Katalog podatności CVE

XXL-JOB w wersji do 3.5.0-SNAPSHOT jest podatny na stored XSS w edytorze kodu GLUE. Metoda JobCodeController.save() przechowuje parametr glueSource bez kodowania wyjściowego, a szablon FreeMarker job.code.ftl renderuje zapisaną wartość bez escapowania.

Biblioteka tinytag w wersji od 2.0.0 do 2.3.0 może wejść w nieskończoną pętlę podczas parsowania pliku M4A zawierającego pod-atom o rozmiarze zero wewnątrz atomu ----. Parser metadanych wielokrotnie przetwarza błędną lokalizację, co powoduje zawieszenie programu czytającego plik.

W bibliotece @libp2p/webrtc przed wersją 6.0.28 listener webRTCDirect() w Node.js przetwarza nieuwierzytelnione żądania STUN Binding przed uwierzytelnieniem PeerId, Noise, multipleksowaniem i negocjacją protokołu. Kontrolowane przez pakiet pole request.ufrag jest przekazywane do DirectRTCPeerConnection.setLocalDescription i używane jako hasło ICE bez walidacji długości i zestawu znaków, co powoduje nieobsłużony wyjątek native invalid_argument i przerwanie procesu sygnałem SIGABRT.

Wtyczka Booking and Rental Manager dla WooCommerce (do wersji 2.8.0) zawiera podatność niewłaściwej walidacji ilości w danych wejściowych. Może to prowadzić do usunięcia ważnej funkcjonalności klienta.

Biblioteka AsyncHttpClient w wersjach od 2.0.0 do 2.16.1 oraz 3.0.12 przechowuje stan wznawianych pobrań w przewidywalnej współdzielonej ścieżce $java.io.tmpdir/ahc/ResumableAsyncHandler.properties z domyślnymi uprawnieniami i operacjami podążającymi za linkami. Lokalny użytkownik może odczytać adresy URL pobrań lub, jeśli może pisać w tym katalogu, podłożyć dowiązanie symboliczne prowadzące do nadpisania pliku. Podatność dotyczy przypadku, gdy ResumableAsyncHandler dekoruje inny AsyncHandler; konstruktory bezargumentowe używają procesora no-op i nie są podatne. Naprawiono w wersjach 2.16.1 i 3.0.12.

W bibliotece wildfly-core, używanej przez WildFly i JBoss EAP do zarządzania wdrożeniami, występuje luka w funkcji ContentRepositoryImpl.copyExplodedContent. Atakujący z rolą Deployer RBAC może użyć sekwencji przejścia ścieżki (path traversal) do dostępu do plików poza katalogiem wdrożeń, co umożliwia usunięcie dowolnych katalogów lub utworzenie plików o dowolnej treści i pełną eskalację uprawnień do roli SuperUser.

Podatność typu Directory Traversal w Grav CMS w wersjach od 2.0.3 do 2.0.6 pozwala zdalnemu atakującemu uzyskać dostęp do poufnych informacji poprzez plik GravExtension.php i metodę mediaDirFunc.

Problem w Matomo w wersji 5.11.2 pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez komponent SiteContentDetector / SitesManager.

W Lychee w wersjach przed 7.7.1 przepływ POST /api/v2/Shop/Checkout/Process akceptuje nieograniczoną tablicę additional_data, która jest scalana po parametrach zakupu obliczonych przez serwer. Nieuwierzytelniony kupujący może zastąpić kwotę, walutę, returnUrl, cancelUrl lub transactionId przed przekazaniem do bramki Omnipay, co pozwala na niedopłatę i uzyskanie towarów.

Lychee to darmowe narzędzie open source do zarządzania zdjęciami. Przed wersją 7.7.0 endpoint GET /docs/api udostępnia niezalogowanym wywołującym dokumentację OpenAPI generowaną przez Scramble zgodnie z konfiguracją config/scramble.php, a obserwowany rozmiar i opóźnienie odpowiedzi sugerują, że schemat jest regenerowany bez cache na poziomie aplikacji. Zdalny atakujący może wielokrotnie odpytywać nieograniczony (bez throttlingu) endpoint, zużywając CPU serwera i uzyskując szczegółową mapę API oraz schematu parametrów.

W Lychee w wersjach przed 7.7.0 obsługa PDF przez ImageMagick z Ghostscript nie stosuje skutecznego limitu wymiarów stron PDF w ImagickHandler::loadPdf(). Uwierzytelniony użytkownik może przesłać mały plik PDF z nadmiernym /MediaBox, powodując zużycie znacznych zasobów CPU i zablokowanie kolejki przetwarzania obrazów.

W Lychee w wersjach przed 7.7.0 ukryty dostawca testowy Omnipay Dummy może być użyty przez kupującego (w tym gościa) poprzez bezpośrednie przesłanie go w żądaniu, ponieważ CreateSessionRequest nie wymusza OmnipayProviderType::isAllowed(). Umożliwia to zakończenie przepływu bramki testowej bez rzeczywistej płatności i zwolnienie przedmiotu zakupu, jeśli włączone jest automatyczne realizowanie.

W Lychee w wersjach przed 7.6.4 kontroler SecurePathController obsługujący GET /image/{path} łączy ścieżkę kontrolowaną przez atakującego z katalogiem głównym magazynu i wykonuje sprawdzenie prefiksu przed kanonikalizacją segmentów kropek. W określonej konfiguracji nieadministracyjnej każdy uwierzytelniony użytkownik może odczytać pliki spoza dozwolonego katalogu, w tym konfigurację aplikacji i prywatne obrazy innych użytkowników.

W Lychee w wersjach przed 7.6.3 punkt końcowy GET /api/v2/Zip autoryzuje archiwa albumów i zdjęć poprzez AlbumPolicy::canDownload() i PhotoPolicy::canDownload() bez uprzedniego wymuszenia AlbumPolicy::canAccess(). Dla publicznego, chronionego hasłem albumu z włączonym grants_download, nieuwierzytelniony atakujący znający identyfikator albumu może pobrać archiwum ZIP bez podania hasła.

W Lychee w wersjach przed 7.6.1 punkt końcowy POST /api/v2/Album::unlock nie ma ograniczeń liczby prób, licznika prób, opóźnienia, CAPTCHA ani blokady. Zdalny nieuwierzytelniony atakujący znający identyfikator albumu może zautomatyzować zgadywanie hasła do chronionego albumu i uzyskać dostęp do prywatnej kolekcji zdjęć.

Lychee to narzędzie do zarządzania zdjęciami. Przed wersją 7.6.1, gdy photos_star_visibility ma wartość anonymous, endpoint POST /api/v2/Photo::highlight może pobrać i zmodyfikować zdjęcie bez potwierdzenia, że wywołujący może je zobaczyć. Nieuwierzytelniony atakujący mogący odgadnąć identyfikatory zdjęć może rozróżnić istniejące prywatne zdjęcia po różnych odpowiedziach oraz zmienić ich stan is_highlighted, w tym zdjęć w prywatnych lub chronionych hasłem albumach. Problem dotyczy instalacji z nie-domyślnym ustawieniem anonymous. Naprawiono w wersji 7.6.1.

Lychee to narzędzie do zarządzania zdjęciami. Przed wersją 7.6.0 przepływ POST /api/v2/Photo::fromUrl waliduje nazwę hosta i rozwiązane adresy w app/Rules/PhotoUrlRule.php, ale następnie przekazuje oryginalną nazwę hosta przez app/Actions/Import/FromUrl.php do app/Image/Files/DownloadedFile.php w celu osobnego połączenia fopen. Uwierzytelniony atakujący kontrolujący odpowiedzi DNS może sprawić, że walidacja zobaczy publiczny adres, a kolejne pobranie rozwiąże tę samą nazwę na adres prywatny lub zabroniony. Ta niezgodność DNS rebinding typu time-of-check to time-of-use omija zabezpieczenia SSRF i może dotrzeć do usług dostępnych z serwera Lychee. Naprawiono w wersji 7.6.0.

Lychee to darmowe narzędzie open source do zarządzania zdjęciami. Przed wersją 7.6.0 Lychee pozwala uwierzytelnionemu użytkownikowi z uprawnieniami edycji albumu zapisać URI javascript w opisie Markdown albumu lub zdjęcia, ponieważ config/markdown.php włącza allow_unsafe_links. Pliki PreformattedPhotoData.php i PreFormattedAlbumData.php konwertują opis do HTML, a komponenty galerii renderują ten HTML przez v-html, co pozwala odwiedzającemu klikającemu renderowany link na wykonanie kontrolowanego przez atakującego JavaScriptu w origin Lychee.

Deserializacja niezaufanych danych w komponencie importu danych grafu Gremlin w silniku Amazon Neptune może pozwolić uwierzytelnionemu zdalnemu podmiotowi ze standardowymi uprawnieniami do bazy danych na wykonanie dowolnego kodu i dostęp do wewnętrznych poświadczeń usługi. Aby rozwiązać ten problem, użytkownicy niezapisani do automatycznej aktualizacji powinni zaktualizować silnik Amazon Neptune do wersji 1.5.0.0 (backporty do 1.4.8.1 i 1.4.7.1).

Wtyczka XStore dla WordPress zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach wcześniejszych niż 9.7.9.