Katalog podatności CVE

Wtyczka WordPress Razorpay for WooCommerce przed wersją 4.8.8 nie przeprowadza kontroli własności ani autoryzacji na trasie REST API używanej podczas finalizacji zamówienia. Pozwala to nieuwierzytelnionym atakującym na modyfikację informacji o dostawie przechowywanych w dowolnych zamówieniach.

W Omega Solution CoinEx Crypto 2025 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku /ticket/customer w komponencie Support Ticket API. Manipulacja argumentami status/page/count prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Strona produktu już nie istnieje, prawdopodobnie produkt został wycofany lub zastąpiony, a dostawca nie odpowiedział na zgłoszenie.

Zidentyfikowano podatność w Omega Solution CoinEx Crypto 2025. Dotyczy ona nieznanej funkcji pliku /customer-currency/ w komponencie Customer Information API. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Zdalne wykorzystanie ataku jest możliwe, a exploit jest publicznie dostępny i może być użyty. Strona produktu już nie istnieje, prawdopodobnie produkt został wycofany lub zastąpiony, a dostawca nie odpowiedział na zgłoszenie.

ezBookkeeping 1.2.0 przed wersją 2.0.1 zawiera podatność eskalacji uprawnień, która pozwala atakującym posiadającym token API uzyskać pełny token sesji poprzez /api/v1/tokens/refresh.json. Ponieważ TokenRefreshHandler nigdy nie sprawdza typu tokenu, atakujący mogą wymienić krótkotrwałe lub ograniczone do IP tokeny API na 30-dniowe normalne tokeny sesji, które omijają wygaśnięcie tokenu API i listy dozwolonych.

Określono podatność w Omega Solution CoinEx Crypto 2025. Dotyczy ona nieznanej funkcji pliku /customer/ w komponencie Customer Profile API. Manipulacja argumentem ID może prowadzić do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Strona produktu już nie istnieje, prawdopodobnie produkt został wycofany lub zastąpiony, a dostawca nie odpowiedział na zgłoszenie.

LaraDashboard przed wersją 1.4.8 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym użytkownikom z jedynie uprawnieniem settings.view odczytywać przechowywane sekrety poprzez API ustawień. Atakujący mogą odpytywać GET /api/settings lub /api/settings/{option_name}, aby uzyskać tekstowe klucze API dostawców AI, dane logowania do poczty, hasła i tokeny.

LaraDashboard przed wersją 1.4.8 zawiera podatność otwartego przekierowania, która pozwala zdalnym atakującym przekierowywać użytkowników poprzez dostarczenie niezwalidowanego parametru redirect_url do EmailTemplateController builder i builderEdit. Atakujący mogą wysyłać spreparowane linki builder do zalogowanych użytkowników z uprawnieniami do szablonów e-mail, aby zapisanie szablonu przeniosło ich do witryn phishingowych kontrolowanych przez atakującego.

LaraDashboard w wersjach od 1.4.2 do 1.4.8 stosuje zaawansowaną walidację adresów e-mail w żądaniach resetowania hasła dla niezalogowanych użytkowników, co wywołuje zapytania DNS oraz płatne weryfikacje AbstractAPI. Nieuwierzytelniony atakujący może wysyłać dowolne adresy, aby wyczerpać limit weryfikacji, powodując, że walidacja przestaje działać (fail open) dla wszystkich publicznych formularzy, oraz może sondować rozwiązywanie domen.

W (vincent-peugnet/wcms) do wersji 3.18.0 występuje podatność typu stored cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzykiwać skrypty poprzez pole użytkownika przy logowaniu oraz pole strony internetowej w komentarzu odwiedzającego. Atakujący mogą wysyłać nieudane próby logowania renderowane bez escapowania w podglądzie logów adminlog.php lub adresy URL komentarzy odzwierciedlane w atrybutach href w editrightbar.php, co powoduje wykonanie skryptu z uprawnieniami administratora lub edytora.

OpenAM przed wersją 16.1.3 zawiera podatność na SSRF (Server-Side Request Forgery). Atakujący, którzy mogą rejestrować lub modyfikować klientów OAuth 2.0, mogą sprawić, że OpenAM pobierze wewnętrzne zasoby poprzez niezweryfikowany jwks_uri. Mogą wywołać nieuwierzytelnione pobrania w celu badania wewnętrznych hostów, punktów metadanych lub plików lokalnych, a także wyczerpać wątki żądań dla DoS.

OpenAM przed wersją 16.1.3 zawiera podatność na nieprawidłową autoryzację, która pozwala delegowanym administratorom niszczyć sesje poza ich realmami, ponieważ sprawdzanie realm używa realmu żądającego. Uwierzytelnione konta z atrybutem iplanet-am-session-destroy-sessions mogą podać identyfikator lub uchwyt sesji, aby wylogować użytkowników w dowolnym realmie.

OpenAM przed wersją 16.1.3 zawiera podatność na obejście autoryzacji w operacji zapytania w REST endpoint sesji, która pozwala administratorom realm na listowanie sesji wszystkich realmów. Atakujący z uprawnieniami delegowanego RealmAdmin mogą podać _queryFilter wskazujący inny realm, aby ujawnić nazwy użytkowników, uniwersalne ID i uchwyty sesji poza granicami dzierżawców.

OpenAM przed wersją 16.1.3 stosuje wymuszanie PKCE dla OAuth2 Provider tylko do żądań autoryzacji, których response_type jest dokładnie 'code'. Kody wydane przez hybrydowe przepływy OpenID Connect (code token, code id_token, code token id_token) nie mają powiązanego challenge. Atakujący, który przechwyci taki kod, może go wymienić na tokeny publicznego klienta z dowolnym niepustym code_verifier.

OpenAM przed wersją 16.1.3 zawiera podatność na otwarte przekierowanie, która pozwala nieuwierzytelnionym atakującym przekierowywać użytkowników poprzez podanie niezweryfikowanego id_token_hint do endpointu /oauth2/connect/endSession. Atakujący mogą wskazać dowolnego klienta realm w sfałszowanym hincie, aby przekierować ofiary do dowolnego zarejestrowanego URI po wylogowaniu, co umożliwia phishing wykorzystujący zaufanie do hosta OpenAM.

OpenAM w wersji przed 16.1.3 zawiera podatność na wstrzyknięcie treści wiadomości e-mail, która pozwala nieuwierzytelnionym atakującym kontrolować treść powiadomień e-mail poprzez akcje forgotPassword i register na /json/{realm}/users. Atakujący mogą podać pola subject i message, aby wysyłać wiadomości phishingowe z skonfigurowanego adresu From organizacji lub wykorzystać register jako przekaźnik do dowolnych odbiorców.

OpenAM w wersji przed 16.1.3 zawiera ukrytą wadę cross-site scripting, która umieszcza komunikat SAML, stan przekaźnika i docelowy URL bez kodowania na stronie automatycznego przesyłania pliku cookie load-balancera. Jeśli strona jest osiągalna przy włączonym cookieHashRedirectEnabled, spreparowane żądania mogą wykonać skrypt w origin OpenAM, choć niezwiązany błąd HTTP 500 uniemożliwia wykorzystanie w wydanych wersjach.

OpenAM w wersji przed 16.1.3 zawiera podatność na odbity cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypt poprzez dostarczenie spreparowanych parametrów renderowanych bez kodowania na stronie błędu autoryzacji OAuth2. Atakujący mogą zwabić ofiary do spreparowanego linku /oauth2/authorize z powtórzonymi parametrami, aby uruchomić JavaScript w origin OpenAM, działając w istniejących sesjach lub przekierowując do stron phishingowych.

Nezha Dashboard od wersji 1.8.0 do 2.3.13 zawiera podatność na nieprawidłowe blokowanie, gdzie nieodroczone zwolnienie mutexa powoduje wyciek na ścieżce paniki nil-map. Każdy uwierzytelniony użytkownik niebędący administratorem może wykonać cztery wywołania API powiadomień, aby trwale zablokować podsystem alertów, a następnie wyczerpać pamięć blokującymi żądaniami.

Nezha od wersji 1.8.0 do 2.3.13 zawiera odwrócenie kolejności blokad w UpdateGroup i DeleteGroup, które pozwala uwierzytelnionym użytkownikom niebędącym administratorami zablokować podsystem alertów. Atakujący mogą równocześnie wywoływać punkty końcowe grup powiadomień i masowego usuwania z nadmiernie dużymi listami identyfikatorów, aby poszerzyć wyścig i zamknąć cykl ABBA, trwale zabijając dostarczanie alertów do restartu.

W Linux Mint Xreader do wersji 4.6.9 funkcja g_file_get_child w pliku shell/ev-window.c (obsługa zapisu załączników PDF) jest podatna na path traversal poprzez manipulację argumentem attachment. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.