Katalog podatności CVE

FOSSBilling przed wersją 0.8.0 zawiera podatność, w której konta personelu o niskich uprawnieniach mogą odczytywać wrażliwe dane poprzez punkty końcowe API administratora pozbawione kontroli dostępu. Punkty końcowe do zapisu poprawnie egzekwują uprawnienia, ale odpowiadające im punkty odczytu nie mają żadnych zabezpieczeń autoryzacyjnych.

W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.

W systemie FOSSBilling w wersji przed 0.8.0 adapter płatności PayPalEmail akceptuje wywołania zwrotne IPN i uznaje kwotę podaną w IPN (`mc_gross`) na saldo klienta bez weryfikacji z całkowitą kwotą faktury. W połączeniu z tolerancją błędu zmiennoprzecinkowego wynoszącą 0,05 USD w logice kredytowania płatności faktury, umożliwia to klientowi niedopłacenie faktury o maksymalnie 0,04 USD i nadal oznaczenie jej jako w pełni opłaconej.

W systemie FOSSBilling przed wersją 0.8.0 występuje warunek wyścigu w procesie realizacji koszyka, który umożliwia uwierzytelnionemu klientowi wielokrotne użycie kodu promocyjnego pomimo ustawionego limitu. Wysyłając równoczesne żądania finalizacji zamówienia, klient może uzyskać nieograniczoną liczbę zamówień z rabatem lub za darmo.

W systemie FOSSBilling przed wersją 0.8.0 wykryto podatność na masowe przypisanie w punkcie końcowym samorejestracji klienta. Niezautoryzowany atakujący może podczas rejestracji przypisać się do dowolnej grupy klientów, co umożliwia wykorzystanie kodów promocyjnych ograniczonych do danej grupy i uzyskanie nieautoryzowanych rabatów.

FOSSBilling w wersjach od 0.6.10 do 0.7.2 zawiera podatność na wstrzykiwanie kodu PHP w metodzie Config::prettyPrintArrayToPHP(). Atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod PHP do pliku config.php, który jest wykonywany przy każdym żądaniu HTTP.

W systemie FOSSBilling przed wersją 0.8.0 zawieszanie lub dezaktywacja konta nie unieważnia istniejących sesji uwierzytelnionych. Mechanizm ładowania sesji nie sprawdza statusu konta, co pozwala zawieszonemu użytkownikowi zachować pełny dostęp do wygaśnięcia sesji.

W Coolify od wersji 4.0.0-beta.471 do 4.0.0-beta.473 wystąpił regres w wzorcu SHELL_SAFE_COMMAND_PATTERN, który pozwalał na użycie znaku ampersand (&) w polach poleceń Docker Compose. Umożliwiło to uwierzytelnionemu członkowi zespołu wstrzyknięcie poleceń powłoki wykonywanych na hoście.

Coolify przed wersją 4.0.0-beta.474 zawiera podatność na wstrzykiwanie poleceń w kontenerze bazy danych PostgreSQL. Atakujący z uwierzytelnieniem może wykorzystać kontrolowane przez siebie ustawienia bazy danych (postgres_user i postgres_db) do wstrzyknięcia dowolnych poleceń podczas generowania polecenia healthcheck.

Podatność w Coolify przed wersją 4.0.0-beta.474 pozwala na wykonanie dowolnych poleceń na serwerze poprzez brak odpowiedniego escapowania w metodzie buildHelperImage. Atakujący może ustawić pole dev_helper_version i wywołać budowę obrazu pomocniczego w środowisku deweloperskim.

W Coolify przed wersją 4.0.0-beta.474 endpoint POST /api/feedback nie wymaga uwierzytelnienia, nie ma ograniczeń szybkości ani walidacji danych wejściowych. Pozwala to na przesyłanie dowolnej treści bezpośrednio do webhooka Discord, co umożliwia spam, wstrzykiwanie treści i nadużycie webhooka.

Ajenti do wersji 2.2.13 zawiera podatność na clickjacking w interfejsie logowania i administracyjnym. Brak nagłówków X-Frame-Options i Content-Security-Policy frame-ancestors w odpowiedziach HTTP umożliwia osadzenie strony w ramce iframe.

W bibliotece mrubyc do wersji 3.4.1 wykryto błąd polegający na dereferencji wskaźnika NULL w funkcji op_super() w pliku src/vm.c. Problem wynika z braku sprawdzenia w czasie wykonania dla wywołania super na najwyższym poziomie.

W bibliotece mrubyc do wersji 3.4.1 włącznie wykryto odczyt poza dozwolonym zakresem pamięci podczas wyszukiwania brakującej metody wbudowanej w funkcji mrbc_find_method().

W Coolify przed wersją 4.0.0-beta.471 wykryto podatność na wstrzykiwanie poleceń w komponencie GetLogs Livewire. Użytkownik z rolą członka zespołu (najniższe uprawnienia) może wykonać dowolne polecenia jako root na zarządzanych serwerach.

W Coolify przed wersją 4.0.0-beta.471, komponent ActivityMonitor Livewire udostępnia publiczną właściwość $activityId bez atrybutu #[Locked]. Umożliwia to uwierzytelnionemu użytkownikowi wyliczanie rekordów aktywności ze wszystkich zespołów i odczytywanie pełnego wyjścia poleceń z zdalnych procesów SSH, co może ujawnić tajemnice, pliki konfiguracyjne i szczegóły infrastruktury.

W Coolify przed wersją 4.0.0-beta.471, funkcja LocalFileVolume::saveStorageOnServer tworzy polecenia powłoki z niesanitowanych ścieżek fs_path i parent_dir przed walidacją, a submitFileStorage nie sprawdza ścieżki montowania pliku przed utworzeniem woluminu. Umożliwia to uwierzytelnionemu użytkownikowi dodającemu magazyn plików wykonanie poleceń podczas zapisywania magazynu.

W Coolify przed wersją 4.0.0-beta.471 komponent Livewire Settings/Updates nie sprawdza uprawnień isInstanceAdmin w metodzie mount, co umożliwia nieuprawnionym użytkownikom dostęp do strony ustawień aktualizacji i potencjalną modyfikację konfiguracji automatycznych aktualizacji lub inicjowanie sprawdzania aktualizacji.

W Coolify od wersji 4.0.0-beta.451 do 4.0.0-beta.470, obsługa kopii zapasowych baz danych MongoDB nie walidowała w pełni znaków specjalnych w nazwach kolekcji, co umożliwiało wysoko uprzywilejowanemu atakującemu wstrzyknięcie komend. Problem został naprawiony w wersji 4.0.0-beta.471.

Coolify przed wersją 4.0.0-beta.466 posiada podatność, w której punkty końcowe API do walidacji mutacji są chronione jedynie uprawnieniami do odczytu. Pozwala to tokenom API z zakresem tylko do odczytu na wykonywanie operacji zmieniających stan, takich jak walidacja tokenów chmurowych i serwerów.