Katalog podatności CVE

Leantime to otwartoźródłowy system zarządzania projektami. Przed wersją 3.10.0, w powierzchniach API JSON-RPC brakuje autoryzacji per-metoda, co pozwala niskouprzywilejowanemu uwierzytelnionemu użytkownikowi na utworzenie konta administratora oraz zarządzanie wtyczkami bez odpowiednich uprawnień.

FrankenPHP to nowoczesny serwer aplikacji dla PHP. W wersjach przed 1.12.5 oficjalne obrazy Docker FrankenPHP dla Debian i Alpine zawierają domyślny plik /app/public/index.php wykonujący phpinfo(). Obraz pochodny, który nie nadpisze tego pliku zastępczego, udostępnia stronę diagnostyczną w środowisku produkcyjnym i może ujawnić zmienne środowiskowe używane jako sekrety, dyrektywy konfiguracji PHP, załadowane rozszerzenia, wersje oprogramowania i ścieżki systemowe. Obrazy zbudowane zgodnie z udokumentowanym wzorcem z własnym /app/public/index.php nie są podatne, a istniejące obrazy pochodne muszą zostać przebudowane lub uzupełnione o indeks aplikacji, aby usunąć ujawniony plik zastępczy. Problem naprawiono w wersji 1.12.5.

FrankenPHP to nowoczesny serwer aplikacji dla PHP. Przed wersją 1.12.5, w trybie worker, gdy rozszerzenie sesji jest ładowane jako moduł współdzielony, stan sesji PHP może być zachowany między żądaniami, co prowadzi do ujawnienia sesji między użytkownikami i możliwego przejęcia sesji.

Podatność Directory Traversal w routerze bezprzewodowym IK-Q3000 Enterprise-grade Wi-Fi 6 (wersje Enterprise: <= iKuai8_3.7.23_Enterprise Build 202606021825, Free Edition: <= iKuai 8_4.0.304-beta) firmy Quanxun Huiju Network Technology (Beijing) Co., Ltd. Pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.

Argo CD od wersji 2.10.0 do 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2 tworzy hooki zasobów PostDelete bez stosowania kontroli autoryzacji AppProject dla miejsca docelowego i zasobów używanych podczas zwykłej synchronizacji. Użytkownik mogący zapisywać w repozytorium Git aplikacji może zatwierdzić hook usuwający skierowany do zabronionej przestrzeni nazw, serwera, grupy, rodzaju lub nazwy zasobu, a usunięcie aplikacji powoduje utworzenie tego zasobu z poświadczeniami klastra docelowego. Problem naprawiono w wersjach 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2.

Luka w Portal for ArcGIS umożliwia nieuwierzytelniony dostęp do niektórych endpointów Portal Administrator API w określonych warunkach. Może to pozwolić atakującemu na dostęp do funkcji administracyjnych, które powinny wymagać uwierzytelnienia.

Błąd w Portal for ArcGIS pozwala nieuwierzytelnionym użytkownikom tworzyć nowe konta przez punkt końcowy udostępniania, nawet gdy samodzielna rejestracja kont jest wyłączona (disableSignup=true). Atakujący może obejść zamierzone ograniczenie, manipulując procesem rejestracji, co skutkuje nieautoryzowanym utworzeniem konta.

Frappe to framework aplikacji webowych full-stack. W wersjach przed 15.116.0 i 16.29.0 przepływ logowania OAuth używa niesanityzowanego parametru state kontrolowanego przez klienta do wyboru nawigacji po uwierzytelnieniu, co pozwala spreparowanej wartości state przekierować użytkownika do lokalizacji wybranej przez atakującego. Problem naprawiono w wersjach 15.116.0 i 16.29.0.

Squid to serwer buforujący (cache) dla sieci Web. Od wersji 3.3.0.1 do przed 7.6, z powodu nieprawidłowego egzekwowania przepływu pracy, Squid jest podatny na atak Request Smuggling przeciwko HTTP/1.1 Transfer-Encoding, akceptując niedozwoloną formę 'Transfer-Encoding: identity'.

Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.23.0, metoda get_count() w reportview składa operację zliczania wokół wygenerowanego SQL przez surową ścieżkę wykonania bazy danych, co pozwala na modyfikację wykonywanego SQL przez spreparowane dane wejściowe raportu.

Cronicle przed wersją 0.9.119 w dzienniku aktywności administratora (htdocs/js/pages/admin/Activity.js) łączy kontrolowaną przez atakującego wartość item.user.full_name z kodem HTML bez kodowania encji i wstawia wynik przez this.div.html. Wbudowany filtr wejściowy pixl-server-user można obejść znacznikiem zawierającym znak nowej linii, ponieważ wyrażenie regularne nie dopasowuje nowych linii. Uwierzytelniony nie-administrator może zmienić własną nazwę przez /api/user/update, a przy włączonym free_accounts anonimowy atakujący może umieścić nazwę podczas samodzielnej rejestracji. Zapisana nazwa wykonuje skrypt w sesji administratora po otwarciu dziennika aktywności, umożliwiając przejęcie konta administratora i dalsze wykonanie poleceń. Problem naprawiono w wersji 0.9.119.

RClone Manager przed wersją 0.2.7 uruchamia lokalną usługę rclone rcd na 127.0.0.1:51900 z opcjami --rc-no-auth, --rc-allow-origin * i --rc-serve. Złośliwa strona internetowa otwarta przez użytkownika, gdy demon działa, może wysyłać żądania cross-origin do nieuwierzytelnionego lokalnego API z uprawnieniami systemowymi użytkownika. Żądania mogą ujawnić skonfigurowane poświadczenia do magazynów oraz potencjalnie uzyskać dostęp, przesłać, zmodyfikować lub wykraść lokalne pliki. Możliwy wpływ w postaci wykonania poleceń pozostaje niepotwierdzony. Problem naprawiono w wersji 0.2.7.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metody get, getUserClientRoles i getUserRealmRoles autoryzują wywołujących z rolą read:admin bez potwierdzenia, że docelowe UUID należy do żądanego i uwierzytelnionego realm. Administrator realm może pobrać dane użytkownika z innej dzierżawy lub realm master, łamiąc izolację dzierżaw.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metoda KNXProtocol.startAssetImport przetwarza plik 0.xml z przesłanego projektu ETS ZIP z parserami XML, które pozwalają na rozwiązywanie encji zewnętrznych, co umożliwia odczyt plików dostępnych dla procesu JVM lub wykonywanie żądań po stronie serwera.

OpenCATS przed wersją 0.10.0 w module importu (modules/import/ImportUI.php) może zachować oryginalną nazwę przesłanego pliku dla jednego typu importu i umieścić plik w publicznie dostępnym katalogu tymczasowym. Uwierzytelniony użytkownik z uprawnieniami do importu może wybrać tę ścieżkę i przesłać plik PHP, który pozostaje pod kontrolowaną przez atakującego nazwą wykonywalną, a błąd importu może pozostawić plik na dysku. Jeśli katalog tymczasowy jest serwowany z włączonym wykonywaniem PHP, żądanie tego pliku może wykonać dowolny kod PHP z uprawnieniami procesu serwera WWW. Problem naprawiono w wersji 0.10.0.

Citrix UniconOS zawiera podatność związaną z nieprawidłowym rozwiązywaniem linków przed dostępem do plików (podążanie za linkami). Problem dotyczy wersji przed 2607 CR i przed 2603 LTSR CU2.

Podatność w implementacji Bluetooth Classic Hands-Free Profile Audio Gateway (HFP AG) w Zephyr RTOS powoduje uszkodzenie listy timeoutów jądra. Poprzez wysłanie AT+CIND? i szybkie ponowne połączenie, zdalny atakujący może wywołać zawieszenie lub awarię całego systemu.

W warstwie sygnalizacyjnej AVDTP w stosie Bluetooth Zephyr RTOS procedura obsługi rozłączenia L2CAP (bt_avdtp_l2cap_disconnected) nie anulowała zaplanowanego opóźnionego zadania timeout_work, pozostawiając je aktywne w globalnej liście timerów jądra. Gdy struktura sesji bt_avdtp zostaje wyzerowana przez memset() przy ponownym połączeniu, jądro traktuje wciąż powiązany węzeł timeoutu jako wolny, co prowadzi do uszkodzenia globalnej listy timeoutów i awarii lub zawieszenia całego systemu. Podatność wymaga włączonej opcji CONFIG_BT_A2DP (eksperymentalnej) oraz szyfrowanego połączenia BR/EDR.

ThriveX-Server do wersji 4.0 zawiera podatność braku autoryzacji w endpointach GET /api/article oraz /api/article/{id}. Nieuwierzytelniony atakujący może odczytać nieopublikowane wersje robocze oraz miękko usunięte artykuły, podając kolejne identyfikatory lub parametry isDraft=true i isDel=true.

fuintCatering do commita 122c9e6 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w endpointcie szczegółów zwrotu w ClientRefundController. Uwierzytelnieni członkowie mogą odczytywać rekordy zwrotów innych członków, rejestrując się i enumerując kolejne wartości refundId, uzyskując dane osobowe i szczegóły zamówień.