Katalog podatności CVE

ArcadeDB przed wersją 26.8.1 nie wiąże uwierzytelnionego podmiotu (setCurrentUser) w swoich handlerach HTTP dla operacji wsadowych i szeregów czasowych. Ponieważ żaden podmiot nie jest powiązany z wątkiem roboczym, warstwa ACL (LocalBucket.checkPermissionsOnFile) nie wykonuje się dla tych handlerów. Wdrożenia używające ACL per typ lub per grupa mogą pozwolić użytkownikowi z dostępem do bazy, ale ograniczonymi uprawnieniami per typ, na odczyt i zapis do typów, do których nie ma autoryzacji, poprzez wysyłanie żądań do endpointów wsadowych/szeregów czasowych. Wdrożenia opierające się wyłącznie na kontroli dostępu na poziomie bazy danych nie są dotknięte.

ArcadeDB w wersjach od 26.4.2 do 26.7.3 zawiera podatność na obejście autoryzacji w narzędziu set_server_setting na poziomie serwera MCP. SetServerSettingTool.execute() sprawdza tylko globalną flagę allowAdmin i nigdy nie sprawdza roli wywołującego, więc we wdrożeniu MCP z allowAdmin=true i nie-rootowym zestawem allowedUsers, każdy uwierzytelniony użytkownik tylko do odczytu może wywołać set_server_setting, aby zmodyfikować GlobalConfiguration serwera, umożliwiając manipulację konfiguracją lub odmowę usługi. Problem naprawiono w wersji 26.8.1.

ArcadeDB przed wersją 26.8.1 zawiera podatność na odmowę usługi w funkcji Cypher range(), która pozwala uwierzytelnionym użytkownikom wyczerpać pamięć sterty serwera. Atakujący mogą wysyłać zbyt duże wyrażenia range() z dużymi granicami, aby wywołać OutOfMemoryError i spowodować tymczasową degradację usługi lub jej niedostępność.

ArcadeDB (com.arcadedb:arcadedb-server) w wersjach do 26.7.3 zawiera podatność IDOR w punktach końcowych Raft cluster-info (GetClusterHandler i PostBootstrapStateHandler), które uwierzytelniają, ale nie autoryzują dostępu. W klastrze HA ArcadeDB (dostępnym tylko przy włączonym arcadedb.ha.enabled i załadowanym module ha-raft), każdy uwierzytelniony użytkownik — nawet z dostępem tylko do jednej bazy lub żadnej — może wyliczyć pełny rejestr baz serwera i uzyskać metadane per-baza, takie jak nazwy baz, ostatnie ID transakcji, odciski palców bootstrap i topologię klastra peer/leader, co prowadzi do ujawnienia informacji między bazami. Naprawiono w wersji 26.8.1.

DOMPurify przed wersją 3.4.13 zawiera podatność na cross-site scripting w sanityzacji IN_PLACE, gdzie haki usuwania elementów nie neutralizują odłączonych poddrzew. Atakujący mogą dostarczyć HTML z handlerami zdarzeń na elementach potomnych, które wykonują się po zakończeniu sanityzacji, mimo że zwrócony korzeń wygląda na czysty.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.14 zawiera podatność braku autoryzacji w funkcji userPassesAuthorize() (AbstractApiController.php). Funkcja nie sprawdza zakresów klucza API żądania, opierając się zamiast tego na surowym flagu super-admina i uprawnieniach ACL. W rezultacie uwierzytelniony atakujący posiadający klucz API z ograniczonym zakresem, wybity na koncie z uprawnieniami administratora, może ominąć deklarowane ograniczenia zakresu i uzyskać dostęp do metadanych UI i definicji elementów (sidebar/menubar/widget items oraz users-list columns/row-actions/filter-tabs), które powinny być dla niego zabronione, co prowadzi do ujawnienia informacji.

Grav przed wersją 2.0.14 zawiera podatność na przechowywany cross-site scripting w funkcji Security::detectXss() (system/src/Grav/Common/Security.php). Wszystkie wzorce wykrywania XSS używają modyfikatora PCRE /u (UTF-8), więc pojedynczy nieprawidłowy bajt UTF-8 w treści strony powoduje, że preg_match() zwraca false dla każdego wzorca, po cichu omijając bramkę bezpieczeństwa XSS przy zapisie (Validation::checkSafety()). Uwierzytelniony atakujący z uprawnieniami do edycji stron (bez uprawnienia security.xss_whitelist) może przechowywać złośliwy JavaScript, który wykonuje się w przeglądarce odwiedzającego daną stronę.

Wtyczka Grav API (getgrav/grav-plugin-api, dołączona do Grav 2.0 w stosie admin-next/API) przed wersją 1.0.14 zawiera słabość otwartego przekierowania w SsoController::sanitizeReturnTo(). Funkcja odrzuca dosłowny prefiks '//', ale nie uwzględnia normalizacji backslashy do slashy przez przeglądarki w specjalnych schematach (http/https), więc wartość returnTo taka jak '/\evil.com' przechodzi przez zabezpieczenie i jest później rozwiązywana przez przeglądarkę jako URL względny protokołu '//evil.com'. Po legalnym przepływie logowania OAuth, parametr returnTo dostarczony przez atakującego może przekierować uwierzytelnioną ofiarę na stronę kontrolowaną przez atakującego w celu phishingu po zalogowaniu. Pełna eksploitowalność po stronie przeglądarki zależy od handlera oauth-callback po stronie klienta w admin-next SPA i nie została niezależnie zweryfikowana przez reportera.

Wtyczka Grav API (getgrav/grav-plugin-api, dołączona do Grav 2.0) przed wersją 1.0.14 (naprawiona w 1.0.15) zawiera podatność braku autoryzacji w BlueprintPathResolver::resolveUserScope(). Metoda blokuje zakres users/<name> na surowym flagu super-admina ACL (access.api.super) zamiast weryfikować faktyczny zakres prezentowanego klucza API. Atakujący posiadający klucz API z zakresem tylko api.media.write, wybity na koncie super-admina, może ominąć kontrolę autoryzacji i, przez POST /blueprint-upload lub GET /blueprint-files, zapisać plik w zakresie innego użytkownika (w wspólnym katalogu user/accounts/, ograniczonym do rozszerzeń obrazów przez assertSafeExtension()) i przeglądać listę plików w tym zakresie, mimo że klucz nie ma uprawnień api.users.write.

Wtyczka Grav Form przed wersją 9.1.19 nie escapuje właściwości definicji pól, w tym prepend, append, tekst spacera, tekst sekcji i etykiety opcji select w szablonach formularzy. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać dowolny HTML i JavaScript, który wykonuje się dla wszystkich odwiedzających formularz przez nieescapowane filtry |raw i niecytowane atrybuty.

Grav plugin-api przed wersją 1.0.15 zawiera podatność na wstrzykiwanie skryptów, gdzie sanitizer SVG sprawdza tylko dokładne rozszerzenie 'svg', pozwalając plikom .svgz i .xhtml ominąć sanityzację i być przechowywanym bez oczyszczenia. Atakujący z uprawnieniami api.media.write mogą przesyłać pliki zawierające wykonywalne ładunki skryptów, które wykonują się w originie witryny, gdy są dostępne przez administratorów lub odwiedzających.

Grav przed wersją 2.0.15 zawiera podatność na path traversal w serwerze statycznych zasobów w index.php, który używa dopasowania prefiksu string zamiast walidacji granic katalogów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do plików w katalogach sąsiednich, wykorzystując nazwy katalogów, które rozszerzają bazową ścieżkę string, takie jak żądanie assets-secret, gdy assets jest skonfigurowaną bazą.

SiYuan przed wersją v3.7.4 zawiera podatność niewystarczającej kontroli dostępu w punkcie końcowym /api/lute/spinBlockDOM, który jest chroniony tylko przez middleware CheckAuth zamiast CheckAdminRole jak jego sąsiedni punkt końcowy. Uwierzytelnieni użytkownicy z rolami RoleEditor lub RoleReader mogą wywołać punkt końcowy do transformacji dowolnego wejścia DOM, a duże ładunki powodują zagłodzenie punktu końcowego przez serializację mutex per-ścieżka.

Podatność przechowywania wrażliwych danych w postaci jawnego tekstu w produkcie Cryptosim firmy Kriptok Crypto and Information Technologies Industry Trade Inc. umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji przed 3.1.0.229.

Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.

Luka typu Stored XSS w FileOrbis (oprogramowanie firmy Fileorbis Informatics Services Trade Inc.) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka dotyczy wersji przed 16.5.

Wykryto lukę bezpieczeństwa w OpenBoxes do wersji 0.9.1. Problem dotyczy funkcji DocumentController w pliku DocumentController.groovy, co prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 0.9.2 rozwiązuje problem.

Carbone jest podatny na Denial of Service z powodu braku ochrony przed bombami zip podczas przetwarzania plików .docx. Biblioteka używa yazl do dekompresji zip bez walidacji rozmiarów wpisów, co pozwala atakującemu dostarczyć złośliwy plik .docx zawierający bombę zip, która dekompresuje się do znacznie większego rozmiaru, powodując nadmierne zużycie pamięci i awarię serwera aplikacji. Problem został naprawiony w wersjach 3.8.2, 4.26.3 i 5.4.4.

Luka w kodowaniu lub escapowaniu wyjścia w ninenines cowlib umożliwia przemycanie dyrektyw Link header przez nieescapowane znaki specjalne w cow_link:link/1. cow_link:do_link/1 interpoluje docelowy URI, wartość rel i klucze atrybutów bezpośrednio do serializowanej wartości nagłówka Link: bez escapowania lub walidacji gramatyki tokenów. Bajt > w celu przedwcześnie zamyka slot URI, pozwalając atakującemu na dodanie dodatkowych wpisów linków z wybranymi przez atakującego dyrektywami rel. Znak " lub \ w rel ucieka z ciągu znaków i otwiera nowe parametry. Dowolny bajt — w tym biały znak, = i " — w kluczu atrybutu jest emitowany dosłownie. Ponieważ przeglądarki działają na dyrektywach Link: takich jak rel="preconnect", rel="preload" i rel="prerender", atakujący, który może wpływać na te pola w aplikacji, która przetwarza nagłówki Link przez cow_link:link/1, może zmusić przeglądarki ofiar do nawiązywania połączeń poza pasmem do kontrolowanych przez atakującego źródeł. Problem dotyczy cowlib od wersji 2.9.0.

W OpenBoxes do wersji 0.9.2 wykryto słabość w komponencie Product Supplier Edit Controller, w pliku RoleInterceptor.groovy. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.