Katalog podatności CVE

January, usługa proxy/embed mediów stoatchat, przed wersją 0.15.5 nieprawidłowo rozwiązuje wartości SVG <image href> jako lokalne ścieżki systemu plików, gdy pobrany zasób jest serwowany jako image/svg+xml. Nieuwierzytelniony zdalny atakujący, który spowoduje, że usługa pośredniczy w hostowanym przez atakującego SVG, może ustalić istnienie plików lokalnych na podstawie różnic w czasie odpowiedzi oraz ujawnić obsługiwane lokalne pliki obrazów po ponownym kodowaniu.

Wtyczka Grav Data Manager w wersjach od 1.0.1 do 1.4.4 renderuje przechowywane wpisy danych w widoku szczegółów elementu bez escapowania, stosując filtr Twig `raw`. Nieuwierzytelniony odwiedzający, który wyśle formularz front-endowy, którego zgłoszenia są zapisywane w user/data, może zapisać ładunek HTML, który wykona się jako JavaScript w sesji i origin administratora, gdy ten otworzy wpis w klasycznym panelu administracyjnym.

Wtyczka Comments dla Grav CMS do wersji 1.2.10 rejestruje handler administracyjny, który zwraca dane komentarzy jako JSON bez sprawdzenia uwierzytelnienia. Handler opiera się na isAdmin(), co wskazuje jedynie, że usługa administracyjna jest zarejestrowana na bieżącej trasie, a nie że odwiedzający jest uwierzytelniony. Na stronie z klasyczną wtyczką Admin i włączoną wtyczką Comments nieuwierzytelniony zdalny atakujący może zażądać /admin/comments/page:<n> i pobrać wszystkie komentarze z ostatnich 7 dni, w tym adresy e-mail komentujących i bezwzględną ścieżkę systemu plików do pliku danych.

Grav to flat-file CMS. W wersjach 2.0.19 do 2.0.24 — oraz w 2.0.0 do 2.0.18 i 1.7.x tylko tam, gdzie Twig treści został jawnie włączony — treść strony autorstwa użytkownika z uprawnieniem tylko do zapisu strony jest renderowana przez sandbox Twig, który zezwala na get_cookie(), zwracający dowolny cookie wysłany z bieżącym żądaniem, w tym cookie sesji odwiedzającego. Grav przechowuje gotowy wynik po Twig w cache treści strony kluczowanym tylko na tożsamości strony i sumie kontrolnej konfiguracji, bez wymiaru sesji, użytkownika czy żądania.

Grav CMS 2.0.14 do 2.0.24 zawiera podatność na eskalację uprawnień w blueprintach grup i kont. Klucze kropkowe, takie jak `access.admin.super`, omijają zabezpieczenia i pozwalają operatorowi z uprawnieniami admin.users na nadanie sobie pełnych uprawnień super-admina.

Grav przed wersją 2.0.25 zawiera przykładowe pliki konfiguracji serwera WWW, w których reguły blokowania dostępu są dopasowywane z uwzględnieniem wielkości liter. W pliku web.config (IIS) każda reguła deny ustawia ignoreCase="false", co pozwala ominąć zabezpieczenia przez zmianę wielkości liter w ścieżce lub rozszerzeniu pliku. Na systemach plików NTFS (niewrażliwych na wielkość liter) nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych, takich jak sekrety konfiguracyjne czy hashe haseł.

Netty HttpServerCodec do wersji 4.2.17.Final i 4.1.137.Final niepoprawnie paruje odpowiedzi z żądaniami przy pipeliningu HTTP/1.1 z nagłówkiem Expect: 100-continue, co prowadzi do rozdzielania odpowiedzi i niebezpiecznego ponownego użycia połączenia.

Netty w wersjach od 4.2.11.Final do 4.2.18.Final ma niekompletną weryfikację nazwy hosta w ścieżce certyfikacji QUIC przy użyciu zwykłego X509TrustManager, co pozwala atakującemu na przedstawienie certyfikatu dla niewłaściwej nazwy hosta.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.2.Final do 4.2.17.Final buduje pseudo-nagłówek :authority na podstawie nagłówka Host, ignorując nadrzędność authority z absolute-form request-target, co prowadzi do konfuzji autorytetu.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.2.Final do 4.2.17.Final nie obsługuje specjalnie metody CONNECT z formą authority-form, co prowadzi do tworzenia wadliwych żądań CONNECT w HTTP/3 z autorytetem kontrolowanym przez atakującego.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.0.Final do 4.2.17.Final zawiera podatność na niekontrolowane zużycie zasobów w dekoderze instrukcji strumienia QPACK, pozwalając atakującemu na zadeklarowanie ogromnej długości literału, co prowadzi do nieograniczonego wzrostu bufora i wyczerpania pamięci (OOM).

Dekoder prefiksowanych liczb całkowitych QPACK w Netty (netty-codec-http3) od 4.2.0.Final do 4.2.17.Final nie ogranicza liczby bajtów kontynuacji, co pozwala atakującemu na wywołanie wysokiego zużycia CPU (O(N^2)) i wzrostu pamięci, prowadząc do OOM i zagłodzenia event-loop.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.0.Final do 4.2.17.Final przetrzymuje nieograniczony stan enkodera QPACK dla każdego strumienia, co przy braku potwierdzeń sekcji pozwala na nieograniczony wzrost pamięci i wyczerpanie zasobów (DoS).

SiYuan w wersjach do 3.8.3 włącznie ma błąd w mechanizmach uwierzytelniania (CheckAuth w kernel/model/session.go oraz IsSessionOriginAllowed w kernel/util/net.go), które zawodzą w bezpieczny sposób, gdy brakuje nagłówka Origin. Przeglądarki pomijają Origin przy nawigacjach GET cross-site top-level oraz ładowaniu podzasobów no-cors GET, a ciasteczko sesji ma SameSite=Lax, więc pojedyncze żądanie GET z wrogiej strony otrzymuje rolę RoleAdministrator. W połączeniu z sniffingiem typu zawartości na /api/network/proxy pozwala to nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego skryptu w origin SiYuan, wywołanie API administratora i eksfiltrację tokenu API.

SiYuan w wersjach 3.7.0 do 3.8.4 zawiera podatność stored XSS w rendererach galerii i baz danych kanban, gdzie opisy pól nie są escapowane w atrybutach aria-label. W aplikacji desktopowej Electron z włączonym nodeIntegration atakujący może wstrzyknąć JavaScript wywołujący API Node.js child_process w celu wykonania dowolnych poleceń z uprawnieniami użytkownika.

SiYuan przed wersją 3.8.4 zawiera podatność SQL injection w punkcie końcowym zapytań grafowych, gdzie parametr dailyNoteSavePath jest łączony z SQL bez escapowania. Nieuwierzytelnieni atakujący na opublikowanych stronach z wyłączonym uwierzytelnianiem mogą wstrzyknąć SQL poprzez UNION SELECT, aby wyodrębnić dowolne wiersze z bazy danych ze wszystkich notatników.

SiYuan w wersjach przed 3.8.4 nie escapuje prawidłowo czterech przechowywanych wartości Attribute View w elementach textarea, co pozwala uwierzytelnionym atakującym wstrzyknąć JavaScript poprzez modyfikację opisów pól, źródeł szablonów, opisów opcji select lub szablonów obliczeń stopki. Atakujący mogą wykonać przechowywany JavaScript, gdy inni użytkownicy otworzą dotknięte menu bazy danych, a w aplikacji Electron z nodeIntegration prowadzi to do wykonania poleceń z uprawnieniami procesu SiYuan.

SiYuan w wersjach od 2.1.0 przed 3.8.4 zawiera podatność CSRF w gałęzi obejścia blokady ekranu CheckAuth, która przyznaje dostęp administratora żądaniom z loopback bez walidacji nagłówków Origin. Atakujący mogą tworzyć złośliwe strony internetowe, które zmuszają ofiary do zakończenia procesu jądra, odczytu konfiguracji przestrzeni roboczej i ustawień proxy oraz wywołania akcji administracyjnych poprzez żądania cross-origin bez poświadczeń z przeglądarki ofiary.

SiYuan przed wersją 3.8.4 nie escapuje HTML przechowywanej zawartości bloków fiszek przed interpolacją do znaczników listy menedżera kart. Zawartość bloku zwracana przez /api/riff/getRiffCards jest wstawiana do szablonu elementu karty w app/src/card/viewCards.ts i przypisywana do listElement.innerHTML, więc treść taka jak <img src=invalid onerror=...> staje się wykonywalnym atrybutem obsługi zdarzeń. Ponieważ główne okno SiYuan (Electron) jest tworzone z nodeIntegration i wyłączonym contextIsolation, administrator otwierający menedżer kart w przestrzeni roboczej z wrogą zawartością fiszek wykonuje skrypt atakującego w uprzywilejowanym rendererze, co może prowadzić do wykonania dowolnego kodu na hoście.

SiYuan v3.8.3 nie escapuje HTML atrybutu data-subtype podczas generowania znaczników przycisków gutter (app/src/protyle/gutter/button.ts, przypisywane przez innerHTML w app/src/protyle/gutter/index.ts) z zawartości wklejonej jako zwykły tekst Markdown zawierający listę atrybutów inline Kramdown (IAL). Ponieważ współdzielony renderer Lute parsuje Kramdown IAL z wejścia text/plain, wrogi fragment Markdown używający encji cudzysłowów w data-subtype wychodzi z wartości atrybutu, gdy znaczniki gutter są ponownie parsowane przez przeglądarkę, wstrzykując dodatkowe atrybuty takie jak autofocus i onfocus. Jeśli ofiara wklei spreparowany Markdown i dotknięty element gutter otrzyma fokus, wstrzyknięty handler zostanie wykonany; w aplikacji Electron z nodeIntegration i wyłączonym contextIsolation prowadzi to do wykonania JavaScript z uprawnieniami Node.js renderera (zdalne wykonanie kodu).