Katalog podatności CVE

PDFMathTranslate (pdf2zh) do wersji 1.9.11 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala nieuwierzytelnionym atakującym na zmuszenie serwera do pobierania dowolnych URL-i przez pole Link. Handler translate_file przekazuje URL-e użytkownika do download_with_limit bez walidacji schematu lub adresu, co pozwala atakującym na dostęp do wewnętrznych usług i punktów metadanych chmury oraz odzyskiwanie zwróconych plików PDF.

AstronRPA do wersji 1.1.6 zawiera podatność braku sprawdzenia autoryzacji dzierżawy w robot-service, która pozwala uwierzytelnionym użytkownikom na odczyt zmiennych współdzielonych innych dzierżawców przez punkt get-batch-shared-var. Atakujący mogą enumerować sekwencyjne identyfikatory zmiennych współdzielonych i odszyfrować zmienne wszystkich użytkowników, ponownie szyfrując je własnym kluczem dzierżawy, aby odzyskać poświadczenia innych dzierżawców w postaci jawnego tekstu.

SillyTavern w wersjach od 1.12.13 do 1.19.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym na wyczerpanie zasobów, ponieważ middleware body-parser działa przed uwierzytelnieniem i sprawdzeniem listy dozwolonych adresów. Atakujący mogą wysyłać duże lub skompresowane ciała JSON lub urlencoded o rozmiarze do 500 MB, opcjonalnie równolegle, aby wyczerpać pamięć i CPU oraz uniemożliwić działanie usługi.

Kortix Suna w wersjach od 0.10.7 do 0.13.52 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala menedżerom projektów ominąć zabezpieczenie isPrivateIp poprzez podanie adresów IPv6 6to4 lub Teredo, które osadzają prywatne cele IPv4. Atakujący posiadający uprawnienia project.connector.write mogą ustawić base_url konektora, adresy URL OpenAPI, Postman lub MCP, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury oraz odczytać odpowiedzi.

Strapi w wersjach od 5.47.0 do 5.57.0 zawiera podatność na nieprawidłową autoryzację, która pozwala tokenom API administratora zachować pełny dostęp do Menedżera Treści po ograniczeniu pól roli właściciela. Ponieważ funkcja reconcileTokenPermissionsToUserCeiling ignoruje uprawnienia tokenów z pominiętymi lub pustymi polami, posiadacze tokenów mogą nadal czytać pola treści, które administrator usunął z roli.

Wtyczka WP Rollback autorstwa Devin Walker zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Problem dotyczy WP Rollback w wersjach od n/a do 3.1.2.

Immich do wersji 3.3.1 zawiera podatność na brak autoryzacji w strumieniu synchronizacji partnerów, która pozwala uwierzytelnionym partnerom odczytywać metadane zasobów w zablokowanych folderach, ponieważ zapytania synchronizacji nie wykluczają widoczności Locked. Atakujący z aktywną relacją partnerską mogą wywołać POST /api/sync/stream z typami PartnerAssetsV2 i PartnerAssetExifsV1, aby uzyskać współrzędne GPS, czasy przechwycenia, opisy i szczegóły aparatu.

Open Source Social Network (OSSN) do wersji 10.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu w pliku components/OssnMessages/ossn_com.php, która pozwala uwierzytelnionym użytkownikom odczytywać załączniki prywatnych wiadomości innych użytkowników. Atakujący mogą żądać trasy /messages/attachment/{guid} z sekwencyjnymi lub zgadywanymi identyfikatorami GUID, aby pobrać załączniki z prywatnych rozmów bez weryfikacji nadawcy lub odbiorcy.

Pingvin Share X przed wersją 1.22.0 zawiera podatność na nieskuteczne ograniczanie szybkości, ponieważ wartości TTL throttlera podane w sekundach są interpretowane jako milisekundy. Nieuwierzytelnieni atakujący mogą wysyłać praktycznie nieograniczone żądania do /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP.

Pingvin Share X przed wersją 1.22.0 zawiera podatność na obejście ograniczeń szybkości, która pozwala nieuwierzytelnionym zdalnym atakującym unikać ograniczeń per-IP, ponieważ backend/src/main.ts bezwarunkowo ufa nagłówkom proxy. Atakujący mogą zmieniać sfałszowane wartości X-Forwarded-For wobec /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP oraz sfałszować zalogowane adresy IP klientów.

Interfejsy systemowe ZTE Z80 Ultra nie mają solidnej autoryzacji wywołań, z niewystarczającą kontrolą dostępu. Aplikacje innych firm mogą wywoływać te interfejsy przez refleksję i uzyskiwać dostęp do istotnych informacji.

W Progress® Kendo UI for Vue (@progress/kendo-vue-charts) w wersjach od 2.5.0 do 16.2.0, domyślna etykieta wykresu (tooltip) renderuje sformatowaną wartość punktu jako surowy HTML bez kodowania. Atakujący z niskimi uprawnieniami, który może wpływać na wartość stringową powiązaną z wykresem, może dostarczyć HTML z obsługą zdarzeń wykonujących JavaScript w przeglądarce użytkownika po najechaniu na punkt danych.

W Progress® KendoReact (@progress/kendo-react-charts) w wersjach od 1.1.0 do 16.2.0, domyślna etykieta wykresu (tooltip) renderuje sformatowaną wartość punktu jako surowy HTML bez kodowania. Atakujący z niskimi uprawnieniami, który może wpływać na wartość stringową powiązaną z wykresem, może dostarczyć HTML z obsługą zdarzeń wykonujących JavaScript w przeglądarce użytkownika po najechaniu na punkt danych.

Wtyczka PeproDev Ultimate Profile Solutions dla WordPressa do wersji 8.2.36 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'button' shortcode'a 'logout-url'. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributora wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Listdom dla WordPressa do wersji 6.1.2 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji LSD_Menus_IX_CSV::import. Uwierzytelnieni atakujący z dostępem administratora mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie odpowiedni plik (np. wp-config.php).

Wtyczka Retainful (Email Marketing for WordPress i WooCommerce) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'data' we wszystkich wersjach do 1.0.10 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Motyw Avada dla WordPress i WooCommerce jest podatny na trwałe skrypty krzyżowe (Stored XSS) poprzez pola kontaktowe w profilu użytkownika (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) w wersjach do 7.16.1 włącznie. Pola te są emitowane w atrybucie href bez odrzucania niebezpiecznych schematów URL, takich jak javascript:.

Wtyczka WP Directory Kit dla WordPress jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez pole profilu 'display_name' (Second-Order) we wszystkich wersjach do 1.5.9 włącznie. Wynika to z niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.

Urządzenie ZTE Z80 Ultra ma podatność na nieautoryzowane ujawnienie informacji. Kontrola dostępu do metod w ramach frameworku jest niewystarczająca, co pozwala atakującemu na odczyt informacji związanych z urządzeniem.