Katalog podatności CVE

Wykryto podatność w itsourcecode Leave Management System 1.0. Nieznana funkcja w pliku /module/leavetype/controller.php pozwala na manipulację argumentem LEAVTID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W Form Tools do wersji 3.1.1 wykryto podatność SSRF w funkcji smart_fill w pliku /global/code/actions.php (komponent AJAX Endpoint). Manipulacja argumentem url pozwala na wykonanie żądań po stronie serwera. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.

W Form Tools do wersji 3.1.1 wykryto podatność nieograniczonego przesyłania plików w funkcji Files::uploadFile w pliku global/code/actions.php (komponent Ajax Handler). Manipulacja pozwala na zdalne przesłanie dowolnego pliku. Exploit jest publicznie dostępny i może być wykorzystany.

W Form Tools do wersji 3.1.1 wykryto podatność w funkcji Clients::updateClientSettingsTab w pliku global/code/Clients.class.php (komponent Client Settings). Manipulacja argumentem page_titles prowadzi do niewłaściwej neutralizacji elementów specjalnych używanych w silniku szablonów. Atak może być zainicjowany zdalnie, a exploit jest publicznie ujawniony.

Wtyczka WP Popular Posts dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 7.4.2 włącznie, poprzez parametr 'context'. Niezautoryzowani atakujący mogą wyodrębnić wrażliwe pola kontekstu edycji, takie jak surowy tytuł, treść, hasło, meta, status i guid, z niepublicznych obiektów postów, np. zsynchronizowanych wzorców wp_block, których WordPress nie udostępnia niezalogowanym.

Podatność typu path traversal (ZIP Slip) w funkcji aktualizacji agenta w Genian NAC/ZTNA, spowodowana niewystarczającą autoryzacją i weryfikacją integralności, umożliwia zdalnemu atakującemu wykonanie dowolnego kodu.

Wtyczka Advanced Woo Labels – Product Labels & Badges for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu niewłaściwej kontroli uprawnień w funkcji 'save_meta_boxes' we wszystkich wersjach do 2.51 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym tworzenie etykiet AWS renderowanych bez odpowiedniego escapowania. Podatność została częściowo załatana w wersji 2.46.

W ZongXR SuperMarket 1.0.0.0 stwierdzono słabość w funkcji startBuy pliku InstantBuyController.java komponentu Instant Buy. Manipulacja argumentem Username prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie, ale nie odpowiedział.

W ZongXR SuperMarket 1.0.0.0 odkryto błąd bezpieczeństwa w funkcji OrderController.deleteOrder pliku OrderController.java komponentu Order Deletion Endpoint. Manipulacja argumentem orderId prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany, ale nie odpowiedział.

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 1.6.12.31 włącznie, poprzez parametr 'complete_group' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ujawnienie prywatnych tokenów id_token współrezerwujących oraz ich danych osobowych (imię i e-mail), a następnie użycie tych tokenów do odczytu, nadpisania dowolnych metadanych lub anulowania rezerwacji.

W GEGL znaleziono błąd w loaderze Radiance HDR, który czyta dane poza końcem obrazu zmapowanego w pamięci, gdy nieskompresowana linia skanowania jest krótsza niż szerokość zadeklarowana w nagłówku pliku. Otwarcie spreparowanego pliku HDR powoduje awarię aplikacji korzystającej z loadera.

W David-Crty databasement do wersji 1.7.1 stwierdzono podatność w funkcji SnapshotPolicy.viewAny/SnapshotPolicy.view pliku /api/v1/snapshots komponentu Snapshot Model. Manipulacja powoduje nieprawidłową kontrolę dostępu. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 1.7.2 rozwiązuje problem.

Wtyczka Newsletter dla WordPressa do wersji 9.3.9 włącznie ma podatność na niedostatecznie chronione poświadczenia. Publiczna trasa REST do śledzenia kliknięć `/tnp/l/` jest zarejestrowana z `permission_callback => '__return_true'` i po otrzymaniu ważnego podpisu MD5 wywołuje `set_user_cookie()`, które wysyła nagłówek `Set-Cookie: newsletter=<id>-<raw_token>` do żądającego, ponieważ obiekt subskrybenta załadowany przez `get_user()` nie ma właściwości `_trusted`, co powoduje, że `get_user_key()` zwraca surową wartość tokenu zamiast jego maskowanej wersji MD5.

W aplikacji David-Crty databasement do wersji 1.7.1 wykryto podatność w punkcie końcowym API database-servers, w pliku app/Http/Requests/Api/V1/RestoreRequest.php. Manipulacja argumentem schema_name prowadzi do path traversal. Atak może być przeprowadzony zdalnie, wymaga jednak wysokiej złożoności i jest trudny do wykorzystania, a exploit został publicznie ujawniony.

W immich-app Immich do wersji 2.7.5 wykryto podatność w funkcji checkSharedLinkAccess w pliku server/src/utils/access.ts, dotyczącą obsługi podglądu udostępnionych linków. Manipulacja argumentem Password prowadzi do nieprawidłowej autoryzacji. Zgłoszenie na GitHubie zostało zamknięte jako duplikat.

W OpenSC do wersji 0.27.1 wykryto podatność w funkcji setcos_construct_fci_44 w pliku src/libopensc/card-setcos.c. Manipulacja argumentem type_attr może prowadzić do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a poprawka jest dostępna pod oznaczeniem ad730304052937c32b4eb489a06835ac6123632c.

simple-php-router do wersji 5.4.1.7 zawiera podatność obejścia ograniczeń IP w middleware IpRestrictAccess, umożliwiającą zdalnym nieuwierzytelnionym atakującym obejście białej i czarnej listy adresów IP. Atakujący mogą podszyć się pod dozwolone adresy lub ominąć blokady, fałszując nagłówki X-Forwarded-For, CF-Connecting-IP lub Client-IP, uzyskując dostęp do chronionych tras.

QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w polach długości pobytu edytora typów pokoi w back-office. Atakujący mogą nakłonić uwierzytelnionych administratorów do wysłania spreparowanych żądań POST z złośliwymi ładunkami w parametrach restriction_min_los i restriction_max_los, wykonując dowolny JavaScript w sesji administracyjnej ofiary.

QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w edytorze typów pokoi w back-office, który nie escapuje wartości pól room_num, floor i comment w atrybutach input. Atakujący mogą nakłonić uwierzytelnionych użytkowników back-office do wysłania spreparowanych żądań POST z złośliwymi ładunkami, wykonując dowolny JavaScript w sesji administracyjnej ofiary.

QloApps do wersji 1.7.0 zawiera podatność typu reflected XSS w polu exceptions formularza Transplant a module w panelu administracyjnym. Atakujący może przygotować złośliwy link z ładunkiem JavaScript w parametrze exceptions, który wykona się w sesji zalogowanego administratora po kliknięciu linku.