Katalog podatności CVE

GitAhead w wersjach od 2.5.0 do 2.7.1 zawiera niezabezpieczony mechanizm aktualizacji, który instaluje pobrane aktualizacje bez weryfikacji integralności i podpisu oraz trwale ignoruje błędy TLS po jednorazowym oknie błędu SSL. Atakujący w sieci, który raz przedstawi nieprawidłowy certyfikat, może przechwycić późniejsze automatyczne sprawdzenia aktualizacji, zaproponować fałszywą wersję i wykonać kod jako użytkownik podczas instalacji.

Legcord w wersjach od 1.1.0 do 1.3.0 zawiera podatność na wstrzyknięcie konfiguracji, która pozwala skryptowi na stronie Discord zapisać dowolny klucz konfiguracji poprzez mostek window.legcord settings.setConfig. Atakujący wykorzystujący XSS w Discordzie może ustawić additionalArguments, aby trwale dodać przełączniki --proxy-server i --ignore-certificate-errors, kierując cały ruch klienta przez proxy przechwytujące.

Legcord w wersjach od 1.1.0 do 1.3.0 zawiera podatność na path traversal w handlerach IPC motywów, która pozwala skryptowi na stronie Discord wyjść poza katalog motywów poprzez niezwalidowane identyfikatory motywów. Atakujący uruchamiający skrypt w origin Discord, np. przez XSS, może wykorzystać themes.folder, themes.uninstall i themes.install do uruchamiania lokalnych plików wykonywalnych, rekurencyjnego usuwania katalogów i zapisu plików poza katalogiem motywów.

maclof kubernetes-client w wersjach od 0.17.0 do 0.32.0 wyłącza weryfikację certyfikatu TLS w funkcjach parseKubeconfig() i parseKubeconfigFile(), gdy plik kubeconfig nie zawiera certificate-authority-data, ignorując ustawienie insecure-skip-tls-verify. Atakujący w sieci może podszyć się pod serwer API Kubernetes, aby przechwycić tokeny Bearer lub dane uwierzytelniające Basic oraz modyfikować ruch WebSocket lub REST API.

Podatność SQL injection w systemie Drug Recommendation System 1.0 firmy SourceCodester. Dotyczy pliku /Auth/add_student.php w komponencie rejestracji studenta, gdzie manipulacja argumentem cmdschool umożliwia wstrzyknięcie SQL. Atak może być wykonany zdalnie, a exploit jest publiczny.

Podatność SQL injection w systemie Online Admission System 1.0 od itsourcecode. Dotyczy pliku /login1.php, gdzie manipulacja argumentem User prowadzi do wstrzyknięcia SQL. Atak może być zainicjowany zdalnie, a exploit jest publiczny.

Brak uwierzytelnienia w systemie food-waste-management-system od kishor-23. Dotyczy pliku admin/signup.php w komponencie Admin Signup, gdzie manipulacja argumentem sign powoduje brak uwierzytelnienia. Atak może być zainicjowany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Podatność SQL injection w systemie food-waste-management-system od kishor-23. Dotyczy pliku delivery/delivery.php w komponencie Take Order Handler, gdzie manipulacja argumentami order_id/delivery_person_id prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Pakiet Laravel alexpechkarev/google-maps do wersji 12.16 domyślnie wyłącza weryfikację certyfikatów TLS, ponieważ konfiguracja ustawia ssl_verify_peer na FALSE, co jest przekazywane do CURLOPT_SSL_VERIFYPEER. Atakujący w ścieżce sieciowej mogą przedstawić dowolny certyfikat, przechwycić żądania do Google Maps, ukraść klucz API z ciągu zapytania i manipulować odpowiedziami.

Gem gist przed wersją 6.1.0 zawiera podatność nieprawidłowej weryfikacji certyfikatów, która pozwala atakującym w ścieżce sieciowej na przechwycenie ruchu HTTPS, ponieważ http_connection w lib/gist.rb ustawia VERIFY_NONE. Atakujący mogą przedstawić dowolny certyfikat, aby czytać lub modyfikować ruch API GitHub, kradnąc tokeny OAuth i dane logowania oraz czytać i modyfikować gisty ofiary.

Twine 2 desktop do wersji 2.12.0 zawiera podatność cross-site scripting w funkcji importStories(), która wykonuje znaczniki z importowanych plików historii w oknie edytora. Atakujący mogą stworzyć plik historii, którego skrypt wywołuje most IPC twineElectron openWithScratchFile, aby zapisać i otworzyć plik .bat, wykonując kod jako użytkownik.

W systemie kishor-23 food-waste-management-system (konkretne commity) stwierdzono podatność w nieznanej funkcji pliku admin/donate.php. Manipulacja argumentem location prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt używa systemu ciągłego wydawania, więc wersje nie są podawane; projekt nie odpowiedział na zgłoszenie.

W systemie kishor-23 food-waste-management-system (konkretne commity) stwierdzono podatność w funkcji insert pliku fooddonateform.php komponentu Food Donation Form. Manipulacja argumentem image-choice prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt używa strategii ciągłego wydawania, więc wersje nie są podawane; projekt nie odpowiedział na zgłoszenie.

Mammoth.js w wersji 1.3.0 przed 1.12.3 zawiera podatność regular expression denial of service w tokenizerze mapy stylów w lib/styles/parser/tokeniser.js z powodu nakładających się alternatyw regex. Atakujący mogą dostarczyć spreparowany plik .docx z niezakończonym ciągiem znaków w cudzysłowie z powtarzającymi się ukośnikami odwrotnymi w mammoth/style-map, aby zablokować pętlę zdarzeń Node.js.

gopay przed wersją 1.5.119 wyłącza weryfikację certyfikatów TLS w defaultClient() w pkg/xhttp/client.go, co pozwala atakującym man-in-the-middle na podszywanie się pod API dostawcy płatności. Atakujący mogą przedstawić dowolny certyfikat, aby czytać dane uwierzytelniające sprzedawcy, podpisy i dane transakcji oraz modyfikować odpowiedzi dotyczące płatności, zwrotów i zapytań o zamówienia.

go-micro przed wersją 6.0.0 zawiera podatność nieprawidłowej weryfikacji certyfikatów, która pozwala atakującym sieciowym na podszywanie się pod usługi, ponieważ wspólny pomocnik TLS ustawia InsecureSkipVerify na true domyślnie. Atakujący man-in-the-middle mogą przedstawić dowolny certyfikat, aby przechwycić lub modyfikować ruch gRPC, HTTP, brokera RabbitMQ oraz rejestrów Consul lub etcd, w tym tokeny uwierzytelniające i dane logowania.

WWBN AVideo do wersji 29.2.0 zawiera podatność stored cross-site scripting, która pozwala użytkownikom z uprawnieniami do przesyłania plików na wstrzyknięcie skryptu poprzez ustawienie złośliwego adresu URL trailera wideo. Wartość jest renderowana bez escapowania w szablonach YouPHPFlix2 i playlistach kanałów, co pozwala atakującym na wyjście poza atrybuty onclick lub src iframe i wykonanie JavaScript w przeglądarkach ofiar.

WWBN AVideo 12.4 do 29.2.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom przesyłającym pliki na wstrzyknięcie HTML poprzez wysyłanie podwójnie zakodowanych encji w tytułach wideo. Ponieważ funkcja safeString() usuwa tagi przed dekodowaniem encji i jest uruchamiana dwukrotnie przez setTitle() i save(), atakujący mogą przechowywać znaczniki, które wykonują się na stronach trendów, galerii, osadzania i playlist.

ZITADEL 4.x przed 4.17.1 nie sprawdza stanu nieaktywności organizacji podczas uwierzytelniania Login V2, weryfikując tylko status indywidualnego użytkownika. Użytkownicy zdezaktywowanej organizacji, którzy posiadają ważne poświadczenia, istniejącą sesję lub token odświeżania, mogą nadal logować się, tworzyć sesje oraz uzyskiwać lub odświeżać tokeny.

ZITADEL 3.x przed 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanych interfejsach Login V1 i Login V2, które akceptuje rejestrację passkey lub innych uwierzytelniaczy w sesjach typu identify-only, przed weryfikacją jakiegokolwiek czynnika podstawowego. Nieuwierzytelnieni atakujący znający tylko login ofiary mogą zarejestrować uwierzytelniacz kontrolowany przez atakującego i zalogować się jako ten użytkownik, omijając istniejące hasła i MFA.