie, które różnią się w zależności od poziomu dostępu. Anonimowy atakujący może rozróżnić, czy dokument jest publiczny/nieistniejący, chroniony hasłem, czy istnieje w ukrytej lub zabronionej warstwie, potwierdzając istnienie dokumentów, do których nie ma dostępu.

actix-http przed wersją 3.12.1 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling) w parserze HTTP/1.1, który akceptuje żądania z jednoczesnym nagłówkiem Content-Length i Transfer-Encoding: chunked. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać to przez pośredniczący front-end do desynchronizacji żądań backendu i przemycania złośliwych żądań HTTP do usługi Actix.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie getAttributeViewBacklinks, który przy filtrowaniu linków zwrotnych konsultuje listę zabronionych dostępów zamiast listy widoczności. Anonimowi czytelnicy mogą podać publicznie widoczny identyfikator wiersza bazy danych, aby odkryć ukryte dokumenty, które się do niego odwołują, otrzymując nazwę bazy danych, tytuł wiersza i ścieżkę dokumentu ukrytych dokumentów.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie getRefIDsByFileAnnotationID, który zwraca identyfikatory bloków cytujących adnotacje PDF bez filtrowania pod kątem dostępu publikacyjnego. Atakujący mogą wyodrębnić identyfikatory bloków z zastrzeżonych dokumentów, podając identyfikatory adnotacji widoczne na opublikowanych stronach, ujawniając relacje cytowań między zabronionymi i chronionymi hasłem warstwami.

Budibase w wersjach od 3.39.4 do 3.40.0 zawiera regresję autoryzacji w punkcie końcowym przesyłania załączników S3, która pozwala użytkownikom BASIC na uzyskanie podpisanych URL-i S3 PutObject poprzez wysyłanie żądań POST do punktu końcowego załączników. Trasa została zmieniona z kontroli uprawnień BUILDER na kontrolę TABLE/WRITE, którą użytkownicy BASIC mają domyślnie. Atakujący mogą określić dowolne zasobniki S3 w treści żądania, aby wygenerować podpisane URL-e do zapisu w dowolnym zasobniku dostępnym dla przechowywanych poświadczeń IAM, co umożliwia nieautoryzowane przesyłanie plików.

FileBrowser przed wersją 2.63.19 nie egzekwuje zadeklarowanej wartości Upload-Length w endpointcie PATCH dla przesyłania wznawianego TUS, co pozwala uwierzytelnionym użytkownikom zapisywać dowolne dane na dysku. Atakujący mogą wysyłać zbyt duże treści żądań przekraczające zadeklarowaną długość, aby wyczerpać dostępne miejsce na dysku i spowodować niedostępność usługi.

File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.

FileBrowser przed wersją 2.63.19 nie uwzględnia systemów plików niewrażliwych na wielkość liter podczas sprawdzania własności katalogu domowego podczas samorejestracji. Gdy Signup i CreateUserDir są włączone, a root FileBrowser jest na systemie plików niewrażliwym na wielkość liter (potwierdzone na Windows/NTFS), dwie samorejestrowane nazwy użytkowników różniące się tylko wielkością liter (np. CaseVictim i casevictim) są przechowywane jako oddzielne konta, ale rozwiązują się do tego samego fizycznego katalogu domowego, ponieważ kontrola zakresu porównuje zapisany zakres jako dokładny ciąg znaków wrażliwy na wielkość liter. Drugi rejestrujący może zatem czytać, nadpisywać i usuwać pliki innego konta przez uwierzytelnione punkty końcowe HTTP, bez potrzeby istniejącego konta lub interakcji ofiary.

filebrowser przed wersją v2.63.21 nie kanonizuje ścieżek przed oceną reguł dostępu, co pozwala uwierzytelnionym użytkownikom ominąć zdefiniowane przez administratora reguły odmowy przy użyciu ścieżek z różną wielkością liter lub separatorami backslash. Atakujący mogą żądać plików z alternatywnymi reprezentacjami ścieżek, które nie pasują do żadnej reguły, ale rozwiązują się do tego samego obiektu systemu plików, uzyskując nieautoryzowany dostęp do zabronionych plików w swoim zakresie.

filebrowser przed wersją 2.63.19 zawiera obejście uprawnień w endpointcie /api/resources. Gałąź checksum (?checksum=) w resourceGetHandler odczytuje cały plik, aby obliczyć skrót i zwraca go bez sprawdzania uprawnienia Perm.Download (w przeciwieństwie do ścieżek raw, preview i subtitle). W rezultacie uwierzytelniony użytkownik z Perm.Download=false może uzyskać wyrocznię skrótu treści dla dowolnego pliku w tym samym zakresie (md5/sha1/sha256/sha512), umożliwiając potwierdzenie znanej/odgadniętej treści, wykrywanie zmian i ataki brute-force offline na pliki o niskiej entropii. Jest to niepełna poprawka CVE-2026-35606; omija tylko uprawnienie Download i nie pokonuje autoryzacji zakresu/ścieżki.

Wtyczka Grav API (getgrav/grav-plugin-api) w wersjach od 1.0.6 do 1.0.11 zawiera podatność na eskalację uprawnień. Klucz API z ograniczonym zakresem wygenerowany na koncie super-admina omija zadeklarowany limit zakresu na czterech punktach końcowych zapisu chronionych funkcją isSuperAdmin() (w GroupsController, AccountsConfigController, PreferencesController i DashboardWidgetController). Te punkty końcowe autoryzują przez wczesny zwrot dla super-admina, który nigdy nie wywołuje requirePermission() – jedynego punktu egzekwowania limitu zakresu – więc klucz z zakresem 'read-only' (np. api.pages.read) może wykonywać operacje zapisu tylko dla super-admina, w tym przepisywanie map ACL grup w celu nadania uprawnień super-admina dowolnym kontom. Wyciekły lub delegowany klucz CI/monitorujący z zakresem read-only może zatem uzyskać pełną zdolność zapisu super-admina. Poprawiono w wersji 1.0.13.

Grav w wersjach od 1.5.2 do 2.0.12 zawiera podatność na trwały cross-site scripting (XSS) w funkcji Security::detectXss() (system/src/Grav/Common/Security.php). Skanowanie obsługi zdarzeń jest zakotwiczone na `<` i używa `[^>]*?`, które nie może przekroczyć pierwszego dosłownego `>`; gdy `>` pojawi się wewnątrz wartości atrybutu w cudzysłowie, przeglądarka utrzymuje tag otwarty i parsuje kolejny moduł obsługi zdarzeń (np. onerror), więc detektor i przeglądarka są w niezgodzie. Edytor strony bez uprawnień admin.super może zapisać treść strony taką jak `<img src=x title=">" onerror=alert(document.domain)>`, która jest akceptowana, przechowywana i wykonywana w originie witryny, gdy dowolny odwiedzający (w tym nieuwierzytelnieni użytkownicy) przegląda stronę. Naprawiono w wersji 2.0.13.

Wtyczka Flex Objects (do wersji 1.4.6, testowana z Grav 2.0.11) zawiera podatność na nieprawidłową autoryzację w API Flex Objects. Funkcja FlexApiController::update() sprawdza tylko ogólne uprawnienia katalogu Flex i nie stosuje dodatkowych kontroli celu/pola/super-admina egzekwowanych przez dedykowane kontrolery API Users i Groups. Uwierzytelnione konto z uprawnieniami api.access, admin.login i users.update (ale bez api.users.write lub admin.super) może użyć ogólnego punktu końcowego /api/v1/flex-objects/user-accounts do zmiany hasła super administratora lub punktu końcowego /api/v1/flex-objects/user-groups do nadania swojej grupie uprawnienia admin.super, co prowadzi do pełnego przejęcia strony. Poprawiono w Flex Objects 1.4.7.

Wtyczka Grav API przed wersją 1.0.13 nie egzekwuje ograniczeń zakresu kluczy API w bramkach super-scope w ConfigController, co pozwala kluczom z ograniczonym zakresem na zapis konfiguracji harmonogramu. Ograniczenie zakresu jest stosowane tylko wewnątrz requirePermission(), podczas gdy bramki harmonogramu i kopii zapasowych używają gołego sprawdzenia isSuperAdmin(), które nigdy nie konsultuje api_key_scopes. Atakujący posiadający klucz API z zakresem api.config.write, wygenerowany na koncie super, może wstrzyknąć dowolne polecenia do scheduler.custom_jobs, które Job::run() przekazuje do Symfony Process, osiągając wykonanie poleceń systemu operacyjnego jako użytkownik serwera WWW.