Katalog podatności CVE

Wtyczka All in One SEO dla WordPressa przed wersją 4.9.9 nieprawidłowo ogranicza dostęp do niektórych endpointów REST API integracji AI, umożliwiając użytkownikom z niskimi uprawnieniami (np. Współautorom) nadpisanie lub zresetowanie stanu integracji AI na poziomie całej witryny.

W bibliotece hunvreus devpush w wersji do 0.4.6 wykryto podatność w funkcji reset_storage w pliku app/workers/tasks/storage.py. Problem polega na nieprawidłowym sprawdzaniu lub obsłudze wyjątkowych warunków, co może prowadzić do nieoczekiwanego zachowania.

W bibliotece django-blog-zinnia do wersji 0.20 wykryto podatność polegającą na przechowywaniu haseł chronionych wpisów w postaci jawnego tekstu. Problem dotyczy pliku zinnia/views/mixins/entry_protection.py w komponencie Protected Entry Password Handler. Atak wymaga lokalnego dostępu do systemu.

W komponencie Hostname Allocation Handler w projekcie allegro (do wersji bcf65b994ef29fb3fc2e10b660e6288723d5209e) wykryto podatność na wyścig (race condition) w funkcji AssetLastHostname.increment_hostname. Atak wymaga manipulacji argumentem counter i jest bardzo złożony, a jego wykorzystanie uznano za trudne. Exploit został publicznie ujawniony i może być użyty, a projekt nie odpowiedział na zgłoszenie problemu.

W bibliotece django-tastypie do wersji 0.15.1 wykryto podatność w funkcji ApiKeyAuthentication w pliku tastypie/authentication.py. Problem polega na używaniu metody GET z wrażliwymi danymi w zapytaniach, co może prowadzić do wycieku kluczy API. Atak jest zdalny, ale charakteryzuje się wysoką złożonością i jest trudny do wykorzystania.

W Pluck CMS do wersji 4.7.21 wykryto podatność na atak XSS w module Albums. Funkcja htmlspecialchars_decode w pliku data/modules/albums/albums.admin.php nieprawidłowo przetwarza argument Info, co umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność na atak XSS w pliku /forCYS.php. Manipulacja argumentem course umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit jest publicznie dostępny.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność na atak XSS w pliku /CYS.php poprzez manipulację argumentem course. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W SourceCodester Class and Exam Timetabling System 1.0 znaleziono podatność XSS w pliku /forexam.php. Manipulacja argumentem day umożliwia zdalne wykonanie skryptu. Exploit został ujawniony publicznie.

W SourceCodester Class and Exam Timetabling System 1.0 znaleziono podatność XSS w pliku /schoolyr.php. Manipulacja argumentem sy umożliwia zdalne wykonanie skryptu. Exploit został ujawniony publicznie.

W Feathersjs w wersji 5.0.44 i wcześniejszych, funkcja _.merge w @feathersjs/commons pozwala na zanieczyszczenie prototypu (prototype pollution) poprzez klucze __proto__, constructor lub prototype pochodzące z JSON.parse.

Statamic CMS przed wersjami 5.74.0 i 6.20.3 zawiera podatność w endpointcie Live Preview, który sprawdza tylko autoryzację widoku, ale akceptuje i renderuje wartości pól dostarczone przez wywołującego. Użytkownik panelu administracyjnego z uprawnieniami do widoku, ale nie do edycji, może przesłać treści, do których nie ma uprawnień, i wygenerować udostępnialny URL Live Preview.

IBM Verify Identity Access i IBM Security Verify Access zawierają podatność na otwarte przekierowanie, która umożliwia zdalnemu atakującemu przeprowadzenie ataku phishingowego. Luka występuje w wersjach 11.0 do 11.0.2 oraz 10.0 do 10.0.9.1, zarówno w wersjach klasycznych, jak i kontenerowych.

Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.

Podatność w IBM PowerVM Novalink wynika z błędnej konfiguracji API, co w warunkach innych niż domyślne może zwiększyć powierzchnię ataku i umożliwić niezamierzone lub nieautoryzowane operacje.

W bibliotece RustCrypto CMOV w wersjach od 0.1.1 do 0.5.4, implementacje dla architektury aarch64 funkcji Cmov i CmovEq zakładają, że bity wysokie są wyzerowane przy ładowaniu wartości mniejszych niż rejestr, co może prowadzić do nieprawidłowych wyników operacji cmovz.

Funkcja Star.text_to_image/NetworkRenderStrategy.render w pliku astrbot/core/star/base.py w AstrBot do wersji 4.25.2 jest podatna na atak XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Instalatory HCL DFMPro, DFXAnalytics i DFXServer zawierają lukę niebezpiecznych uprawnień plików, która umożliwia każdemu zalogowanemu użytkownikowi niebędącemu administratorem nadpisanie lub zastąpienie pliku wykonywalnego złośliwym binarnym.

Podatność w HCL DevOps Loop wynika z niewystarczającej walidacji danych wejściowych, co pozwala na wprowadzanie znaków specjalnych w miejscach, gdzie powinny być one blokowane. Może to prowadzić do nieoczekiwanego zachowania aplikacji w określonych warunkach.

W produkcie HCL DevOps Loop brakuje nagłówków bezpieczeństwa HTTP, co osłabia ochronę przeglądarki przed atakami typu clickjacking, MIME-type sniffing i cross-site scripting.