Katalog podatności CVE

RuoYi-Vue-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId} z identyfikatorem powiązania ofiary, aby usunąć powiązania GitHub, WeChat lub Gitee oraz przechowywane tokeny OAuth, blokując logowanie społecznościowe.

B3log Symphony (wersje do 3.6.4) zawiera podatność braku autoryzacji, która umożliwia nieuwierzytelnionym atakującym dostęp do tras administratora, ponieważ PermissionMidware.check przepuszcza trasy bez wpisu w permission.rule.url. Atakujący mogą żądać /admin/report/ignore/{reportId}, /admin/tags/remove-unused lub /admin/user/{userId}/init-point, aby ignorować raporty, usuwać nieużywane tagi lub przyznawać punkty bez rejestrowania audytu.

Xxyopen novel (wersje do 3.5.0) zawiera podatność słabego haszowania haseł, która umożliwia atakującym odzyskanie haseł w postaci jawnej, ponieważ UserServiceImpl.register() przechowuje niesolone skróty MD5 w polu user_info.password. Osoba atakująca, która uzyska kolumnę haseł przez wyciek bazy danych lub udostępnienie kopii zapasowej, może złamać hasła za pomocą prekomputowanych tabel lub brute force na GPU, a następnie wykorzystać dane uwierzytelniające.

bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.

Powerlevel10k w wersji do 1.20.0 zawiera podatność niezabezpieczonego pobierania w skrypcie gitstatus/install, który wyłącza weryfikację certyfikatu TLS za pomocą curl -k i pomija kontrole integralności, gdy nie ma narzędzia SHA-256. Atakujący z pozycji sieciowej mogą przechwycić żądanie do lustra github.com i podstawić złośliwe archiwum, które jest uruchamiane jako demon gitstatusd na koncie użytkownika przy każdym wierszu poleceń.

Koillection w wersji do 1.8.4 zawiera podatność typu stored XSS. Uwierzytelnieni użytkownicy mogą przesyłać pliki HTML jako załączniki bez ograniczeń MIME, a pliki te są serwowane jako text/html z katalogu public/uploads, co pozwala na wykonanie JavaScriptu w sesji ofiary.

Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w metodzie Contracts::import(), która pozwala każdemu uwierzytelnionemu użytkownikowi importować dni wolne do dowolnego kontraktu z zewnętrznego URL. Atakujący może przesłać identyfikator kontraktu i URL przez POST, aby nadpisać kalendarze dni roboczych oraz wykorzystać get_headers() i fopen() do ataku SSRF na wewnętrzne hosty.

Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w akcjach exportLeaves, exportOvertime i exportEmployees kontrolera Hr, pozwalając każdemu uwierzytelnionemu użytkownikowi na eksport danych HR. Atakujący może wywołać hr/exportEmployees lub hr/exportLeaves/{id} i hr/exportOvertime/{id}, aby pobrać dane pracowników, w tym nazwiska, e-maile, kontrakty, przełożonych oraz rekordy urlopów i nadgodzin.

Jorani w wersji przed 1.0.4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować, usuwać i przeglądać wnioski innych pracowników, ponieważ autoryzacja opiera się tylko na nazwie operacji. Atakujący może podać numeryczne identyfikatory wniosków do Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete() i Leaves::history(), aby manipulować wnioskami o urlopy i nadgodziny oraz czytać historię urlopów.

Ikaros w wersjach od 1.2.0 do 1.2.5 zawiera podatność obejścia uwierzytelniania, która pozwala atakującym z ważnym hasłem pominąć weryfikację TOTP poprzez ponowne użycie tymczasowego tokenu logowania. Atakujący mogą przedstawić tymczasowy token z punktu końcowego jwt/apply jako bearer JWT, odświeżyć go lub użyć logowania HTTP Basic, aby uzyskać pełny dostęp do konta, w tym głównego administratora.

Luka w Portal for ArcGIS może pozwolić na wstrzyknięcie LDAP poprzez funkcjonalność administracyjną, która konstruuje zapytania wyszukiwania Active Directory lub LDAP bez wystarczającej neutralizacji danych wejściowych. Uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe, które modyfikują zamierzone zapytanie LDAP i powodują nieoczekiwane operacje w katalogu.

Wtyczka WP Event Solution do WordPressa zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.1.25.

Wtyczka Download Monitor integration for WooCommerce zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.0.3.

Wtyczka Premium Addons for Elementor zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.11.110.

W bibliotece libsndfile do wersji 1.2.2 występuje podatność w funkcji wavlike_subchunk_parse w pliku src/wavlike.c, związana z użyciem niezainicjowanej zmiennej podczas parsowania plików WAV. Podatność może być wykorzystana zdalnie, a exploit został publicznie ujawniony. Projekt został poinformowany o problemie, ale nie odpowiedział.

W bibliotece GPAC do wersji 26.07.0 występuje podatność w funkcji gf_m2ts_decode_ait w pliku src/media_tools/ait.c, związana z zapisem poza granicami bufora podczas parsowania AIT. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Dostępna jest poprawka o identyfikatorze 6d2c21a1a688abb20d0111b608db3b6f44d348f4.

W SourceCodester Online Reviewer System 1.0 wykryto podatność w funkcji PDO::prepare w pliku login/index.php. Manipulacja argumentami username/password prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty.

W SourceCodester Online Exam System 1.0 wykryto lukę w nieznanej funkcji pliku adminpanel/admin/query/loginExe.php w komponencie Login Endpoint. Manipulacja argumentami username/pass prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty.

W SourceCodester Art Gallery Management System 1.0 wykryto podatność wpływającą na funkcję Action::save_user w pliku admin/admin_class.php w komponencie Account Creation. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest już publiczny i może być użyty.

W produkcie Ivanti Neurons Patch for Intune występuje ujawniony niebezpieczny endpoint, który umożliwia zdalnemu uwierzytelnionemu atakującemu wyciek poufnych informacji uwierzytelniających.