Katalog podatności CVE

Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą trwale usuwać dowolne komentarze lekcji Academy i ich odpowiedzi, napisane przez dowolnego użytkownika, w tym administratorów, w kursach, których nie prowadzą. Luka jest wykorzystywalna przez każdego użytkownika zarejestrowanego jako instruktor Academy dla co najmniej jednego kursu, ponieważ mogą podać własne course_id, aby przejść kontrolę instruktora, celując w komentarze należące do zupełnie innych kursów.

Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na eskalację uprawnień. Funkcja `add_child()` nadaje rolę `academy_student` każdemu istniejącemu kontu na podstawie parametru `email` przed walidacją relacji opiekun-podopieczny, a gdy walidacja zwróci błąd, nie cofa nadania roli. Umożliwia to uwierzytelnionym atakującym z rolą `academy_guardian` lub wyższą podniesienie uprawnień dowolnego konta, w tym własnego, do roli `academy_student`, zyskując możliwość edycji postów (jak Contributor) i, przy włączonym ustawieniu przesyłania plików, przesyłania plików (jak Author).

Shiny for Python to framework do budowania interaktywnych aplikacji webowych w Pythonie. Od wersji 1.4.0 do 1.6.4 funkcja przywracania zakładek przyjmuje state_id dostarczone przez klienta i dołącza je do katalogu shiny_bookmarks po stronie serwera bez walidacji, czy jest to pojedynczy bezpieczny segment ścieżki. Nieuwierzytelnione żądanie może użyć segmentów katalogu nadrzędnego lub ścieżki absolutnej, aby zmusić serwer do otwarcia plików input.json i values.json poza magazynem zakładek, nawet gdy bookmark_store jest ustawione na disable. W aplikacjach skonfigurowanych z bookmark_store ustawionym na server i używających ui.input_file(), procedura obsługi przywracania może dodatkowo skopiować i ujawnić plik wybrany przez atakującego z katalogu wybranego przez atakującego. Problem został naprawiony w wersji 1.6.4.

Mindwtr to darmowa aplikacja do zarządzania zadaniami offline-first na komputery i urządzenia mobilne. Przed wersją 1.1.5 aplikacja mobilna zapisuje token nosiciela synchronizacji w chmurze oraz hasło WebDAV w niezaszyfrowanym AsyncStorage pod kluczami @mindwtr_cloud_token i @mindwtr_webdav_password. Osoba mająca dostęp do bazy danych aplikacji lub ujawnionej kopii zapasowej urządzenia może odzyskać te poświadczenia i użyć ich do dostępu do zsynchronizowanych zadań i załączników użytkownika. Problem został naprawiony w wersji 1.1.5.

CiviForm upraszcza aplikacje o świadczenia rządowe poprzez ponowne wykorzystanie danych wnioskodawcy w wielu aplikacjach. Przed wersją 3.33.0, GET /admin/tiDash/editClientForm/:accountId weryfikuje, że żądający jest Zaufanym Pośrednikiem, ale showEditClientForm wykonuje surowe wyszukiwanie lookupAccount(accountId) bez potwierdzenia, że konto obywatela należy do grupy trustedIntermediaryGroup żądającego. Uwierzytelniony Zaufany Pośrednik może wyliczać wartości accountId i odczytywać wyświetlaną nazwę wnioskodawcy, w tym imię i nazwisko oraz adres e-mail obywatela, dla kont spoza grupy pośrednika. Problem został naprawiony w wersji 3.33.0.

Jexactyl to konfigurowalny panel do zarządzania grami i system rozliczeniowy. Od wersji 4.0.0 do 4.0.5 endpoint POST /api/client/billing/free/process akceptuje kontrolowany przez klienta server_id i ładuje serwer bez ograniczania wyszukiwania do serwerów należących do uwierzytelnionego konta. W instalacjach z włączonym rozliczaniem uwierzytelniony użytkownik może odnowić lub wznowić rozliczany serwer innego dzierżawcy, gdy jego renewal_date jest niepuste i przypada więcej niż siedem dni w przyszłości, nawet bez relacji podużytkownika do tego serwera. Problem został naprawiony w wersji 4.0.5.

Contao to otwartoźródłowy CMS. Od wersji 5.7.0 do 5.7.12 metoda TableAccessVoter::hasAccessToModule() w pliku core-bundle/src/Security/Voter/DataContainer/TableAccessVoter.php buforuje decyzje autoryzacyjne używając tylko $tokenHash, hasha tokenu bezpieczeństwa użytkownika, i pomija tabelę zwracaną przez getDataSource(). Jeśli jedno żądanie najpierw sprawdza tabelę dozwoloną dla użytkownika, a następnie inną zabronioną tabelę, voter może ponownie użyć dozwolonego wyniku, podczas gdy DefaultDataContainerVoter może przekonwertować nieprawidłowe wstrzymanie się od głosu na zgodę. Użytkownik backendu z niskimi uprawnieniami może w konsekwencji odczytywać, tworzyć, aktualizować lub usuwać rekordy w tabelach poza przypisanymi uprawnieniami modułu, w tym tabele zawierające dane członków lub subskrybentów newslettera. Problem został naprawiony w wersji 5.7.12.

Contao to otwartoźródłowy CMS. Od wersji 5.7.1 do 5.7.12 plik core-bundle/config/services.yaml rejestruje voter dostępu podglądu jako Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter, mimo że dostarczona klasa to PreviewVoter. Symfony w związku z tym pomija autokonfigurację votera i usuwa prywatną usługę, więc PreviewVoter::hasAccess() nigdy nie egzekwuje własności. Użytkownik backendu niebędący administratorem z modułem preview_link może wyświetlić wszystkie rekordy tl_preview_link, uzyskać podpisane adresy URL udostępniania utworzone przez innych użytkowników i użyć ich do wyświetlenia nieopublikowanych stron z showUnpublished, mimo braku uprawnień do strony. Doradztwo nie potwierdza edycji ani usuwania cudzych linków. Problem został naprawiony w wersji 5.7.12.

Contao, system CMS, w wersjach od 5.0.0 do 5.3.50 i 5.7.12, ma podatność w ImagesController, który łączy parametr {path} z katalogiem docelowym obrazów bez weryfikacji, czy ścieżka kanoniczna pozostaje w tym katalogu. Nieuwierzytelniony atakujący może użyć zakodowanych segmentów ścieżki nadrzędnej, aby uzyskać dostęp do plików w katalogu projektu, jeśli ich rozszerzenia są dozwolone. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.

Contao, system CMS, w wersjach od 4.1.0 do 5.3.50 i 5.7.12, ma podatność w ModuleRegistration::compile(), która pozwala na wykonanie gałęzi rejestracji uzupełniającej na dowolnym POST do strony z modułem rejestracji bez weryfikacji FORM_SUBMIT lub wyniku captcha. Funkcja resendActivationMail() może wywołać OptInToken::send() bez ograniczania szybkości, co pozwala nieuwierzytelnionemu atakującemu na wielokrotne wysyłanie e-maili aktywacyjnych i sprawdzanie, czy istnieje oczekująca rejestracja. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.

Contao, system CMS, w wersjach od 4.0.0 do 5.3.50 i 5.7.12, ma podatność w ModuleSearch, która może ujawnić tytuły, adresy URL i fragmenty indeksowane chronionych stron nieuwierzytelnionym odwiedzającym, gdy ustawienie contao.search.index_protected zostanie zmienione z włączonego na wyłączone. Metadane autoryzacji są przechowywane per wiersz w tl_search, ale wyłączenie ustawienia usuwa filtr chronionych wierszy bez usuwania wierszy zindeksowanych, gdy ochrona była włączona. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.

AWS Amplify API Category przed wersją 3.1.2 ma podatność w resolverach zapytań generowanych przez @aws-amplify/graphql-index-transformer, która może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na odczyt rekordów należących do innych użytkowników tej samej aplikacji poprzez spreparowane zapytania. Problem został naprawiony w wersji 3.1.2 pakietu @aws-amplify/graphql-index-transformer.

pacioli, narzędzie do zarządzania uprawnieniami dla ERPNext, w wersjach od 0.9.6 do 0.10.0, ma podatność w warstwie zgody dokumentów pacioli-guard, która pozwala na zagnieżdżone operacje anulowania, które mogą wykorzystać zgodę ustanowioną przez otaczający akt bez sprawdzenia, czy marker autoryzuje anulowanie. Poświadczenie z zakresem API Key Scope.require_consent może przesłać dokument kontrolowany przez atakującego pod ważnym markerem i dotrzeć do Document.cancel() dla innego istniejącego dokumentu, omijając powiązania markera, jednorazowe użycie i audyt odmowy. Problem został naprawiony w wersji 0.10.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, przed wersją 3.8.1, ma podatność w funkcji internal/cookies.ParseCookies, która inaczej obsługuje kontrolne znaki ASCII i nazwy ciasteczek składające się tylko z kontroli lub puste niż kilka backendowych parserów ciasteczek. Nieuwierzytelniony atakujący może spreparować nagłówek Cookie tak, aby Coraza indeksowała lub pomijała ciasteczko pod inną nazwą lub wartością niż backend, co powoduje, że reguły dotyczące REQUEST_COOKIES lub REQUEST_COOKIES_NAMES nie wykrywają danych widocznych dla aplikacji. Problem został naprawiony w wersji 3.8.1.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w pętli multipart w internal/bodyprocessors/multipart.go, która wykonuje defer temp.Close() dla każdej części pliku, przez co każdy deskryptor pliku tymczasowego pozostaje otwarty do czasu zakończenia całego żądania. Nieuwierzytelniony atakujący może przesłać treść multipart zawierającą wiele minimalnych części plików i wyczerpać tabelę deskryptorów plików procesu w limicie rozmiaru treści żądania, powodując błędy os.CreateTemp, odpowiedzi MULTIPART_STRICT_ERROR, zablokowanie legalnych uploadów i brak możliwości otwierania plików lub gniazd w całym procesie. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessResponse w internal/bodyprocessors/json.go, która przekazuje wartość ignoreJSONRecursionLimit równą -1 do readJSON, podczas gdy rekurencyjna ochrona zatrzymuje się tylko przy zerze. Atakujący sieciowy, który może spowodować, że aplikacja chroniona przez Coraza zwróci głęboko zagnieżdżony JSON, może sprawić, że przetwarzanie treści odpowiedzi będzie wykonywać pracę kwadratową, zużywając jeden rdzeń CPU przez sekundy na odpowiedź w ramach domyślnego ResponseBodyLimit. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessURI w internal/corazawaf/transaction.go, która obsługuje błąd url.ParseRequestURI, zachowując surowy URI, ale pozostawiając QUERY_STRING, ARGS_GET, ARGS_GET_NAMES i część ARGS pochodzącą z GET puste. Nieuwierzytelniony atakujący może umieścić bajty kontrolne w URI przekazywanym bezpośrednio przez integracje takie jak coraza-spoa, coraza-proxy-wasm, niestandardowe hosty FFI lub hosty WASM, powodując, że Coraza pominie parametry zapytania, które integracja może nadal przetwarzać, co pozwala na ominięcie reguł dotyczących tych zmiennych. Problem został naprawiony w wersji 3.8.0.

MariaDB, serwer baz danych, w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, ma podatność w pamięci podręcznej ACL, która może generować ten sam klucz pamięci podręcznej uprawnień bazy danych dla nazw ról i użytkowników localhost, które pasowały, ponieważ oba używały pustego składnika IP. Atakujący z uprawnieniem CREATE USER może utworzyć kolidujący podmiot i, gdy uprawnienia bazy danych oryginalnego podmiotu były w pamięci podręcznej, wykonywać uprawnienia przypisane do innego konta. Problem został naprawiony w wersjach 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

Serwer x64dbg-MCP przed wersją 1.2 ma podatność na przepełnienie liczby całkowitej w funkcji parseContentLength() i wsRecv(), co pozwala nieuwierzytelnionemu klientowi sieciowemu na wywołanie paniki i zakończenie procesu x64dbg. Serwer domyślnie nasłuchuje na 0.0.0.0, co zwiększa ryzyko ataku. Problem został naprawiony w wersji 1.2.

MariaDB Connector/C w wersjach od 3.4.1 do 3.4.10 ma podatność w logice przełączania uwierzytelniania SSL, która nie odrzuca niezgodności nazwy hosta TLS przed wyborem niehaszującego pluginu uwierzytelniającego. Aktywny atakujący typu man-in-the-middle może wykorzystać to do przechwycenia hasła bazy danych.