Katalog podatności CVE

jshERP do wersji 3.6 zawiera podatność ujawnienia informacji, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytać sekrety konfiguracyjne całej platformy przez procedurę getInfoByKey kontrolera PlatformConfigController. Użytkownicy o niskich uprawnieniach z dowolnej dzierżawy mogą żądać dowolnych wartości platformKey, takich jak email_auth_code lub activation_code, aby uzyskać kody autoryzacji SMTP i sekrety aktywacyjne, ponieważ tylko klucze aliOss i weixin są blokowane.

jshERP do wersji 3.6 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytać dowolną księgę kont rozliczeniowych, podając dowolne accountId. Atakujący ograniczeni do zakresu danych osobowych lub działowych mogą wysyłać zapytania GET /account/findAccountInOutList, aby przeglądać numery rachunków, kontrahentów, kwoty i uwagi innych użytkowników w ramach dzierżawy.

jshERP do wersji 3.6 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom tworzyć wstępnie zatwierdzone rachunki, ustawiając status w żądaniach POST /depotHead/addDepotHeadAndDetail. Atakujący mogą podać status 1, aby pominąć kontrole uprawnień audytu i wielopoziomowe procesy zatwierdzania, tworząc rachunki zatwierdzone, które wpływają na stan magazynowy i zapytania raportowe.

jshERP do wersji 3.6 zawiera podatność nieprawidłowej autoryzacji w GET /supplier/exportExcel, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych ról egzekwowane przez /supplier/list. Atakujący ograniczeni do danych osobowych lub działowych mogą eksportować wszystkie rekordy dostawców, klientów i członków, ujawniając kontakty, numery telefonów, numery podatkowe, konta bankowe i salda.

jshERP do wersji 3.6 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ograniczonym do danych osobowych lub działowych na listowanie rachunków innych użytkowników poprzez dodanie wartości purchaseStatus. Atakujący mogą dodać purchaseStatus=0 do JSON-a wyszukiwania w GET /depotHead/list, co powoduje, że DepotHeadService.select usuwa filtr twórcy i ujawnia wszystkie rachunki zakupu, sprzedaży i magazynowe w dzierżawie.

jshERP do wersji 3.6 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom na odczyt danych z nieprzypisanych magazynów poprzez podanie parametrów depotId lub depotIds. Gdy włączone jest ograniczenie magazynów depot_flag, atakujący może wskazać dowolne identyfikatory magazynów w endpointach takich jak /depotItem/getMaterialDepotStockByParam, aby odczytać stany magazynowe, numery partii, dane sprzedażowe i wycenione pozycje faktur w obrębie tenanta.

jshERP do wersji 3.6 zawiera lukę braku autoryzacji w LogController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt dziennika audytu operacji tenanta. Użytkownicy o niskich uprawnieniach mogą wysyłać żądania GET do /log/list lub /log/info, aby wyświetlić nazwy logowania innych użytkowników, adresy IP klientów i wykonywane akcje.

jshERP do wersji 3.6 zawiera lukę braku autoryzacji w LogController, która pozwala każdemu uwierzytelnionemu użytkownikowi na fałszowanie, modyfikowanie lub usuwanie wpisów dziennika audytu. Użytkownicy o niskich uprawnieniach mogą wywoływać /log/add, /log/update, /log/delete i /log/deleteBatch, aby tworzyć fałszywe wpisy, zmieniać pola użytkownika i IP lub usuwać rekordy w celu ukrycia aktywności.

MoguBlog do wersji 6.2 zawiera lukę złamanej kontroli dostępu, która pozwala uwierzytelnionym administratorom na przenoszenie lub zmianę nazw plików dysku sieciowego innych administratorów poprzez podanie ich ścieżek plików. Atakujący mogą wysyłać spreparowane żądania do POST /networkDisk/moveFile, batchMoveFile lub edit, które aktualizują wiersze bez sprawdzania admin_uid, przenosząc lub zmieniając nazwy plików i folderów innych użytkowników.

MoguBlog do wersji 6.2 zawiera lukę niezabezpieczonego bezpośredniego odwołania do obiektu, która pozwala uwierzytelnionym administratorom na usuwanie plików innych administratorów poprzez POST /networkDisk/deleteFile i batchDeleteFile. Atakujący mogą podać uid pliku lub folderu innego administratora, którego NetworkDiskServiceImpl.deleteFile nigdy nie sprawdza względem admin_uid, usuwając obiekty z lokalnego magazynu, Qiniu lub MinIO.

MoguBlog do wersji 6.2 zawiera lukę niezabezpieczonego bezpośredniego odwołania do obiektu, która pozwala uwierzytelnionym administratorom na wyświetlanie plików dysku sieciowego innych administratorów poprzez POST /networkDisk/getFileList. Atakujący mogą odpytywać endpoint, który filtruje tylko według statusu, typu pliku lub filePath, a nigdy według admin_uid, aby uzyskać nazwy plików i adresy URL do pobrania innych administratorów.

MoguBlog do wersji 6.2 zawiera lukę ujawnienia informacji, która pozwala niskouprzywilejowanym użytkownikom front-endu na odczyt poświadczeń systemowych poprzez endpoint getSystemConfig. Atakujący mogą podać zwykły token sesji czytelnika, aby uzyskać niefiltrowane dane SystemConfig, ujawniając klucze tajne Qiniu i MinIO oraz hasła do skrzynek SMTP.

yshop-crm do wersji 2.1.3 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi back-office na zatwierdzanie lub odrzucanie faktur poprzez POST /admin-api/crm/invoice/check. Handler check w CrmInvoiceController nie ma adnotacji @PreAuthorize, a sprawdzenia zatwierdzającego są zakomentowane, co pozwala atakującym obejść proces zatwierdzania faktur, podając dowolny identyfikator faktury.

yshop-crm do wersji 2.1.3 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi back-office na zatwierdzanie lub odrzucanie rekordów należności poprzez wywołanie POST /admin-api/crm/contract-receivables/check. Handler nie ma sprawdzenia @PreAuthorize, a sprawdzenia zatwierdzającego w CrmContractReceivablesServiceImpl.check są zakomentowane, więc atakujący mogą zatwierdzać rekordy po identyfikatorze, zawyżając return_money kontraktu i fałszując dzienniki zatwierdzeń.

yshop-crm do wersji 2.1.3 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi back-office na zatwierdzanie lub odrzucanie kontraktów poprzez wywołanie POST /admin-api/crm/contract/check. Ponieważ CrmContractController nie ma @PreAuthorize, a sprawdzenia zatwierdzającego są zakomentowane, atakujący mogą zatwierdzać kontrakty, aby zmienić dane transakcji i zakupów klienta, lub odrzucać je, aby zwrócić produkty do magazynu.

lamp-cloud do wersji 5.10.1 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom na listowanie załączników plików innych obiektów biznesowych poprzez podanie dowolnego identyfikatora biznesowego (bizId) do punktu końcowego listFileByBizId. Atakujący mogą pobrać nazwy plików, ścieżki przechowywania, hasze MD5 i adresy URL, które w domyślnej konfiguracji LOCAL są udostępniane bez logowania pod /anyTenant/file.

TDuck survey form do wersji 6.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w obsłudze saveFormTheme, która pozwala uwierzytelnionym użytkownikom na nadpisywanie motywów formularzy innych użytkowników. Atakujący, których formularz nie ma motywu, mogą przesłać sekwencyjny identyfikator motywu innego formularza wraz z własnym formKey, zastępując jego kolory i adresy URL obrazów oraz usuwając motyw ofiary.

lamp-cloud do wersji 5.10.1 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom na uzyskanie adresów URL przechowywania plików innych użytkowników poprzez podanie dowolnych identyfikatorów plików. Atakujący mogą wysłać identyfikatory plików innych użytkowników do handlera findUrlById kontrolera FileAnyoneController, który nigdy nie sprawdza własności, aby uzyskać adresy URL dostępu i odczytać przesłane załączniki.

TDuck survey form do wersji 6.0 zawiera podatność uszkodzonej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na dodawanie pól do formularzy innych użytkowników poprzez POST /user/form/item/batch/create. Atakujący mogą przesłać tablicę, której pierwszy element odnosi się do ich własnego formularza, a kolejne elementy odnoszą się do formKey ofiary, wstrzykując wybrane przez atakującego pola na publiczną stronę wypełniania ofiary.

RT-Thread do wersji 5.3.0 zawiera podatność uszkodzenia pamięci w sterowniku legacy USB CDC virtual COM port, który aliasuje rx_ringbuffer jako Serial V2 rt_serial_rx_fifo w _function_enable(). Podłączony host USB konfigurujący urządzenie CDC wyzwala zapisy poza bufor pierścieniowy do elementów struktury vcom oraz nieprawidłowe wywołanie rt_free() przy zamknięciu, powodując odmowę usługi.