Katalog podatności CVE

Rozszerzenie Joomla 4Analytics w wersji poniżej 5.0.2 zawiera podatność na nieuwierzytelniony, trwały XSS w funkcji analizy AI. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.

W Apache Fineract do wersji 1.14.0 włącznie, w interfejsie API wyszukiwania biur (GET /api/v1/offices) występuje podatność na wstrzykiwanie SQL. Parametr orderBy jest konkatenowany do zapytania SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania biur na wstrzyknięcie dowolnego kodu SQL. Jest to obejście poprawki ColumnValidator dla CVE-2024-32838, która nie wykrywa gołych podzapytań w klauzuli ORDER BY.

Podatność typu SQL Injection (boolean-based) w Apache Fineract w API wyszukiwania klientów (GET /api/v1/clients) do wersji 1.14.0 włącznie. Parametry orderBy i sortOrder są łączone z zapytaniem SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania klientów na wstrzyknięcie dowolnego kodu SQL poprzez spreparowaną wartość orderBy.

Podatność SQL Injection w Apache Fineract w punkcie końcowym runreports (API raportów) w wersjach do 1.14.0 włącznie. Wartości parametrów raportu są wstawiane do zapytania SQL bez odpowiedniej walidacji, co umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do uruchamiania raportów wstrzyknięcie dowolnego kodu SQL.

Rozszerzenie Joomla EDocman w wersji poniżej 3.9 jest podatne na nieuwierzytelnione ślepe wstrzyknięcie SQL. Atakujący może wysyłać spreparowane zapytania bez konieczności logowania.

Rozszerzenie Joomla DP Calendar w wersjach 8.18.0 do 10.11.2 jest podatne na nieuwierzytelnione ślepe wstrzyknięcie SQL. Atakujący może wysyłać spreparowane zapytania bez konieczności logowania.

System HCM opracowany przez MetaGuru zawiera podatność na wstrzykiwanie SQL. Uwierzytelnieni zdalni atakujący mogą wstrzykiwać polecenia SQL przez określone parametry, co zagraża poufności, integralności i dostępności danych w bazie.

Podatność typu confused-deputy w Grafana MCP Server umożliwia nieuwierzytelnionemu zdalnemu atakującemu kradzież tokena konta serwisowego Grafana skonfigurowanego w zmiennych środowiskowych poprzez spreparowany nagłówek X-Grafana-URL. Ponadto umożliwia to ataki SSRF na dowolne wewnętrzne usługi, w tym punkty końcowe metadanych chmury.

W operatorze OpenShift GitOps wykryto lukę, w której mechanizm uzgadniania ClusterRole nie weryfikuje własności zasobów. Pozwala to instancji Argo CD działającej w przestrzeni nazw na usunięcie ClusterRole należącej do instancji klastrowej poprzez celowe zderzenie nazw, co prowadzi do odmowy usługi.

Instalator HYPER SBI 2 niebezpiecznie ładuje biblioteki DLL. Jeśli w tym samym katalogu znajduje się spreparowana biblioteka DLL, podczas uruchamiania instalatora może dojść do wykonania dowolnego kodu z uprawnieniami użytkownika.

Wtyczka Quotes llama dla WordPress przed wersją 3.1.6 nieprawidłowo oczyszcza i nie koduje parametru dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL injection opartego na UNION i odczytanie dowolnych danych z bazy, w tym skrótów haseł.

Wtyczka Shibboleth dla WordPressa przed wersją 2.5.4 nie zamyka sesji w przypadku błędu, gdy tryb tożsamości oparty na nagłówkach HTTP jest włączony bez klucza antyspoofingowego. Traktuje ona każde żądanie zawierające nagłówki tożsamości jako uwierzytelnioną sesję bez ich weryfikacji.

Podatność w usłudze Aura Wallpaper Service umożliwia lokalnemu użytkownikowi wykonywanie operacji na plikach poprzez wysyłanie spreparowanych komend zawierających dowolną ścieżkę pliku, omijając ograniczenia ścieżek. W niektórych modelach może to również spowodować niedostępność pojedynczej funkcji.

Podatność w ASUS GameSDK umożliwia zdalnemu atakującemu uzyskanie hasha NTLM lokalnego użytkownika poprzez nakłonienie go do odwiedzenia spreparowanej strony internetowej. Atak polega na wysłaniu żądania zawierającego ścieżkę UNC do lokalnego punktu końcowego aplikacji.

Podatność w sterownikach ASUS System Control Interface v3, ASUS System Control Interface oraz ASUS Business Manager umożliwia lokalnemu administratorowi odczyt i zapis dowolnej pamięci fizycznej poprzez spreparowane żądania IOCTL, omijając ochronę pamięci narzuconą przez system operacyjny.

Podatność w sterowniku ASUS System Control Interface i ASUS Business Manager umożliwia lokalnemu administratorowi ujawnienie wrażliwych informacji poprzez spreparowane żądania IOCTL. W poważnych przypadkach może to prowadzić do odmowy usługi (DoS) na systemie.

W komponencie Backend User Endpoint aplikacji xianyu-auto-reply znaleziono podatność polegającą na braku autoryzacji. Atak może być przeprowadzony zdalnie poprzez manipulację w pliku /api/v1/users/. Exploit został opublikowany.

W bibliotece Matter SDK (connectedhomeip) przed wersją 1.4.0 występuje podatność polegająca na osiągalnym asercji w logice przetwarzania poleceń modelu interakcji. Wysłanie InvokeCommandRequest do nieistniejącego punktu końcowego i klastra (np. 0x34) powoduje błędne potraktowanie punktu końcowego jako prawidłowego z powodu braku sprawdzeń w CodegenDataModelProvider::Invoke, co prowadzi do awarii VerifyOrDie w ProcessCommandDataIB i zakończenia procesu (SIGABRT). Problem został potwierdzony i naprawiony w późniejszej rewizji (PR #37207).

W bibliotece Matter SDK (connectedhomeip) przed wersją 1.4.0 występuje podatność polegająca na użyciu niezainicjalizowanej wartości. Metoda `GetDestinationGroupId().Value()` jest wywoływana bez sprawdzenia, czy wartość istnieje, co prowadzi do awarii podczas wysyłania komendy InvokeCommand bez zainicjalizowania identyfikatora grupy docelowej.

W bibliotece Matter SDK (connectedhomeip) przed wersją 1.4.0 występuje podatność na wyłuskanie wskaźnika null w funkcji ReadRevisionAttribute używanej w wielu klastrach (Channel, Account Login, TargetNavigator itp.). Funkcja nie sprawdza poprawnie wskaźnika delegata przed jego wyłuskaniem. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądanie odczytu, powodując awarię urządzenia (odmowa usługi).