Katalog podatności CVE

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać po stronie serwera żądania GET poprzez podanie niezwalidowanego adresu URL aktora w akcji synchronizacji Bazar abonnements. Atakujący mogą kierować żądania do hostów wewnętrznych lub endpointów metadanych chmury oraz łańcuchowo wykorzystywać kontrolowane przez siebie linki outbox first/next, a pobrane odpowiedzi są zapisywane jako czytelne wpisy Bazar.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać żądania po stronie serwera poprzez wysyłanie podpisanych aktywności Follow do publicznej trasy skrzynki odbiorczej aktora formularzy. Atakujący podpisują żądania własnym keyId, podając w treści wewnętrzne adresy URL aktorów, docierając do hostów wewnętrznych lub metadanych chmury poprzez ślepe żądania GET i POST.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar nuagetag, która konkatenuje nieescapowany atrybut tags do surowej klauzuli SQL IN. Atakujący z prawem zapisu do strony (domyślnie nieuwierzytelnieni) mogą osadzić tag nuagetag kończący się backslashem, aby zaburzyć parzystość cudzysłowów i wstrzyknąć podzapytanie UNION, eksfiltrując hashe haseł i dowolne dane z tabel.

YesWiki w wersji przed 4.6.7 zawiera podatność blind SQL injection w akcji {{newtextsearch}}, ponieważ identyfikatory opcji listy Bazar są konkatenowane do klauzul SQL REGEXP/LIKE w actions/newtextsearch.php bez escapowania. Anonimowi atakujący mogą umieścić złośliwy identyfikator opcji w anonimowo edytowalnej liście Bazar i wykorzystać żądania wyszukiwania jako wyrocznię boolowską do odczytu dowolnych danych z bazy, w tym hashy haseł administratorów z tabeli yeswiki_users.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar filtertags, która otacza nieescapowane tokeny atrybutu filterN cudzysłowami i konkatenuje je do surowej klauzuli tags.value IN (...). Nieuwierzytelnieni atakujący na domyślnych instalacjach mogą zapisać znacznik filtertags na stronie z tokenem kończącym się backslashem, co zaburza parzystość cudzysłowów przy escapowaniu backslashem w MySQL. Pozwala to wstrzyknąć pięciokolumnowe podzapytanie UNION w celu odczytu dowolnych danych z tabel, takich jak hashe haseł.

YesWiki w wersji przed 4.6.7 zawiera podatność second-order SQL injection w AclService::updateRequestWithACL, gdzie zapisana nazwa użytkownika jest konkatenowana bez escapowania do klauzuli LIKE dla read-ACL. Atakujący mogą samodzielnie zarejestrować nazwę konta zawierającą ładunek z podwójnym cudzysłowem, a następnie załadować listy filtrowane przez ACL dla nie-administratorów, aby odczytać zawartość bazy danych i obejść read ACL.

YesWiki w wersji przed 4.6.7 zawiera podatność cross-site request forgery (CSRF) w handlerze ajaxdeletepage, który trwale usuwa stronę przy każdym żądaniu GET zawierającym parametr jsonp_callback, bez sprawdzania tokenu CSRF. Atakujący mogą zwabić zalogowanego administratora lub właściciela strony do spreparowanego linku, aby usunąć dowolne strony wraz z ich ACL, linkami, trójkami, komentarzami i odsyłaczami.

YesWiki w wersji przed 4.6.7 zawiera podatność cross-site request forgery (CSRF) w autoupdate UpdateAction, która pozwala atakującym usuwać zainstalowane pakiety poprzez niechronione żądania GET. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku z action=delete i parametrem package, aby usunąć rozszerzenia takie jak bazar, psując podstawową funkcjonalność serwisu.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia uwierzytelniania w skrzynce odbiorczej ActivityPub, która nie wiąże zweryfikowanego podpisującego sygnaturę HTTP z aktorem aktywności. Nieuwierzytelniony atakujący z dowolną parą kluczy ActivityPub może wysyłać podpisane aktywności Delete lub Update odwołujące się do sourceUrl zlustrowanego wpisu, aby usuwać lub nadpisywać sfederowane wpisy innych aktorów.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w trasie editComment API komentarzy, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach nadpisywać dowolne strony lub komentarze, podając własną stronę jako pole pagetag. Atakujący może wysłać żądanie POST do punktu końcowego api/comments, celując w tag ofiary, omijając ACL zapisu dla poszczególnych stron, aby zastąpić treść i przeparentować istniejące strony lub komentarze.

YesWiki w wersji przed 4.6.7 zawiera obejście zakresu pustego filtra w API usuwania trójek, które pozwala każdemu uwierzytelnionemu użytkownikowi usuwać lub fałszować dowolne trójki semantyczne niezależnie od własności. Atakujący może wysłać pusty filtr do punktu końcowego usuwania trójek, aby usunąć trójkę członkostwa w grupie admins, opróżniając grupę administratorów i powodując blokadę autoryzacji w całej witrynie.

Zebra w wersji przed 4.4.0 zawiera podatność rozbieżności konsensusu w weryfikacji przezroczystych sygnatur V5, obliczając skrót ZIP-244 dla wejść SIGHASH_SINGLE bez odpowiadających wyjść zamiast zgłosić błąd. Atakujący może tworzyć transakcje V5 z mniejszą liczbą wyjść niż wejść, które Zebra akceptuje i szablonuje przez getblocktemplate, produkując bloki odrzucane przez zcashd.

Zebra zebrad 4.4.0 i zebra-script 6.0.0 nie egzekwują reguły konsensusu ZIP-244, akceptując przezroczyste wejścia V5 podpisane z SIGHASH_SINGLE, które nie mają odpowiadającego wyjścia. Atakujący może rozgłaszać spreparowane transakcje V5 z większą liczbą wejść niż wyjść, które Zebra akceptuje, ale zcashd odrzuca, powodując rozdzielenie konsensusu sieci.

Zebra w wersji przed 6.0.0 zawiera podatność typu denial of service, która pozwala nieuwierzytelnionym peеrом blokować wątki Tokio poprzez przesyłanie transakcji do mempoola wymagających kosztownej synchronicznej weryfikacji skryptów. Atakujący może wysyłać niestandardowe transakcje P2SH o wysokiej liczbie sigop, które docierają do CachedFfiTransaction::is_valid() przed sprawdzeniami standardowości, nasycając bufor weryfikatora i czyniąc węzeł nieodpowiadającym.

Zebra zebrad 4.5.0 i zebra-script 7.0.0 liczą operacje podpisu skryptu redeem P2SH w trybie legacy zamiast dokładnego trybu P2SH zcashd, przeliczając CHECKMULTISIG poprzedzony OP_1 do OP_16 jako 20 sigopów i powodując rozbieżność konsensusu. Zdalni atakujący mogą rozgłaszać wydatki P2SH używające skryptów redeem multisig o niskim progu, tak że blok akceptowany przez zcashd przekracza zawyżony licznik MAX_BLOCK_SIGOPS Zebry, powodując odrzucenie go przez węzły Zebra i zatrzymanie ich poza łańcuchem.

Zebra (zebrad) w wersji przed 6.2.1 zawiera asymetryczną podatność zużycia zasobów, która pozwala nieuwierzytelnionym peеrом blokować weryfikację bloków poprzez przesyłanie transakcji V6 do mempoola z nieprawidłowymi dowodami Halo2. Atakujący może zalać współdzieloną kolejkę weryfikacji Halo2 bez priorytetu transakcjami o zerowej opłacie z wypełnionymi zerami dowodami Orchard i Ironwood, powodując opóźnienie węzłów względem końca łańcucha.

Ścieżka pobierania synchronizacji bloków w Zebra (zebrad) w wersji przed 6.3.0 odczytuje wysokość bloku z niezwalidowanego scriptSig coinbase i odrzuca bloki, które wydają się zbyt daleko za końcem łańcucha, przed walidacją konsensusu, bez karania dostarczającego peera. Ponieważ identyfikatory transakcji V5 wykluczają scriptSig, złośliwy peer może wielokrotnie dostarczać kanoniczny blok, którego coinbase twierdzi, że ma wysokość 1, zachowując żądany hash, opóźniając odkrycie najnowszego bloku przez węzeł.

Ghost od wersji 6.10.3 przed 6.64.0 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom uruchamiać kod poprzez nadużycie ładowania plików tłumaczeń motywu. Atakujący z dostępem administratora może przesłać spreparowany motyw zawierający złośliwe pliki tłumaczeń, aby wykonać dowolny kod na serwerze Ghost.