Katalog podatności CVE

W Lychee w wersjach przed 7.7.0 obsługa PDF przez ImageMagick z Ghostscript nie stosuje skutecznego limitu wymiarów stron PDF w ImagickHandler::loadPdf(). Uwierzytelniony użytkownik może przesłać mały plik PDF z nadmiernym /MediaBox, powodując zużycie znacznych zasobów CPU i zablokowanie kolejki przetwarzania obrazów.

W Lychee w wersjach przed 7.7.0 ukryty dostawca testowy Omnipay Dummy może być użyty przez kupującego (w tym gościa) poprzez bezpośrednie przesłanie go w żądaniu, ponieważ CreateSessionRequest nie wymusza OmnipayProviderType::isAllowed(). Umożliwia to zakończenie przepływu bramki testowej bez rzeczywistej płatności i zwolnienie przedmiotu zakupu, jeśli włączone jest automatyczne realizowanie.

W Lychee w wersjach przed 7.6.4 kontroler SecurePathController obsługujący GET /image/{path} łączy ścieżkę kontrolowaną przez atakującego z katalogiem głównym magazynu i wykonuje sprawdzenie prefiksu przed kanonikalizacją segmentów kropek. W określonej konfiguracji nieadministracyjnej każdy uwierzytelniony użytkownik może odczytać pliki spoza dozwolonego katalogu, w tym konfigurację aplikacji i prywatne obrazy innych użytkowników.

W Lychee w wersjach przed 7.6.3 punkt końcowy GET /api/v2/Zip autoryzuje archiwa albumów i zdjęć poprzez AlbumPolicy::canDownload() i PhotoPolicy::canDownload() bez uprzedniego wymuszenia AlbumPolicy::canAccess(). Dla publicznego, chronionego hasłem albumu z włączonym grants_download, nieuwierzytelniony atakujący znający identyfikator albumu może pobrać archiwum ZIP bez podania hasła.

W Lychee w wersjach przed 7.6.1 punkt końcowy POST /api/v2/Album::unlock nie ma ograniczeń liczby prób, licznika prób, opóźnienia, CAPTCHA ani blokady. Zdalny nieuwierzytelniony atakujący znający identyfikator albumu może zautomatyzować zgadywanie hasła do chronionego albumu i uzyskać dostęp do prywatnej kolekcji zdjęć.

Lychee to narzędzie do zarządzania zdjęciami. Przed wersją 7.6.1, gdy photos_star_visibility ma wartość anonymous, endpoint POST /api/v2/Photo::highlight może pobrać i zmodyfikować zdjęcie bez potwierdzenia, że wywołujący może je zobaczyć. Nieuwierzytelniony atakujący mogący odgadnąć identyfikatory zdjęć może rozróżnić istniejące prywatne zdjęcia po różnych odpowiedziach oraz zmienić ich stan is_highlighted, w tym zdjęć w prywatnych lub chronionych hasłem albumach. Problem dotyczy instalacji z nie-domyślnym ustawieniem anonymous. Naprawiono w wersji 7.6.1.

Lychee to narzędzie do zarządzania zdjęciami. Przed wersją 7.6.0 przepływ POST /api/v2/Photo::fromUrl waliduje nazwę hosta i rozwiązane adresy w app/Rules/PhotoUrlRule.php, ale następnie przekazuje oryginalną nazwę hosta przez app/Actions/Import/FromUrl.php do app/Image/Files/DownloadedFile.php w celu osobnego połączenia fopen. Uwierzytelniony atakujący kontrolujący odpowiedzi DNS może sprawić, że walidacja zobaczy publiczny adres, a kolejne pobranie rozwiąże tę samą nazwę na adres prywatny lub zabroniony. Ta niezgodność DNS rebinding typu time-of-check to time-of-use omija zabezpieczenia SSRF i może dotrzeć do usług dostępnych z serwera Lychee. Naprawiono w wersji 7.6.0.

Lychee to darmowe narzędzie open source do zarządzania zdjęciami. Przed wersją 7.6.0 Lychee pozwala uwierzytelnionemu użytkownikowi z uprawnieniami edycji albumu zapisać URI javascript w opisie Markdown albumu lub zdjęcia, ponieważ config/markdown.php włącza allow_unsafe_links. Pliki PreformattedPhotoData.php i PreFormattedAlbumData.php konwertują opis do HTML, a komponenty galerii renderują ten HTML przez v-html, co pozwala odwiedzającemu klikającemu renderowany link na wykonanie kontrolowanego przez atakującego JavaScriptu w origin Lychee.

Deserializacja niezaufanych danych w komponencie importu danych grafu Gremlin w silniku Amazon Neptune może pozwolić uwierzytelnionemu zdalnemu podmiotowi ze standardowymi uprawnieniami do bazy danych na wykonanie dowolnego kodu i dostęp do wewnętrznych poświadczeń usługi. Aby rozwiązać ten problem, użytkownicy niezapisani do automatycznej aktualizacji powinni zaktualizować silnik Amazon Neptune do wersji 1.5.0.0 (backporty do 1.4.8.1 i 1.4.7.1).

Wtyczka XStore dla WordPress zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach wcześniejszych niż 9.7.9.

W authd przed wersją 0.7.1 dopasowanie tożsamości użytkownika w UpdateUser (internal/users/manager.go) rozwiązuje przychodzące logowanie po identyfikatorze dostawcy w zakresie brokera, ale gdy identyfikator dostawcy nie należy do żadnego znanego użytkownika, następuje dopasowanie po nazwie użytkownika, bez odrzucenia sprzecznego niepustego identyfikatora dostawcy. Jeśli dostawca tożsamości przypisze adres e-mail używany przez authd jako nazwę użytkownika do nowego konta, nowe konto dziedziczy lokalny UID i katalog domowy poprzedniego użytkownika przy następnym logowaniu.

Nuxt OG Image generuje obrazy OG przy użyciu szablonów Vue w Nuxt. Od wersji 6.2.5 do 6.7.0 dynamiczna trasa /_og/d/*.png przyjmuje niepodpisane żądania, a resolvePathCacheKey() tworzy klucze cache ze ścieżki żądania, adresu URL witryny i znormalizowanych opcji renderowania ujawnianych przez adresy URL obrazów i odpowiedzi serwera. Nieuwierzytelniony atakujący może dostarczyć kontrolowane dane obrazu przez parametr title wraz z wyliczonym cacheKey i zapełnić slot cache używany dla legalnego obrazu Open Graph, powodując serwowanie sfałszowanej treści obrazu.

OpenNext Cloudflare, adapter Next.js dla Cloudflare, w wersjach od 0.3.0 do 1.20.2 nieprawidłowo przetwarza zakodowane ścieżki URL, gdy włączone jest przechwytywanie pamięci podręcznej, a kontrola dostępu opiera się na middleware. Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych treści z pamięci podręcznej, używając procentowo zakodowanej ścieżki, która nie pasuje do reguł autoryzacji, ale dekoduje się do klucza chronionej trasy.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach przed 0.149.0 nie wykrywa cykli w schematach allOf, anyOf lub oneOf odwołujących się do schematu nadrzędnego podczas walidacji żądań i odpowiedzi. Prowadzi to do nieograniczonej rekurencji i przepełnienia stosu, które kończy proces i nie może być przechwycone przez recover.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.149.0 nie sprawdza wartości nil dla schematów tablicowych OpenAPI 3.1 w trzech ścieżkach dekodera openapi3filter. Nieuwierzytelniony klient zdalny może wywołać deterministyczny panic nil-pointer poprzez parametr zapytania tablicowego, parametr deepObject lub treść żądania form-urlencoded.

Sonatype Nexus Repository 3 pozwala użytkownikowi posiadającemu uprawnienie do tworzenia lub aktualizacji ról przyznawać role i uprawnienia, których sam nie posiada. Może to prowadzić do eskalacji uprawnień aż do pełnego dostępu administracyjnego.

Sonatype Nexus Repository 3 pozwala kontu użytkownika posiadającemu uprawnienie edycji w hostowanym repozytorium R na zapisanie treści skryptu w metadanych przesłanego pakietu R. Skrypt uruchamia się w przeglądarce użytkownika, który otworzy szczegóły tego pakietu w interfejsie Browse, z uprawnieniami przeglądającego użytkownika.

Sonatype Nexus Repository 3 pozwala nieuwierzytelnionemu zdalnemu atakującemu dostarczyć kontrolowane przez siebie dane wejściowe do wywołania ładowania klasy Java poprzez endpoint ExtDirect. Umożliwia to atakującemu ustalenie, czy określone klasy są obecne w aplikacji. Problem sam w sobie nie pozwala na wykonanie kodu.

W Nexus Repository 3 brakuje kontroli autoryzacji w ścieżce przesyłania NuGet Components API, co pozwala kontu z jedynie uprawnieniami odczytu i przeglądania repozytorium na przesyłanie pakietów symboli NuGet (.snupkg). Wykorzystanie wymaga hostowanego repozytorium NuGet z włączonym Symbol Server, a przy włączonym dostępie anonimowym warunek ten jest spełniony domyślnie.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.143.0 akceptuje schematy tablicowe OpenAPI 3.1 bez słowa kluczowego items i następnie dereferencjonuje wartość nil Schema.Items podczas dekodowania żądań i odpowiedzi. Zdalny nieuwierzytelniony klient może wywołać deterministyczny panic nil-pointer podczas ValidateRequest lub ValidateResponse.