Katalog podatności CVE

Użycie twardo zakodowanych poświadczeń w komponencie zasobów ludzkich w Roskus Prospero Flow CRM przed wersją 5.15.9. Nieuwierzytelniony zdalny atakujący może uwierzytelnić się jako dowolny pracownik onboardowany przez standardowy proces, znając tylko jego adres e-mail, ponieważ kontroler zapisu pracownika używa dosłownego hasła "changeme", a formularz onboardingu nie zawiera pola hasła.

Wtyczka Grav API przed wersją 1.0.13 nie egzekwuje ograniczeń zakresu kluczy API w bramkach super-zakresu ConfigController, co pozwala kluczom z ograniczonym zakresem na zapis konfiguracji harmonogramu. Atakujący z kluczem o zakresie api.config.write mogą wstrzykiwać dowolne polecenia do scheduler.custom_jobs, które są wykonywane przez Symfony Process, prowadząc do zdalnego wykonania kodu.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu kluczy API w metodach create() i update() w UsersController. Metody te egzekwują ograniczenia tylko dla api.users.write, ale przyznają super-przywileje na podstawie bezpośredniego sprawdzenia isSuperAdmin(), które czyta access.api.super bez uwzględniania zakresów klucza. W rezultacie klucz o zakresie api.users.write wybity na koncie super może ustawić access.api.super lub przypisać grupę nadającą super, aby utworzyć lub awansować pełne konto super, a następnie uwierzytelnić się jako to konto dla nieograniczonych uprawnień administracyjnych.

Wtyczka getgrav/grav-plugin-api przed wersją 1.0.13 nie weryfikuje, czy zakresy nowo utworzonego klucza API są podzbiorem zakresów wywołującego w createApiKey. Ścieżka self-target w requireApiKeyPermission() wymaga tylko podstawowego zakresu api.access, a zakresy nowego klucza są odczytywane bezpośrednio z treści żądania bez sprawdzania podzbioru. Atakujący posiadający klucz API o minimalnym zakresie na koncie super może przesłać pustą tablicę zakresów, aby wybić nieograniczony klucz super z pełnym dostępem, omijając ograniczenia zakresów (i umożliwiając dalsze łańcuchy, takie jak zapis konfiguracji do RCE).

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu kluczy API w PagesController::guardTwigContent(). Sprawdzanie przełącznika Twig używa bezpośredniego wywołania isSuperAdmin(), które nie uwzględnia api_key_scopes, więc klucz API o najmniejszych uprawnieniach, ograniczony tylko do api.pages.write i wybity na koncie super, może włączyć process.twig podczas zapisu strony, mimo że admin.pages_twig jest celowo poza zakresem api.pages. Gdy security.twig_content.process_enabled=true i editor_enabled=false, umożliwia to wykonanie Twig-in-content po stronie serwera, co prowadzi do wstrzyknięcia szablonów po stronie serwera (SSTI) i zdalnego wykonania kodu.

Pakiet Composer getgrav/grav-plugin-api przed wersją 1.0.13 (dotknięte <= 1.0.12) nie egzekwuje ograniczeń zakresu kluczy API na punkcie końcowym disable2fa. W przeciwieństwie do pokrewnego punktu generate2fa, disable2fa autoryzuje ścieżkę admin (nie-self) wyłącznie przez odczyty ACL (isSuperAdmin/hasPermission) i nigdy nie wywołuje requirePermission(), więc ograniczenie api_key_scopes nie jest stosowane. W rezultacie posiadacz klucza API o wąskim zakresie na koncie super lub konto nie-super, którego ACL zawiera api.users.write, może wymusić wyłączenie dwuskładnikowego uwierzytelniania na dowolnym koncie nie-super przez POST /api/v1/users/{user}/2fa/disable bez podawania kodu TOTP, co ułatwia przejęcie konta.

SiYuan w wersjach <= v3.7.2 zawiera podatność na wstrzyknięcie SQL w zapytaniu wyszukiwania backlink/mention (kernel/model/backlink.go), które łączy przechowywane metadane bloków (tytuł, nazwa, alias, tekst kotwicy) oraz słowo kluczowe dostarczone przez klienta w zapytanie SQL MATCH/search, escapując tylko podwójny cudzysłów, a nie pojedynczy. Pojedynczy cudzysłów w słowie kluczowym klienta (pierwszego rzędu, osiągalny przez anonimowego użytkownika lub użytkownika RoleReader na powierzchni publikacji) lub w przechowywanych metadanych dokumentu (drugiego rzędu) przełamuje literał łańcuchowy. Ponieważ zapytanie jest wykonywane na głównym uchwycie siyuan.db z możliwością układania instrukcji, atakujący może wykonać dowolny SQL, umożliwiając odczyt i zapis między notatnikami. Naprawione w v3.7.4.

Wtyczka Wishlist Member dla WordPressa do wersji 3.34.1 włącznie jest podatna na przejęcie konta z powodu niewystarczającej weryfikacji autentyczności danych. Funkcja wpm_register() waliduje cookie rejestracyjne tylko względem parametru GET reg, akceptując parametry POST mergewith i POST wpm_id bez weryfikacji, czy identyfikator użytkownika mergewith odnosi się do tymczasowego lub niekompletnego rejestrującego powiązanego z bieżącą transakcją rejestracji. Umożliwia to nieuwierzytelnionym atakującym przejęcie dowolnego istniejącego konta WordPress, w tym kont administratora, poprzez podanie dowolnego numerycznego identyfikatora użytkownika jako wartości mergewith, co powoduje, że wp_update_user() nadpisuje nazwę użytkownika, hasło, adres e-mail, imię i nazwisko docelowego konta wartościami kontrolowanymi przez atakującego, przy jednoczesnym tłumieniu powiadomień e-mail o zmianie hasła i adresu e-mail.

OpenChoreo przed wersjami 1.0.2 i 1.1.2 udostępniało API zarządzania na zewnętrznym listenerze agenta bez uwierzytelniania, umożliwiając atakującym dostęp do /api/proxy/ i /api/exec/, proxy do API Kubernetes oraz wykonywanie poleceń w podach w klastrach wieloklastrowych.

OpenChoreo przed wersjami 1.0.3, 1.1.3 i 1.2.0-rc.2 udostępniało /api/proxy/, /api/exec/ i /api/wirelogs/ na wewnętrznym listenerze bez wymogu certyfikatu klienta lub tokena, umożliwiając każdemu dostęp do sekretów Kubernetes, modyfikację obciążeń i wykonywanie poleceń w podłączonych płaszczyznach danych.

FreePBX przed wersją 17.0.9 ma podatność w serwerze UCP Node na portach 8001 i 8003, gdzie middleware checkAuth jest stosowane tylko do domyślnej przestrzeni nazw Socket.IO. Nieuwierzytelniony klient może połączyć się z niestandardowymi przestrzeniami nazw i wysyłać spreparowane wartości zdarzeń z CR/LF, co pozwala na wykonanie dowolnych poleceń jako użytkownik usługi asterisk.

FreePBX od wersji 16.0.0 do 16.0.11 i 17.0.4 ma podatność w module missedcall, gdzie nazwa dzwoniącego z nagłówka SIP From jest wstawiana do zapytania SQL bez odpowiedniego escapowania. Nieuwierzytelniony dzwoniący może wstrzyknąć SQL, gdy monitorowane rozszerzenie pozostaje nieodebrane, co pozwala na modyfikację kont administratora i uzyskanie zdalnego dostępu.

NextAuth.js od wersji 5.0.0-beta.0 do 5.0.0-beta.32 ma podatność, gdzie aplikacje sprawdzające tylko istnienie obiektu auth mogą przepuścić nieuwierzytelnionych użytkowników, gdy wystąpi błąd konfiguracji serwera. Błąd konfiguracji, taki jak brakujący issuer lub AUTH_SECRET, powoduje, że odpowiedź sesji jest parsowana jako prawdziwy obiekt błędu zamiast null, co prowadzi do fałszywego uwierzytelnienia.

NextAuth.js przed @auth/core 0.41.3 i next-auth 4.24.15 oraz 5.0.0-beta.32 ma podatność w normalizatorze adresów email, gdzie adres z pełnoszerokim znakiem @ (U+FF20) przechodzi walidację, ale po normalizacji Unicode staje się standardowym @, co może spowodować dostarczenie linku do logowania do atakującego.

Budibase przed wersją 3.39.30 ma podatność w przepływie OIDC, gdzie adres e-mail nie jest weryfikowany pod kątem email_verified, a konta są łączone na podstawie adresu e-mail. Atakujący, który może uwierzytelnić się przez dostawcę tożsamości z niezweryfikowanym adresem e-mail ofiary, może przejąć konto ofiary i odziedziczyć jej role.

Budibase przed wersją 3.40.0 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w automatyzacjach wyzwalanych webhookiem z krokami EXECUTE_QUERY. Atakujący może wysłać JSON do endpointu webhooka, aby wstrzyknąć ładunki SQL wykonujące się z poświadczeniami bazy danych skonfigurowanymi przez buildera, umożliwiając eksfiltrację, modyfikację i trwałość danych w połączonych źródłach danych.

Budibase przed wersją 3.40.0 nieprawidłowo sanityzuje klucze obiektów S3, umożliwiając uwierzytelnionym builderom przesyłanie plików z sekwencjami traversal, które są zachowywane podczas eksportu. Atakujący mogą tworzyć nazwy plików zawierające segmenty .., które wychodzą poza katalog tymczasowy podczas eksportu obszaru roboczego, zapisując dowolną treść w dowolnej ścieżce zapisywalnej przez proces Budibase.

luci-app-lxc zawiera niespójność w kontroli dostępu (ACL), która pozwala niskouprzywilejowanym, uwierzytelnionym użytkownikom LuCI na dostęp do backendowych tras zarządzania kontenerami bez odpowiednich autoryzacji. Atakujący mogą wykorzystać traversal ścieżki przez `/.%2E` w parametrze `lxc_name`, aby wydostać się poza katalogi kontenerów i kontrolować skrypty hosta wykonywane przez `lxc.hook.start-host`, osiągając wykonanie kodu z uprawnieniami roota na hoście OpenWrt.

luci-app-openvpn nie waliduje poprawnie parametru instance_name2 podczas przesyłania plików, co pozwala uwierzytelnionym użytkownikom na traversal ścieżki i zapisywanie dowolnych plików poza zamierzonym katalogiem. Atakujący mogą przesłać złośliwe pliki, aby uzyskać trwałe wykonanie kodu z uprawnieniami roota, umieszczając klucze SSH w katalogach systemowych dostępnych po ponownym uruchomieniu.

filebrowser do wersji 2.63.16 nie ogranicza prawidłowo zakresu i uprawnień, gdy włączona jest samorejestracja z domyślnym ustawieniem CreateUserDir. Nieuwierzytelnieni atakujący mogą rejestrować konta, które dziedziczą pełny zakres serwera root z uprawnieniami do tworzenia, modyfikowania, usuwania, zmiany nazw, udostępniania i pobierania, co pozwala na nieograniczony dostęp do wszystkich plików.