Katalog podatności CVE

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu kluczy API w metodach create() i update() w UsersController. Metody te egzekwują ograniczenia tylko dla api.users.write, ale przyznają super-przywileje na podstawie bezpośredniego sprawdzenia isSuperAdmin(), które czyta access.api.super bez uwzględniania zakresów klucza. W rezultacie klucz o zakresie api.users.write wybity na koncie super może ustawić access.api.super lub przypisać grupę nadającą super, aby utworzyć lub awansować pełne konto super, a następnie uwierzytelnić się jako to konto dla nieograniczonych uprawnień administracyjnych.

Grav Plugin API (getgrav/grav-plugin-api) przed wersją 1.0.13 nie egzekwuje limitów zakresu kluczy API w InvitationsController. Decyzje strip-super i accept-groups są oparte na zwykłym sprawdzeniu isSuperAdmin() zamiast sprawdzenia uprawnień uwzględniającego zakres, więc klucz API o najmniejszych uprawnieniach (zakres api.users.write) wygenerowany na koncie super może utworzyć rekord zaproszenia zawierający flagi dostępu super-admina. Po zaakceptowaniu zaproszenia te flagi są zapisywane dosłownie na nowym koncie, co prowadzi do eskalacji uprawnień do w pełni kontrolowanego konta super.

Grav CMS przed wersją 2.0.13 zawiera podatność na wstrzyknięcie szablonów po stronie serwera w parametrach akcji e-mail, która pozwala edytorom stron o niskich uprawnieniach na wykonywanie dowolnych poleceń systemu operacyjnego. Atakujący mogą wstrzyknąć ładunki Twig przy użyciu niezabezpieczonego filtra find w polach tematu, treści, do lub od wiadomości e-mail, aby osiągnąć zdalne wykonanie kodu podczas przesyłania formularzy.

Wtyczka getgrav/grav-plugin-api przed wersją 1.0.13 nie weryfikuje, czy zakresy nowo utworzonego klucza API są podzbiorem zakresów wywołującego w createApiKey. Ścieżka self-target w requireApiKeyPermission() wymaga tylko podstawowego zakresu api.access, a zakresy nowego klucza są odczytywane bezpośrednio z treści żądania bez sprawdzania podzbioru. Atakujący posiadający klucz API o minimalnym zakresie na koncie super może przesłać pustą tablicę zakresów, aby wybić nieograniczony klucz super z pełnym dostępem, omijając ograniczenia zakresów (i umożliwiając dalsze łańcuchy, takie jak zapis konfiguracji do RCE).

Wtyczka getgrav/grav-plugin-api przed wersją 1.0.13 zawiera obejście limitu zakresu klucza API w punkcie końcowym POST /reports/twig-content/allowlist (ReportsController). Punkt końcowy egzekwuje requirePermission('api.config.write'), a następnie zwykłe sprawdzenie isSuperAdmin() zamiast requireSuper(). Ponieważ isSuperAdmin() czyta access.api.super bezpośrednio i nigdy nie konsultuje api_key_scopes, klucz API o najmniejszych uprawnieniach z zakresem api.config.write wygenerowany na koncie super przechodzi przez bramkę, umożliwiając atakującemu dodanie wybranych tokenów do listy dozwolonych security.twig_sandbox (zapisanej do user/config/security.yaml). Poszerzenie listy dozwolonych zamienia każde późniejsze renderowanie Twig w treści w sink SSTI/RCE.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu kluczy API w PagesController::guardTwigContent(). Sprawdzanie przełącznika Twig używa bezpośredniego wywołania isSuperAdmin(), które nie uwzględnia api_key_scopes, więc klucz API o najmniejszych uprawnieniach, ograniczony tylko do api.pages.write i wybity na koncie super, może włączyć process.twig podczas zapisu strony, mimo że admin.pages_twig jest celowo poza zakresem api.pages. Gdy security.twig_content.process_enabled=true i editor_enabled=false, umożliwia to wykonanie Twig-in-content po stronie serwera, co prowadzi do wstrzyknięcia szablonów po stronie serwera (SSTI) i zdalnego wykonania kodu.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu klucza API w DemoController. Prywatna metoda requireSuper() sprawdza isSuperAdmin() i zwraca wcześniej, przed wywołaniem requirePermission(), więc ograniczenie api_key_scopes (egzekwowane tylko w requirePermission()) jest pomijane. W rezultacie każdy klucz API z ograniczonym zakresem wybity na koncie super może ominąć ograniczenia zakresu podczas wywoływania operacji baseline() i reset() (np. POST /api/v1/demo/reset), umożliwiając przechwycenie baseline demo lub wymuszenie resetu demo. Wpływ jest ograniczony do kontroli silnika demo i jest warunkowy, jeśli tryb demo jest skonfigurowany z zasobami do zapisu.

Pakiet Composer getgrav/grav-plugin-api przed wersją 1.0.13 (dotknięte <= 1.0.12) nie egzekwuje ograniczeń zakresu kluczy API na punkcie końcowym disable2fa. W przeciwieństwie do pokrewnego punktu generate2fa, disable2fa autoryzuje ścieżkę admin (nie-self) wyłącznie przez odczyty ACL (isSuperAdmin/hasPermission) i nigdy nie wywołuje requirePermission(), więc ograniczenie api_key_scopes nie jest stosowane. W rezultacie posiadacz klucza API o wąskim zakresie na koncie super lub konto nie-super, którego ACL zawiera api.users.write, może wymusić wyłączenie dwuskładnikowego uwierzytelniania na dowolnym koncie nie-super przez POST /api/v1/users/{user}/2fa/disable bez podawania kodu TOTP, co ułatwia przejęcie konta.

Wtyczka Grav Form przed wersją 9.1.15 zawiera podatność na trwały atak XSS w etykietach opcji pól radio i przełączników, renderowanych z użyciem filtra Twig |raw. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać kod HTML i skrypty w etykiety opcji, które wykonują się w przeglądarkach odwiedzających i administratorów przeglądających formularz.

Grav przed wersją 2.0.13 nieprawidłowo waliduje ścieżki główne profili kopii zapasowych, co pozwala atakującym na archiwizowanie katalogów poza GRAV_ROOT, gdy nie znajdują się one na twardo zakodowanej liście zabronionych. Atakujący z dostępem do edycji profili mogą skonfigurować profile z ścieżkami przejścia, aby ujawnić wrażliwe pliki z lokalizacji takich jak /opt, /mnt lub /srv.

Grav CMS przed wersją 2.0.13 zawiera podatność zdalnego wykonania kodu w walidacji ustawień wtyczki Flex Objects. Uwierzytelniony użytkownik może przesłać plik ZIP zawierający kod PHP, omijając walidację nazw za pomocą notacji tablicowej, i umieścić pliki PHP w katalogu głównym serwera, co prowadzi do ich wykonania.

go-chi/chi w wersjach od 0.9.0 do przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ustala źródłowy adres IP żądania (Request.RemoteAddr) na podstawie pierwszego adresu IP w nagłówku X-Forwarded-For bez weryfikacji zaufanych proxy. Złośliwy klient może dodać sfałszowany adres IP jako pierwszą wartość nagłówka X-Forwarded-For, aby podszyć się pod źródło żądania, potencjalnie omijając kontrolę dostępu lub fałszując logi żądań.

go-chi/chi do wersji 5.2.1 zawiera podatność na spoofing IP w middleware RealIP (middleware/realip.go). Funkcja realIP() odczytuje kontrolowane przez klienta nagłówki (True-Client-IP, X-Real-IP i X-Forwarded-For) i nadpisuje r.RemoteAddr bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący mogą podać dowolne adresy IP w tych nagłówkach, aby ominąć kontrolę dostępu opartą na IP, uniknąć limitów szybkości i ograniczeń geo-IP oraz zanieczyścić logi audytowe. Naprawiono w wersji 5.3.0.

go-chi chi w wersjach >= 5.2.1 i przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ślepo ufa pierwszej (skrajnie lewej) wartości nagłówka X-Forwarded-For. Zdalny atakujący może ominąć listy kontroli dostępu oparte na IP i mechanizmy ograniczania szybkości oraz sfałszować wpisy logów, podając sfałszowany adres IP w nagłówku X-Forwarded-For. Problem naprawiono w wersji 5.3.0.

Crate actix-files (actix_files) przed wersją 0.6.10 zawiera podatność na ujawnienie informacji. Gdy nieistniejący folder jest przekazany jako argument serve_from do Files::new(), ścieżka montowania domyślnie staje się pustą ścieżką; usługa następnie łączy ścieżkę żądania z tą pustą ścieżką i kanonizuje ją, co powoduje, że Rust rozwiązuje ją jako ścieżkę względną. W rezultacie atakujący może żądać ścieżek, które rozwiązują się względem katalogu roboczego aplikacji i uzyskać dostęp do nieprzeznaczonych plików.

actix-files przed wersją 0.6.10 zawiera podatność na atak DoS wywołaną pustym nagłówkiem Range w żądaniach GET dla plików statycznych. Gdy ustawienie panic jest ustawione na abort, zdalni atakujący mogą spowodować awarię procesu na żądanie, wysyłając żądanie GET z pustym nagłówkiem Range.

SiYuan przed wersją v3.7.4 zawiera podatność na brak autoryzacji w punkcie końcowym /api/ref/refreshBacklink, która pozwala anonimowym czytelnikom na wywoływanie trwałych zapisów po stronie serwera. Atakujący mogą wywołać ten punkt końcowy z kontrolowanym identyfikatorem bloku, aby opróżnić kolejki transakcji, przeskanować wszystkie referencje globalnie i dodać zapisy do bazy danych, omijając ochronę trybu tylko do odczytu i umożliwiając ataki amplifikacji zasobów.

SiYuan w wersjach <= v3.7.2 zawiera podatność na wstrzyknięcie SQL w zapytaniu wyszukiwania backlink/mention (kernel/model/backlink.go), które łączy przechowywane metadane bloków (tytuł, nazwa, alias, tekst kotwicy) oraz słowo kluczowe dostarczone przez klienta w zapytanie SQL MATCH/search, escapując tylko podwójny cudzysłów, a nie pojedynczy. Pojedynczy cudzysłów w słowie kluczowym klienta (pierwszego rzędu, osiągalny przez anonimowego użytkownika lub użytkownika RoleReader na powierzchni publikacji) lub w przechowywanych metadanych dokumentu (drugiego rzędu) przełamuje literał łańcuchowy. Ponieważ zapytanie jest wykonywane na głównym uchwycie siyuan.db z możliwością układania instrukcji, atakujący może wykonać dowolny SQL, umożliwiając odczyt i zapis między notatnikami. Naprawione w v3.7.4.

SiYuan przed wersją v3.7.4 zawiera podatność obejścia granic publikacji w sesjach WebSocket, która pozwala anonimowym czytelnikom otrzymywać niefiltrowane edycje. Atakujący może nawiązać połączenie WebSocket z powierzchnią publikacji i pasywnie odbierać zdarzenia treści w czasie rzeczywistym, w tym dokumenty chronione hasłem i zabronione, bez uwierzytelnienia.

W urządzeniu Tenda W20E w wersji 15.11.0.6(1068_1546_841)_CN_TDC zidentyfikowano podatność w funkcji lstAdd pliku /goform/editQos komponentu QoS Edit. Manipulacja argumentem qosListConnecttedNum prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.