Katalog podatności CVE

Nieuwierzytelniony zdalny atakujący może obejść uwierzytelnianie i uzyskać pełny dostęp do administracyjnych endpointów API w Nutanix Prism Element, dołączając spreparowany wewnętrzny nagłówek HTTP zarządzania. Podatność wynika z błędnej konfiguracji filtrów uwierzytelniania aplikacji. W konsekwencji serwer odpowiada nagłówkiem Set-Cookie zawierającym ważny JSESSIONID. Ten plik cookie sesji dekoduje się do JSON Web Token (JWT) przyznającego maksymalne uprawnienia administracyjne klastra. Skuteczne wykorzystanie pozwala atakującemu na wykonywanie poleceń na poziomie root na wszystkich maszynach wirtualnych kontrolera (CVM) w klastrze, prowadząc do całkowitego zniszczenia klastra i nieautoryzowanego dostępu do pamięci maszyn wirtualnych i dysków wirtualnych.

OpenPrinting CUPS przed wersją 2.4.20 ma błąd w funkcji copy_banner(), która używa wartości attributes-natural-language kontrolowanej przez atakującego jako komponentu ścieżki katalogu. Pozwala to na wyjście poza katalog bannerów i skopiowanie dowolnego pliku do obiektu spool, który może zostać dostarczony do atakującego.

Helium to darmowy internetowy planer dla uczniów. W wersjach przed 2.2.60 endpoint POST /planner/attachments/ pozwala uwierzytelnionym użytkownikom przesyłać załączniki SVG i HTML, ponieważ conf/configs/common.py pomija te formaty w BLOCKED_ATTACHMENT_EXTENSIONS i BLOCKED_ATTACHMENT_MIME_TYPES, a helium/planner/serializers/attachmentserializer.py opiera się na tych listach blokujących. Przesłany SVG serwowany jako image/svg+xml może wykonać osadzony skrypt, gdy odwiedzający otworzy publiczny URL załącznika, umożliwiając trwałą aktywną treść kontrolowaną przez atakującego i phishing pod adresem URL zarządzanym przez aplikację. Przechowywanie załączników używa oddzielnego origin niż aplikacja, więc polityka same-origin uniemożliwia skryptowi odczyt ciasteczek lub pamięci aplikacji, a przejęcie sesji aplikacji nie jest wspierane przez utrzymywaną konfigurację wdrożenia. Naprawiono w wersji 2.2.60.

Helium przed wersją 2.2.60 pozwala uwierzytelnionemu użytkownikowi na przesłanie dowolnego URL do POST /feed/externalcalendars/. Serwer używa validate_url tylko do sprawdzenia składni, a następnie pobiera URL przez urllib.request.urlopen, co umożliwia wymuszone żądania wychodzące i rozpoznanie wewnętrznych usług.

W systemie drukowania OpenPrinting CUPS funkcja copy_model() w pliku scheduler/ipp.c tworzy przewidywalną ścieżkę TempDir/<connection-number>.ppd w katalogu zapisywalnym dla grupy lp i otwiera ją jako root bez flag O_EXCL ani O_NOFOLLOW. Wykorzystanie wymaga procesu z grupy lp mogącego pisać do tego katalogu, przewidzenia nazwy pliku i podłożenia dowiązania symbolicznego przed otwarciem przez roota, przy jednoczesnym uprzywilejowanym działaniu add-printer lub modify-printer z modelem PPD. Podatność naprawiono w wersji 2.4.20.

W systemie drukowania OpenPrinting CUPS w wersjach przed 2.4.20 funkcja budująca opcje zadania (cupsdCreateJob w scheduler/job.c) mapuje wartości destination-uri i pre-dial-string z kolejki faksu na opcje phone i faxPrefix. Wartości te omijają sanitizer znaków kontrolnych i są kopiowane bezpośrednio do argumentu opcji filtra, co pozwala użytkownikowi uprawnionemu do zlecania zadań wstrzyknąć znaki kontrolne do strumienia opcji.

W systemie OpenPrinting CUPS w wersjach przed 2.4.20 funkcja quote_string() w backend/ipp.c zachowuje znaki powrotu karetki i nowej linii w komunikacie markera kontrolowanym przez zdalną drukarkę, zanim report_attr() zapisze wartość do strumienia statusu schedulera. Scheduler może zinterpretować wstrzykniętą nową linię jako osobną linię kontrolną PPD i zapisać wybrane przez atakującego słowo kluczowe PPD.

W bibliotekach NL Portal Backend publiczne resolvery GraphQL getFormDefinitionByObjectenApiUrl oraz przestarzały getFormDefinitionById są dostępne bez uwierzytelniania CommonGroundAuthentication i przekazują URL sterowany przez wywołującego przez ObjectenApiService.getObjectByUrl do ObjectsApiClient.getObjectByUrl, który dołącza uprzywilejowany token Objecten-API. Sprawdzenie zgodności hosta ogranicza żądania do skonfigurowanego hosta Objecten-API, ale nie ogranicza schematu, portu ani ścieżki. Linię 3.0 naprawiono w wersji 3.0.4; biuletyn nie wskazuje poprawionej wersji 3.1.

Biblioteka bincookie (parser plików binarycookies) przed wersją 0.1.9 zawiera błąd przepełnienia bufora w funkcji bincookie_init_file(). Funkcja alokuje bufor na podstawie rzeczywistego rozmiaru pliku, ale jako granicę pętli przy zamianie bajtów w page_sizes używa pola num_pages kontrolowanego przez plik, co pozwala na odczyt i zapis poza zaalokowaną pamięcią. Dodatkowo niezwalidowane rozmiary stron i cookie_offsets mogą powodować dalsze dostępy poza zakresem.

Wtyczka Discourse ActivityPub przed commitem 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5 nie weryfikuje wystarczająco, czy aktor uwierzytelniony podpisanym żądaniem jest tożsamy z aktorem Activity oraz czy jest właścicielem wskazywanego postu federacyjnego. Brak tych kontroli tożsamości i własności pozwala zdalnemu atakującemu edytować, usuwać lub odpowiadać na posty federacyjne bez wymaganych uprawnień.

W bibliotekach NL Portal Backend zarówno zapytanie GraphQL getDocumentContent, jak i trasa REST GET /api/documentapi/{documentapi}/document/{documentId}/content pozwalają każdemu uwierzytelnionemu użytkownikowi portalu pobrać dokument bez sprawdzenia własności lub innej autoryzowanej relacji do niego. Użytkownik z ważnym loginem i identyfikatorem dokumentu innej osoby może odczytać jego treść, która może zawierać wrażliwe dane osobowe. Podatność naprawiono w wersji 3.0.3.

Podatność zdalnego wykonania kodu w bibliotece rlottie używanej przez Telegram, wynikająca z braku właściwej walidacji danych dostarczonych przez użytkownika. Może prowadzić do zapisu przed początkiem zaalokowanego bufora. Wykorzystanie wymaga interakcji użytkownika — odwiedzenia złośliwej strony lub otwarcia złośliwego pliku.

Wtyczka WordLift do WordPressa zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.54.15.

Wtyczka JetSmartFilters firmy Crocoblock zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony), umożliwiającą atak Stored XSS. Podatność dotyczy wersji od n/a do 3.8.6.

Wtyczka AI Engine firmy Meow Apps zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.8.3.

Wtyczka Simply Schedule Appointments firmy NSquared zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 1.6.12.35.

Wtyczka Strong Testimonials firmy WP Chill zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.3.12.

Wtyczka APIExperts Square for WooCommerce firmy WPExperts zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 4.7.5.

Wtyczka MDTF (wp-meta-data-filter-and-taxonomy-filter) firmy PluginUs.Net zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony), umożliwiającą atak Stored XSS. Podatność dotyczy wersji od n/a do 1.4.0.

XXL-JOB w wersji do 3.5.0-SNAPSHOT zawiera podatność typu stored XSS na stronie listy logów zadań (/joblog). Uwierzytelniony użytkownik z uprawnieniami do grupy wykonawczej może wstrzyknąć dowolny JavaScript poprzez parametr executorParam w żądaniu POST /jobinfo/trigger.