Katalog podatności CVE

QloApps do wersji 1.7.0 zawiera podatność na złamaną kontrolę dostępu, która pozwala pracownikom back-office ograniczonym do hotelu na tworzenie typów pokoi pod nieprzypisanymi hotelami poprzez podanie dowolnego id_hotel. Atakujący mogą wyliczyć wszystkie hotele przez niefiltrowany selektor formularza typów pokoi i wysyłać obce identyfikatory hoteli do AdminProductsController, tworząc pokoje i inwentarz pod innymi hotelami.

Shaarli do wersji 0.16.9 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym użytkownikom na wysyłanie żądań do wewnętrznych adresów poprzez pobieranie miniatur zakładek bez sprawdzania adresów prywatnych. Atakujący mogą tworzyć zakładki wskazujące na adresy loopback, prywatne lub metadane chmury i wywołać ThumbnailsController::ajaxUpdate lub zapis, aby wysłać ślepe żądania GET, a open_shaarli naraża to na każdego odwiedzającego.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w AdminSearchConfController::processSave(), która odbija odrzucone aliasy i wartości wyszukiwania bez escapowania w komunikatach o błędach walidacji. Atakujący mogą nakłonić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania, wykonując JavaScript w jego sesji administracyjnej.

Kavita 0.9.0 do 0.9.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym użytkownikom na obejście listy blokad SSRF przez ponowne wiązanie DNS lub przekierowania HTTPS. Atakujący mogą przesłać URL do POST /api/Cbl/upload-cbl-file, którego host po walidacji zmienia wiązanie lub przekierowuje na wewnętrzne adresy, umożliwiając ślepe skanowanie wewnętrznych portów i usług.

Gem Ruby Razorpay IFSC do wersji 2.0.62 zawiera podatność na server-side request forgery, która pozwala atakującym przekierowywać żądania API poprzez podanie spreparowanego kodu IFSC do IFSC.find lub IFSC#get. Atakujący mogą podawać odniesienia do ścieżek sieciowych lub absolutne URI, które URI.join rozwiązuje jako nowy host, wysyłając żądania GET do wewnętrznych lub wybranych przez atakującego hostów i zwracając sparsowane pola odpowiedzi.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w formularzu AdminHotelFeaturePricesSettings, która odbija wartości feature_price_name i impact_price po nieudanej walidacji bez escapowania. Atakujący mogą zwabić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania za pomocą złośliwego linku lub automatycznie przesyłanego formularza, wykonując JavaScript w jego sesji administracyjnej.

Kubeflow Model Registry do wersji 0.3.17 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala użytkownikom przestrzeni nazw na kradzież tokena konta usługi kontrolera poprzez adnotację modelregistry.kubeflow.org/url. Atakujący mogą utworzyć InferenceService wskazujący adnotację na ich serwer, przechwycić token bearer i modyfikować InferenceService innych dzierżawców w całym klastrze.

QloApps do wersji 1.7.0 zawiera podatność na odbity cross-site scripting (XSS), która pozwala zdalnym atakującym wstrzykiwać skrypty przez parametr price w formularzu Additional Facilities w panelu administracyjnym. Atakujący może nakłonić uwierzytelnionego użytkownika panelu administracyjnego do wysłania spreparowanego żądania, którego niepoprawna wartość price jest ponownie renderowana po nieudanej walidacji, wykonując JavaScript w sesji administracyjnej.

Aureus ERP do wersji 1.6.0 zawiera podatność na obejście autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych szkiców wpisów na blogu przez stronę widoku posta dla klientów. Atakujący, którzy znają lub zgadną slug posta, mogą pobrać pełny tytuł, treść, obraz, tagi, autora i datę publikacji, ponieważ PostResource pomija autoryzację, a ViewPost ignoruje is_published.

Lenve vhr do commita 03abbd3 zawiera podatność na ujawnienie informacji, która pozwala każdemu uwierzytelnionemu użytkownikowi pobrać hashe haseł BCrypt innych operatorów przez GET /chat/hrs. Użytkownicy z niskimi uprawnieniami mogą zbierać hashe haseł administratora, numery telefonów i adresy z zserializowanej encji Hr w celu ataku offline i eskalacji uprawnień.

youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na włączanie lub wyłączanie kont, ponieważ procedura updateUserStatus nie zawiera sprawdzenia @PreAuthorize. Atakujący mogą wysyłać żądania PATCH do /api/v1/users/{userId}/status, aby wyłączyć konta root lub administratora, blokując administratorów, lub ponownie włączyć konta wyłączone przez administratora.

youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom przypisywać dowolne uprawnienia do menu i przycisków do ról poprzez PUT /api/v1/roles/{roleId}/menus. Użytkownicy o niskich uprawnieniach, tacy jak konto testowe GUEST, mogą przyznać wszystkie uprawnienia swojej roli, odświeżając pamięć podręczną uprawnień Redis, aby uzyskać dostęp równoważny administratorowi.

Snowy 3.6.5 zawiera podatność związaną z twardo zakodowanym kluczem HMAC, która pozwala nieuwierzytelnionym atakującym na fałszowanie podpisów pobierania dla punktu końcowego /dev/file/download, używając opublikowanej stałej FILE_DOWNLOAD_SIGN_SECRET. Atakujący mogą obliczyć podpisy HMAC-SHA256 dla odgadniętych identyfikatorów plików offline, aby pobrać przechowywane pliki, takie jak awatary, obrazy edytora i załączniki.

Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom odczytywać wyniki generowania innych użytkowników poprzez podanie dowolnych identyfikatorów zadań. Atakujący mogą enumerować automatycznie inkrementowane identyfikatory zadań na endpointach /items dla obrazów i wideo, uzyskując dostęp do wygenerowanych obrazów, filmów i metadanych innych użytkowników.

Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na path traversal, która pozwala uwierzytelnionym użytkownikom zapisywać przesłane pliki poza katalogiem mediów poprzez parametr subDir w POST /api/storage/upload. Atakujący mogą podać sekwencje katalogów nadrzędnych, które LocalStorageStrategy.storeBytes nie normalizuje, tworząc katalogi i zapisując pliki o wybranych rozszerzeniach w dowolnym miejscu, gdzie konto usługi ma uprawnienia do zapisu.

iFlytek SkillHub do wersji 0.2.22 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na trwałe usuwanie umiejętności innych użytkowników poprzez DELETE /api/cli/v1/skills/{namespace}/{slug}. Atakujący mogą znaleźć cele poprzez anonimowy endpoint wyszukiwania i wywołać usunięcie bez sprawdzania własności, usuwając wszystkie wersje, pliki, recenzje, oceny i metadane.

Phase Console do wersji 2.77.3 zawiera podatność na brak autoryzacji, która pozwala członkom organizacji bez uprawnień do odczytu sekretów na odczyt historii sekretów przez zapytanie GraphQL secretHistory. Atakujący posiadający klucz środowiska mogą podać znany identyfikator sekretu, aby pobrać zaszyfrowane zdarzenia sekretów i odszyfrować wartości za pomocą swojego zawiniętego klucza środowiska.

Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom niebędącym administratorami odczytywać przechowywane sekrety przez niechronione endpointy ApiConfigController i SystemConfigController. Atakujący mogą zapytać endpointy api-config get/list oraz system config, aby uzyskać klucze API dostawców AI, hasła proxy i mail_password, co umożliwia nadużycia rozliczeniowe i wysyłanie maili jako platforma.

Wukong AICRM do wersji 20260610 zawiera podatność na brak autoryzacji w kontrolerze /systemConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt przechowywanego klucza API dostawcy AI. Atakujący mogą zażądać GET /systemConfig/byType/ai, aby uzyskać klucz w postaci jawnego tekstu, lub wysłać wybrany apiUrl do /systemConfig/ai/test, przekazując przechowywany klucz na swój host.

Wukong AICRM do wersji 20260610 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie API administracyjnych użytkowników, ról, departamentów i agentów, ponieważ nie ma sprawdzenia administratora. Atakujący mogą wysyłać żądania POST do /managerUser/updateUser, aby zresetować hasło konta administratora i przypisać sobie rolę "all", osiągając pełne przejęcie konta administratora.