Katalog podatności CVE

Vifm od wersji 0.8.1-beta do 0.14.4 ponownie używa istniejącego FIFO IPC w wspólnym katalogu tymczasowym bez sprawdzania właściciela, co pozwala lokalnym użytkownikom na wykonywanie poleceń jako inny użytkownik. Atakujący mogą wcześniej utworzyć światowo zapisywalny FIFO vifm-ipc-vifm i zapisywać pakiety IPC z poleceniami -c i !, które wykonują się z uprawnieniami ofiary.

KDE Dolphin od wersji 24.08.0 do 26.08.2 zawiera podatność wstrzykiwania poleceń systemu operacyjnego, która pozwala atakującym na wykonywanie poleceń poprzez dostarczenie spreparowanych nazw folderów podstawianych do symbolu zastępczego {path}. Atakujący mogą osadzić podwójny cudzysłów i metaznaki powłoki w nazwie katalogu, aby ominąć cytowanie w slotDoubleClickViewBackground, wykonując polecenia, gdy ofiary klikną dwukrotnie tło widoku.

MP Manager do wersji 1.1.0 zawiera podatność na przechodzenie po ścieżkach, która pozwala atakującym zapisywać pliki poza folderem ekstrakcji poprzez ominięcie filtra sanitizeEntryName. Atakujący mogą tworzyć wpisy TAR, 7z lub RAR o nazwie ....//file, które stają się ../file, tworząc lub nadpisując pliki w dowolnym miejscu, do którego aplikacja ma dostęp na współdzielonym magazynie.

Elio do wersji 1.13.0 zawiera podatność na niebezpieczne pliki tymczasowe, która pozwala lokalnym użytkownikom nadpisywać pliki innych użytkowników poprzez wcześniejsze tworzenie dowiązań symbolicznych w przewidywalnych ścieżkach przechwytywania. Atakujący, znając identyfikator procesu ofiary, mogą umieścić dowiązanie symboliczne, tak aby podgląd mediów, czcionek lub archiwów obcinał i nadpisywał pliki należące do ofiary.

Rovr do wersji 0.10.3 na Windows zawiera podatność wstrzykiwania poleceń systemu operacyjnego, która pozwala atakującym na wykonywanie poleceń poprzez tworzenie złośliwych nazw plików. Atakujący mogą dostarczyć plik o nazwie zawierającej metaznaki powłoki, takie jak &, wraz z ładunkiem, który wykonuje się z uprawnieniami użytkownika, gdy plik jest otwierany przez open_file.

Fossify File Manager do wersji 1.6.2 zawiera podatność na path traversal, która pozwala spreparowanym archiwom ZIP zapisywać pliki poza folderem rozpakowywania poprzez obejście niezabezpieczonego sprawdzenia startsWith. Atakujący może dostarczyć wpisy archiwum, takie jak ../<name>_x/file, aby tworzyć lub nadpisywać pliki w sąsiednich folderach, gdy użytkownik rozpakowuje archiwum.

muCommander do wersji 1.6.2 zawiera podatność na przechodzenie po ścieżkach w UnpackJob, która pozwala atakującym zapisywać pliki poza folderem docelowym poprzez ominięcie zabezpieczenia ZipSlip przy użyciu nieznormalizowanych ścieżek zdalnych. Atakujący mogą tworzyć wpisy TAR lub ZIP, takie jak ../../.ssh/authorized_keys, które po rozpakowaniu do folderów FTP lub SFTP tworzą lub nadpisują pliki zapisywalne przez konto zdalne użytkownika.

XBackBone do wersji 3.8.2 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom zmieniać kody współdzielenia innych użytkowników przez trasę POST /upload/{id}/vanity. Atakujący mogą podawać sekwencyjne identyfikatory przesyłek do MediaController::createVanity(), aby zrywać istniejące linki udostępniania i przejmować uwolnione kody własnymi przesyłkami.

QloApps do wersji 1.7.0 zawiera podatność na nieprawidłową kontrolę dostępu w AdminSlipController, która pozwala pracownikom back-office ograniczonym do hotelu na dostęp do not kredytowych wszystkich hoteli. Atakujący mogą przeglądać, eksportować jako PDF, oznaczać jako zrealizowane oraz generować bony na zakupy z rekordów zwrotów innych hoteli, ujawniając tożsamości klientów i kwoty.

wallabag 2.6.13 do 2.6.14 zawiera podatność na trwałe cross-site scripting, która pozwala uwierzytelnionym użytkownikom hostować dowolny HTML poprzez wywołanie nieudanego importu Pocket HTML, Pocket CSV lub Shaarli. Atakujący mogą przesłać plik HTML ze skryptem, ale bez elementów kotwicy, pozostawiając go w przewidywalnej ścieżce /uploads/import/<user-id>.html, aby wykonać skrypt w sesjach wallabag ofiar.

QloApps do wersji 1.7.0 zawiera podatność na złamaną kontrolę dostępu, która pozwala pracownikom back-office ograniczonym do hotelu na tworzenie typów pokoi pod nieprzypisanymi hotelami poprzez podanie dowolnego id_hotel. Atakujący mogą wyliczyć wszystkie hotele przez niefiltrowany selektor formularza typów pokoi i wysyłać obce identyfikatory hoteli do AdminProductsController, tworząc pokoje i inwentarz pod innymi hotelami.

Shaarli do wersji 0.16.9 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym użytkownikom na wysyłanie żądań do wewnętrznych adresów poprzez pobieranie miniatur zakładek bez sprawdzania adresów prywatnych. Atakujący mogą tworzyć zakładki wskazujące na adresy loopback, prywatne lub metadane chmury i wywołać ThumbnailsController::ajaxUpdate lub zapis, aby wysłać ślepe żądania GET, a open_shaarli naraża to na każdego odwiedzającego.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w AdminSearchConfController::processSave(), która odbija odrzucone aliasy i wartości wyszukiwania bez escapowania w komunikatach o błędach walidacji. Atakujący mogą nakłonić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania, wykonując JavaScript w jego sesji administracyjnej.

Kavita 0.9.0 do 0.9.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym użytkownikom na obejście listy blokad SSRF przez ponowne wiązanie DNS lub przekierowania HTTPS. Atakujący mogą przesłać URL do POST /api/Cbl/upload-cbl-file, którego host po walidacji zmienia wiązanie lub przekierowuje na wewnętrzne adresy, umożliwiając ślepe skanowanie wewnętrznych portów i usług.

Gem Ruby Razorpay IFSC do wersji 2.0.62 zawiera podatność na server-side request forgery, która pozwala atakującym przekierowywać żądania API poprzez podanie spreparowanego kodu IFSC do IFSC.find lub IFSC#get. Atakujący mogą podawać odniesienia do ścieżek sieciowych lub absolutne URI, które URI.join rozwiązuje jako nowy host, wysyłając żądania GET do wewnętrznych lub wybranych przez atakującego hostów i zwracając sparsowane pola odpowiedzi.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w formularzu AdminHotelFeaturePricesSettings, która odbija wartości feature_price_name i impact_price po nieudanej walidacji bez escapowania. Atakujący mogą zwabić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania za pomocą złośliwego linku lub automatycznie przesyłanego formularza, wykonując JavaScript w jego sesji administracyjnej.

Kubeflow Model Registry do wersji 0.3.17 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala użytkownikom przestrzeni nazw na kradzież tokena konta usługi kontrolera poprzez adnotację modelregistry.kubeflow.org/url. Atakujący mogą utworzyć InferenceService wskazujący adnotację na ich serwer, przechwycić token bearer i modyfikować InferenceService innych dzierżawców w całym klastrze.

QloApps do wersji 1.7.0 zawiera podatność na odbity cross-site scripting (XSS), która pozwala zdalnym atakującym wstrzykiwać skrypty przez parametr price w formularzu Additional Facilities w panelu administracyjnym. Atakujący może nakłonić uwierzytelnionego użytkownika panelu administracyjnego do wysłania spreparowanego żądania, którego niepoprawna wartość price jest ponownie renderowana po nieudanej walidacji, wykonując JavaScript w sesji administracyjnej.

Aureus ERP do wersji 1.6.0 zawiera podatność na obejście autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych szkiców wpisów na blogu przez stronę widoku posta dla klientów. Atakujący, którzy znają lub zgadną slug posta, mogą pobrać pełny tytuł, treść, obraz, tagi, autora i datę publikacji, ponieważ PostResource pomija autoryzację, a ViewPost ignoruje is_published.

Lenve vhr do commita 03abbd3 zawiera podatność na ujawnienie informacji, która pozwala każdemu uwierzytelnionemu użytkownikowi pobrać hashe haseł BCrypt innych operatorów przez GET /chat/hrs. Użytkownicy z niskimi uprawnieniami mogą zbierać hashe haseł administratora, numery telefonów i adresy z zserializowanej encji Hr w celu ataku offline i eskalacji uprawnień.