Katalog podatności CVE

Wtyczka RepairBuddy dla WordPressa (computer-repair-shop) jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 4.1225.

Frontend Dockerfile ładował pliki Dockerfile i .dockerignore do pamięci bez limitu rozmiaru. Kontekst budowania zawierający zbyt duży plik mógł spowodować alokację pamięci proporcjonalną do rozmiaru pliku, co mogło wyczerpać pamięć i zakończyć działanie demona buildkitd, przerywając inne budowania.

Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie budowania na tym demonie.

BuildKit może zostać oszukany, aby wykonywać operacje na plikach ze specjalnymi i-węzłami tam, gdzie oczekiwane są zwykłe pliki. Specjalne pliki mogą blokować operacje lub, na workerach z uprawnieniami roota, umożliwić nieautoryzowany dostęp do urządzeń hosta.

Złośliwy zewnętrzny frontend BuildKit może wysyłać żądania przy użyciu wewnętrznego API, które mogą stworzyć warunki do wyścigu danych, powodując panikę demona BuildKit.

Nieuwierzytelniony atakujący kontrolujący rejestr lub źródło blobów OCI-layout może dostarczyć zawartość blobów niezgodną z zadeklarowanym skrótem. Wynikowy snapshot może zostać zapisany w pamięci podręcznej pod tym skrótem i wykorzystany przez późniejsze budowanie ofiary, naruszając integralność danych wejściowych budowania.

Velociraptor pozwala na zbieranie zapytań VQL zapakowanych w Artefakty z punktów końcowych. Artefakt Windows.Sysinternals.SysmonLogForward pozwala użytkownikowi określić dowolną ścieżkę binarną jako parametr i nie wymuszał dodatkowego wymaganego uprawnienia, umożliwiając użytkownikom z uprawnieniami COLLECT_CLIENT uruchomienie innego programu binarnego niż zainstalowany sysmon.

Velociraptor's SetClientMetadata używał niewłaściwego sprawdzania uprawnień do wymuszania ustawiania metadanych na serwerze. Pozwala to użytkownikowi z uprawnieniami LABEL_CLIENTS na aktualizację metadanych serwera, które często przechowują konfigurację witryny i powinny być aktualizowane tylko przez administratora serwera.

Wtyczka Image Slider Widget dla WordPressa (image-slider-widget) jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 1.1.130.

W Quay wykryto lukę, która pozwala zdalnemu atakującemu nakłonić użytkownika do zalogowania się przez spreparowany link, co prowadzi do cross-site scripting (XSS). Aplikacja nie weryfikuje celu przekierowania przed nawigacją, co umożliwia wykonanie dowolnego skryptu w kontekście uwierzytelnionej sesji przeglądarki ofiary. Wykorzystanie wymaga, aby docelowe wdrożenie Quay używało bezpośredniego uwierzytelniania w bazie danych, a ofiara zakończyła logowanie przez złośliwy URL.

W Quay wykryto lukę typu cross-site scripting (XSS) w obsłudze wywołania zwrotnego OAuth. Poprzez nakłonienie zalogowanego użytkownika do odwiedzenia specjalnie spreparowanego linku atakujący może wykonać dowolny kod JavaScript w kontekście sesji przeglądarki użytkownika z powodu niewłaściwej sanityzacji danych wejściowych.

API gRPC WatchEvent w Velociraptor pozwala na określenie OrgId organizacji, z której mają być strumieniowane zdarzenia. Serwer sprawdza uprawnienia API względem organizacji wywołującego, a nie żądanej organizacji. Pozwala to użytkownikowi z dostępem API w jednej organizacji na odczyt zdarzeń z innej organizacji, do której nie ma uprawnień.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpoint cykli przyjmuje UUID problemów w treści żądania bez walidacji, czy należą one do przestrzeni roboczej wywołującego. Uwierzytelniony użytkownik może dodać problemy z dowolnej przestrzeni roboczej do cyklu, który kontroluje. Jeśli problem ofiary jest już przypisany do cyklu, operacja usuwa go z cyklu ofiary, powodując destrukcyjny zapis między dzierżawcami. Problem naprawiono w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpointy BulkDeleteIssuesEndpoint i SubIssuesEndpoint w apps/api/plane/app/views/issue/ przyjmują identyfikatory problemów z treści żądania lub URL i operują na nich bez sprawdzania, czy należą do przestrzeni roboczej i projektu wywołującego. Dekorator uprawnień na każdym endpointcie sprawdza tylko, czy wywołujący jest członkiem lub administratorem przestrzeni roboczej i projektu wymienionych w URL. BulkDeleteIssuesEndpoint może zniszczyć asocjacje CycleIssue i ModuleIssue należące do obcych problemów. SubIssuesEndpoint może przenieść obce problemy pod wybrany przez atakującego problem i zwrócić metadane obcych problemów. Problem naprawiono w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpoint relacji problemów przyjmuje UUID problemów w treści żądania bez walidacji, czy należą one do przestrzeni roboczej wywołującego. Uwierzytelniony użytkownik może tworzyć relacje łączące jego własne problemy z problemami w dowolnej innej przestrzeni roboczej, co prowadzi do wycieku metadanych problemów przez zdarzenia aktywności. Problem naprawiono w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpoint aktualizacji projektu autoryzuje wywołującego na podstawie sluga przestrzeni roboczej w URL, ale ładuje docelowy projekt globalnie po UUID bez powiązania z tą przestrzenią roboczą. Administrator jednej przestrzeni roboczej może modyfikować projekt w innej przestrzeni roboczej, jeśli zna UUID projektu ofiary. Narusza to izolację dzierżawców i pozwala na nieautoryzowane zmiany metadanych i konfiguracji projektu między przestrzeniami roboczymi. Problem naprawiono w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpointy GET /api/workspaces/{slug}/cycles/ (WorkspaceCyclesEndpoint) i GET /api/workspaces/{slug}/modules/ (WorkspaceModulesEndpoint) zwracają rekordy ze wszystkich projektów w przestrzeni roboczej bez sprawdzania, czy wywołujący należy do każdego projektu. Każdy uwierzytelniony członek przestrzeni roboczej, w tym Gość z dostępem tylko do jednego projektu, może wyliczyć nazwy, opisy, daty sprintów, liczby problemów, migawki postępu, zewnętrzne identyfikatory integracji, powiązane URL-e i listy członków dla cykli i modułów w prywatnych projektach. Sąsiednie endpointy WorkspaceLabelsEndpoint i WorkspaceStatesEndpoint stosują odpowiedni filtr, co czyni endpointy cykli i modułów niespójnymi. Problem naprawiono w wersji 1.4.0.

Przed wersją 1.4.0 narzędzia Plane, endpoint GET /api/v1/workspaces/{slug}/projects/{project_id}/members/ ujawnia pełną listę członków projektu, w tym adresy e-mail, imiona i nazwiska, awatary i role. Kontrola dostępu ProjectMemberPermission sprawdza tylko, czy użytkownik jest aktywnym członkiem dowolnego projektu w workspace, ale nie wiąże tego z konkretnym project_id. W rezultacie każdy uwierzytelniony użytkownik należący do jednego projektu, w tym Gość, może odczytać listę członków innego prywatnego projektu w tym samym workspace.

Przed wersją 1.4.0 narzędzia Plane, uprawnienie WorkspaceOwnerPermission nie wymaga, aby użytkownik miał ustawione is_active=True podczas sprawdzania, czy jest właścicielem workspace. Dezaktywowany użytkownik może pozostać autoryzowany jako właściciel workspace i zachować dostęp na poziomie właściciela.

Przed wersją 1.4.0 narzędzia Plane, endpoint GET /api/assets/v2/workspaces/{workspace_slug}/download/{asset_id}/ umożliwia pobieranie plików przypisanych do projektów bez sprawdzania dostępu do projektu, do którego należą. Uwierzytelniony użytkownik z tego samego workspace, niebędący członkiem tajnego projektu, znając UUID zasobu, może otrzymać przekierowanie 302 do podpisanego URL-a pobierania. Dotyczy to typów ISSUE_ATTACHMENT, COMMENT_DESCRIPTION, PAGE_DESCRIPTION i PROJECT_COVER.