Katalog podatności CVE

W Coolify przed wersją 4.0.0-beta.466 komponent Logs::mount() wyszukuje zasoby po UUID bez ograniczenia do bieżącego zespołu, co pozwala uwierzytelnionemu użytkownikowi na dostęp do logów aplikacji innych zespołów poprzez podanie ich UUID.

Coolify przed wersją 4.0.0-beta.464 zawiera podatność w akcji Livewire cloneTo() w pliku ResourceOperations.php. Mechanizm autoryzacji sprawdza tylko źródłowy zasób, ale docelowe zasoby są rozwiązywane bez uwzględnienia zakresu dzierżawy (unscoped Eloquent lookups), co pozwala uwierzytelnionemu użytkownikowi klonować zasoby do miejsc docelowych należących do innych zespołów i uzyskiwać dostęp do zasobów między dzierżawami.

Coolify przed wersją 4.0.0-beta.466 zawiera podatność polegającą na interpolacji sekretów log drain i wartości zmiennych środowiskowych do poleceń powłoki bez odpowiedniego kodowania. Umożliwia to uwierzytelnionemu użytkownikowi wstrzyknięcie poleceń wykonywanych na hoście.

Coolify przed wersją 4.0.0-beta.466 zawiera podatność polegającą na niewystarczającej walidacji ustawienia sentinel_token, które jest używane w poleceniach powłoki. Uwierzytelniony użytkownik mający dostęp do ustawień Sentinel serwera może wstrzyknąć składnię powłoki i wykonać polecenia na hoście podczas restartu Sentinela.

Wtyczka Exclusive Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr tytułu posta we wszystkich wersjach do 2.7.9.8 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.

W FOSSBilling w wersjach od 0.5.3 do 0.7.2, endpoint API `serviceapikey/get_info` dla gości jest dostępny bez uwierzytelniania. Każdy posiadacz ważnego klucza API może odczytać wszystkie niestandardowe parametry konfiguracyjne (`custom_*`) przechowywane w rekordzie bazy danych klucza.

Złośliwa strona internetowa może przerwać oczekującą nawigację, dodając do kolejki synchroniczne okno dialogowe JavaScript, co powoduje wyświetlenie docelowego pochodzenia w pasku adresu przeglądarki, podczas gdy renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w przeglądarce Firefox dla systemu iOS w wersji 152.3.

W kliencie Minosoft dla Minecraft Java Edition, w funkcji szyfrowania CryptManager, wektor inicjalizacyjny (IV) AES jest ustawiany na wartość klucza tajnego zamiast na losową wartość. Ta podatność umożliwia ataki z wyborem szyfrogramu/tekstu jawnego, co może prowadzić do odzyskania klucza tajnego przez atakującego.

W systemie FOSSBilling w wersjach od 0.5.6 do 0.7.2 istnieje podatność polegająca na tym, że przy wielokrotnym żądaniu resetowania hasła przez tego samego klienta, nie jest generowany nowy token, a wykorzystywany jest istniejący, ważny przez 15 minut od pierwotnego żądania. Atakujący, który przechwycił pierwszy link resetujący, może go użyć nawet po tym, jak ofiara zażąda nowego resetu, ponieważ oryginalny token nie jest unieważniany.

FOSSBilling przed wersją 0.8.0 zawiera podatność, która pozwala pracownikowi z niskimi uprawnieniami na eskalację swoich uprawnień poprzez API administracyjne. Użytkownik z uprawnieniem `staff.create_and_edit_staff` może wywołać endpoint `/api/admin/staff/permissions_update` dla własnego konta i ustawić dowolne uprawnienia, omijając kontrolę dostępu opartą na rolach.

FOSSBilling w wersjach 0.5.3 do 0.7.2 umożliwia uwierzytelnionym klientom odczyt i resetowanie kluczy API dla zamówień, które nie są już aktywne (np. zawieszone, anulowane). Brakuje walidacji stanu zamówienia w dwóch punktach końcowych API klienta, mimo że istnieje pomocnicza funkcja `isActive()` w module `Serviceapikey`, a interfejs użytkownika poprawnie blokuje dostęp dla nieaktywnych zamówień.

FOSSBilling w wersjach przed 0.8.0 umożliwia kontom personelu o niskich uprawnieniach wykonywanie nieautoryzowanych działań poprzez punkty końcowe API administratora. Problem wynika z połączenia flagi modułu `can_always_access` (przyznającej dostęp wszystkim pracownikom) oraz niewystarczających kontroli uprawnień lub niebezpiecznego przetwarzania parametrów na poszczególnych punktach końcowych.

W FOSSBilling w wersjach od 0.5.6 do 0.7.2, gdy włączone jest ustawienie „Wymagaj potwierdzenia e-mail”, zalogowany klient z niepotwierdzonym adresem e-mail może uzyskać dostęp do wszystkich stron strefy klienta, takich jak saldo portfela czy historia transakcji. Ograniczenia po stronie API działają poprawnie, ale po stronie stron są zbyt liberalne, przepuszczając każde żądanie zaczynające się od „/client”.

FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność na trwałe skrypty między witrynami (XSS) w widokach historii e-maili widocznych dla klientów. Treść HTML e-maili jest renderowana w szablonie JavaScript bez odpowiedniego kodowania, co pozwala atakującemu z dostępem administracyjnym na wstrzyknięcie złośliwego kodu JavaScript.

FOSSBilling przed wersją 0.8.0 zawiera podatność, w której konta personelu o niskich uprawnieniach mogą odczytywać wrażliwe dane poprzez punkty końcowe API administratora pozbawione kontroli dostępu. Punkty końcowe do zapisu poprawnie egzekwują uprawnienia, ale odpowiadające im punkty odczytu nie mają żadnych zabezpieczeń autoryzacyjnych.

W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.

W systemie FOSSBilling w wersji przed 0.8.0 adapter płatności PayPalEmail akceptuje wywołania zwrotne IPN i uznaje kwotę podaną w IPN (`mc_gross`) na saldo klienta bez weryfikacji z całkowitą kwotą faktury. W połączeniu z tolerancją błędu zmiennoprzecinkowego wynoszącą 0,05 USD w logice kredytowania płatności faktury, umożliwia to klientowi niedopłacenie faktury o maksymalnie 0,04 USD i nadal oznaczenie jej jako w pełni opłaconej.

W systemie FOSSBilling przed wersją 0.8.0 występuje warunek wyścigu w procesie realizacji koszyka, który umożliwia uwierzytelnionemu klientowi wielokrotne użycie kodu promocyjnego pomimo ustawionego limitu. Wysyłając równoczesne żądania finalizacji zamówienia, klient może uzyskać nieograniczoną liczbę zamówień z rabatem lub za darmo.

W systemie FOSSBilling przed wersją 0.8.0 wykryto podatność na masowe przypisanie w punkcie końcowym samorejestracji klienta. Niezautoryzowany atakujący może podczas rejestracji przypisać się do dowolnej grupy klientów, co umożliwia wykorzystanie kodów promocyjnych ograniczonych do danej grupy i uzyskanie nieautoryzowanych rabatów.