Katalog podatności CVE

Podatność w instalatorze Piwigo w wersjach 16.3.0 i starszych pozwala na wstrzyknięcie kodu PHP przez parametry POST konfiguracji bazy danych. Brak odpowiedniego oczyszczania danych wejściowych oraz ominięcie funkcji `addslashes()` na PHP 8+ umożliwia nieuwierzytelnionemu atakującemu zapisanie złośliwego kodu do pliku konfiguracyjnego, który jest wykonywany przy każdym ładowaniu strony.

W systemie FileThingie w wersji 2.5.7 wykryto podatność umożliwiającą zdalnemu atakującemu uzyskanie dostępu do wrażliwych informacji poprzez komponent ft2.php.

Błąd odwróconej wartości logicznej w integracji `boring-tls` biblioteki lettre (biblioteka pocztowa dla Rusta) w wersjach od 0.10.1 do 0.11.21 powoduje ciche wyłączenie weryfikacji nazwy hosta TLS dla wywołań korzystających z domyślnej (ścisłej) konfiguracji. Atakujący znajdujący się na ścieżce sieciowej może przedstawić dowolny certyfikat z ważnym łańcuchem dla dowolnej domeny i przechwycić transmisję SMTP, w tym dane uwierzytelniające PLAIN/LOGIN oraz treść wiadomości. Inne backendy TLS (native-tls, rustls) nie są dotknięte. Wersja 0.11.22 zawiera poprawkę.

Złośliwe wersje pakietu npm @beproduct/nestjs-auth (0.1.2–0.1.19) zawierały skrypt postinstall wykradający tokeny npm, tokeny GitHub, dane uwierzytelniające AWS, tokeny Vault i inne sekrety. Wersja 0.1.20 jest czystą ponowną publikacją.

HeyForm w wersji przed 3.0.0-rc.7 zawiera podatność na trwałe XSS w kreatorze formularzy. Niskouprzywilejowany członek zespołu może wstrzyknąć złośliwy JavaScript, który wykona się, gdy właściciel zespołu wyświetli formularz, prowadząc do pełnego przejęcia konta poprzez eskalację uprawnień.

W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, omijając zabezpieczenia piaskownicy Groovy.

W Apache Syncope wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami. Użytkownik może poprzez wywołanie REST API samodzielnie nadać sobie role administratora, uzyskując tym samym pełną kontrolę nad systemem. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.

Podatność SQL Injection w Apache Syncope pozwala administratorowi z odpowiednimi uprawnieniami na wykonanie dowolnego kodu SQL poprzez niesanitowane parametry sortowania. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.

W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może zdalnie wykonać kod poprzez podsystem łączników, wykorzystując skryptowe łączniki (REST i SQL) do uruchamiania skryptów Groovy.

W Apache Syncope wykryto podatność polegającą na braku izolacji skryptów Groovy w procesach BPMN. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić go, co skutkuje wykonaniem skryptu Groovy bezpośrednio na serwerze bez piaskownicy.

W pulpcore znaleziono podatność polegającą na przechodzeniu poza katalog (path traversal). Funkcja relative_path_validator sprawdza tylko, czy ścieżki nie zaczynają się od "/", ale nie blokuje sekwencji takich jak "../". Uwierzytelniony administrator może utworzyć relative_path zawierający sekwencje przechodzenia, co pozwala na zapis dowolnego pliku w dowolnej lokalizacji zapisywalnej przez użytkownika usługi Pulp.

W CMS Windu wykryto podatność na ślepą iniekcję SQL (Blind SQL Injection). Niezautoryzowany atakujący zdalnie może wstrzyknąć składnię SQL do ścieżki URL w nagłówku HTTP. Podatność potwierdzono w wersji 4.1, ale może dotyczyć także innych wersji.

Przepełnienie bufora sterty w FreeRDP przed wersją 3.28.0 (dotknięte <=3.27.1) w funkcji crypto_rsa_common(). Funkcja zapisuje wynik potęgowania modularnego do bufora wyjściowego przed sprawdzeniem granic, co pozwala na zapisanie danych poza buforem.

Podatność w konfiguracji serwera proxy Konnectivity dla kontrolowanych płaszczyzn hostowanych. Agentowy listener został uruchomiony bez --cluster-ca-cert, przez co certyfikaty klienta nie były weryfikowane. Zdalny atakujący może połączyć się jako nieuwierzytelniony agent i przechwytywać ruch między płaszczyzną sterowania a węzłami.

Podatność w bibliotece Crypt::Password dla Perla do wersji 0.28 włącznie powoduje generowanie niebezpiecznych, przewidywalnych wartości soli (salt) przy użyciu wbudowanej funkcji rand, która nie nadaje się do zastosowań kryptograficznych.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).

Repozytorium GitHub Meshtastic przed wersją 2.7.21.1370b23 ma podatność w workflow main_matrix.yml, który jest wyzwalany przez pull_request_target. Wiele zadań sprawdza kod atakującego z forka i wykonuje go z dostępem do sekretów repozytorium oraz podwyższonymi uprawnieniami GITHUB_TOKEN. Nie ma bramki zatwierdzającej. Pull requesty od zewnętrznych użytkowników z author_association: "NONE" automatycznie uruchamiały CI. Workflow bezpośrednio wykonuje pliki kontrolowane przez atakującego z forka. Problem ten mógł prowadzić do kompromitacji łańcucha dostaw, przejęcia runnerów lub repozytorium. Poprawka w wersji 2.7.21.1370b23.

W jądrze Linux w sterowniku idpf wykryto błąd inicjalizacji blokady spinlock read_dev_clk_lock w funkcji idpf_ptp_init(). Blokada była inicjalizowana po uruchomieniu wątku pomocniczego PTP, który mógł natychmiast próbować jej użyć, co prowadziło do ostrzeżenia lockdep o rejestracji niestatycznego klucza.

W jądrze Linuxa wykryto podatność w mechanizmie netfs, polegającą na potencjalnym rozrywaniu (tearing) podczas odczytu i zapisu pól ->remote_i_size oraz ->zero_point. Problem wynika z braku odpowiedniej synchronizacji, co może prowadzić do uszkodzenia danych.

W jądrze Linux w module netfilter nft_inner wykryto błąd w ścieżce obsługi błędów, gdzie funkcja local_bh_enable() jest wywoływana przed local_unlock_nested_bh(), co może prowadzić do nieprawidłowego stanu blokad i potencjalnych problemów z synchronizacją.