Katalog podatności CVE

SnapOtter od wersji 1.15.10 do 2.2.0 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu podmiotowi na wywoływanie handlerów /api/v1/upload, /api/v1/preview i /api/v1/preview/generate bez sprawdzania uprawnień. Atakujący posiadający nawet klucz API z zakresem settings:read mogą przechowywać dowolne pliki poza limitem przydziału, serwowane bez uwierzytelnienia przez /api/v1/download, oraz dostarczać spreparowane dane do dekoderów obrazów i wideo.

W goose od wersji 1.28.0 do 1.44.0 występuje luka obejścia autoryzacji, która pozwala narzędziom działać bez zgody użytkownika w trybie Manual Approval. Adnotacje read-only utrwalone w sesji nie są czyszczone przez update_goose_mode, więc po użyciu trybu Smart Approval wywołania narzędzi z adnotacją readOnlyHint: true wykonują się bez pytania, omijając wybrany tryb zatwierdzania w PermissionInspector::inspect.

Telegram-Stremio do wersji 5.1.0 zawiera lukę złamanej autoryzacji na poziomie obiektu, która pozwala uwierzytelnionym posiadaczom tokenów uzyskać dostęp do dowolnych wiadomości czatu poprzez fałszowanie niepodpisanych identyfikatorów strumieni dekodowanych przez encode_string/decode_string. Atakujący mogą tworzyć lub enumerować sekwencyjne wartości msg_id i ustawić globalną flagę w punkcie końcowym stream_handler, aby kierować żądania przez osobiste konto Userbot operatora, ujawniając prywatne kanały, grupy i Saved Messages, a nieuwierzytelniony punkt końcowy thumb_handler dodatkowo ujawnia miniatury z tych samych czatów bez walidacji tokenu.

Cockpit CMS 2.14.1 zawiera lukę obserwowalnej rozbieżności czasowej, która pozwala nieuwierzytelnionym atakującym enumerować konta z powodu niekompletnej poprawki czasowej w /auth/check. Atakujący mogą wysyłać próby logowania i mierzyć czasy odpowiedzi, ponieważ istniejące konta wykonują dwie operacje bcrypt zamiast jednej, ujawniając prawidłowe nazwy użytkowników i adresy e-mail.

SPIP przed wersją 4.4.18 zawiera lukę server-side request forgery w funkcji recuperer_url() w ecrire/inc/distant.php, która podąża za maksymalnie 10 przekierowaniami bez ponownej walidacji celów za pomocą valider_url_distante(). Uwierzytelnieni atakujący mogą podać zdalny URL, taki jak kanał syndykowanego serwisu lub zdalny dokument, który przekierowuje do adresów wewnętrznych lub link-local, w tym punktów końcowych metadanych chmury.

ERPNext od wersji 9.0.0 do 16.50.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom przeglądać stany magazynowe poprzez metody batch na białej liście. Atakujący, w tym użytkownicy portalu klienta, mogą wywołać get_batch_qty, get_batches_by_oldest lub get_pos_reserved_batch_qty, aby wylistować każdą partię przedmiotów z ilościami na magazyn.

ERPNext od wersji 15.55.0 do 16.50.0 zawiera lukę nieprawidłowej autoryzacji w metodzie get_timesheet_html, która pozwala uwierzytelnionym użytkownikom portalu przeglądać Timesheets projektu. Metoda sprawdza tylko dostęp do odczytu projektu, ignorując hide_timesheets i członkostwo w projekcie, więc atakujący mogą uzyskać nazwy timesheetów, status, daty dzienników czasu i ostatnich modyfikujących.

Vercel deepsec od wersji 0.1.0 do 1.1.17 zawiera lukę podążania za linkami w extractTarballLocally, która pozwala kodowi w sandboxie zapisywać pliki poza sandboxem poprzez umieszczanie linków w tarballach wynikowych. Atakujący kontrolujący kod sandboxa, taki jak agent kodujący z wstrzykniętym promptem, mogą umieścić linki symboliczne lub twarde w katalogu danych hosta, aby zapisać dowolne pliki na hoście orkiestratora.

W Netcore NR268 1.7.121109 wykryto lukę w funkcji eval pliku dhcp_dynamicip_show.cgi komponentu DHCP Handler. Manipulacja argumentem Hostname prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być użyty; producent nie odpowiedział na zgłoszenie.

W itsourcecode Online Admission System 1.0 wykryto lukę bezpieczeństwa. Problem dotyczy nieznanego przetwarzania w pliku /admin/sum.php. Manipulacja argumentem ID prowadzi do sql injection. Atak można przeprowadzić zdalnie, a exploit został upubliczniony i może być użyty.

W itsourcecode Baptism Information Management System 1.0 zidentyfikowano słabość. Luka dotyczy nieznanego kodu w pliku pbaptism.php. Manipulacja argumentem b_id powoduje sql injection. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być użyty do ataków.

Pakiet @backstage/backend-defaults przed wersją 0.17.8 zawiera błąd niewłaściwej kontroli dostępu przy wywoływaniu akcji backendu. Uwierzytelniony użytkownik mógł wywołać akcje, które operator wykluczył w konfiguracji. Istniejące uprawnienia akcji i autoryzacja niższego poziomu pozostają egzekwowane.

HoloViz Panel od wersji 1.2.2 do 1.9.0 zawiera podatność open redirect w pliku panel/auth.py, pozwalającą zdalnym atakującym przekierować użytkowników przez niezweryfikowany parametr zapytania next. BasicLoginHandler i PasswordLoginHandler zapisują ten parametr w ciasteczku next_url, więc spreparowane linki logowania kierują ofiary do witryn kontrolowanych przez atakującego po udanym logowaniu.

Flower przed wersją 2.2.0 zawiera podatność cross-site request forgery, ponieważ mechanizm Tornado xsrf_cookies jest wyłączony, a ciasteczko sesji OAuth nie ma atrybutu SameSite. Atakujący mogą zwabić uwierzytelnionych użytkowników na złośliwe strony wysyłające żądania POST do /api/worker/shutdown, /api/worker/pool/restart lub /api/task/revoke, aby wyłączyć workery Celery, zmienić rozmiar puli i unieważnić zadania.

containerd przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5 zawiera błąd, w którym obsługa rozpakowywania warstw wielokrotnie przechodzi przez katalogi dla niektórych konfiguracji opaque whiteout. Złośliwa warstwa obrazu może wywołać powtarzające się przechodzenie przez katalogi podczas przetwarzania opaque whiteout. Pobranie lub zaimportowanie obrazu może zużywać CPU, opóźniać uruchamianie kontenerów i zmniejszać współbieżność pobierania obrazów dla niepowiązanych wdrożeń.

Tink-go (tink-crypto/tink-go) do wersji 2.8.0 zawiera podatność walidacji danych wejściowych, w której keyset.NewHandleWithNoSecrets() i ReadWithNoSecrets() pomijają krok strukturalnej walidacji Validate() przed utworzeniem keyset.Handle, pozwalając na akceptację zniekształconych zestawów kluczy publicznych lub bez sekretów, które naruszają niezmienniki Tink. Atakujący może dostarczyć zniekształcony zestaw kluczy, na przykład z włączonym kluczem publicznym bez prawidłowego klucza głównego lub kluczem DESTROYED bez KeyData, powodując niespójną walidację niższego poziomu, gdzie funkcje takie jak jwt.JWKSetFromPublicKeysetHandle() przetwarzają nieprawidłowy uchwyt i tworzą zestaw JWK, potencjalnie wprowadzając w błąd aplikacje polegające na pomyślnym utworzeniu uchwytu jako dowodzie integralności zestawu kluczy.

Klient NetEase Cloud Music dla Windows (cloudmusic.exe) w wersjach 3.1.38 i 3.1.39.205426 zawiera podatność słabego szyfrowania, w której treści odpowiedzi API /eapi/ i /xeapi/ są odszyfrowywane przy użyciu stałego, publicznie udokumentowanego klucza AES-128-ECB bez uwierzytelnienia integralności. Atakujący mogący przechwycić lub zainicjować odpowiedzi serwera mogą skonstruować prawidłowy szyfrogram pod znanym kluczem z dopełnieniem PKCS#7, umożliwiając klientowi akceptację sfałszowanych odpowiedzi API, co stanowi warunek wstępny dalszej eksploatacji, takiej jak osiągnięcie mostka os.navigateExternal.

W itsourcecode Baptism Information Management System 1.0 odkryto lukę bezpieczeństwa w nieznanej części pliku ebaptism.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany do ataków.

W getkirby Kirby do wersji 4.9.5/5.5.3 zidentyfikowano podatność w funkcji OptionsQuery::resolve w pliku src/Option/OptionsQuery.php komponentu Dynamic Option Generation. Manipulacja prowadzi do obejścia autoryzacji. Atak jest możliwy zdalnie. Aktualizacja do wersji 4.9.6 i 5.6.0 rozwiązuje ten problem.

W 1024-lab smart-admin do wersji 3.30.0 wykryto podatność w nieznanej funkcjonalności pliku /support/config/queryByKey komponentu Support Config Query. Manipulacja argumentem configKey może prowadzić do niewłaściwej kontroli dostępu. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.