Katalog podatności CVE

W programie XML Notepad dla systemu Windows przed wersją 2.9.0.21 domyślnie nie wyłączono przetwarzania DTD, co umożliwia automatyczne rozwiązywanie encji zewnętrznych. Atakujący może stworzyć złośliwy plik XML, który ładuje DTD powodujące wysyłanie żądań HTTP/SMB, potencjalnie wyciekając zawartość plików lub przechwytując poświadczenia NTLM. Problem został naprawiony w wersji 2.9.0.21.

W SonicWall Email Security stwierdzono podatność na trwałe XSS z powodu niewłaściwego neutralizowania danych wejściowych użytkownika. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wykonać dowolny kod JavaScript.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność SSRF w funkcji EPG (Electronic Program Guide). Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania mogą przechowywać dowolne adresy URL, które serwer pobiera przy każdej wizycie na stronie EPG. Walidacja URL jest niewystarczająca, co pozwala na skanowanie sieci wewnętrznych i dostęp do usług wewnętrznych.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie User_Location na stronie testIP.php, która odzwierciedla parametr ip bez kodowania wyjściowego, umożliwiając wstrzykiwanie dowolnego HTML i JavaScript. Mimo że strona jest ograniczona do adminów, konfiguracja ciasteczek SameSite=None pozwala na eksploatację międzyoriginową. Brak publicznie dostępnych łat.

WWBN AVideo w wersjach 26.0 i wcześniejszych akceptuje parametr overrideStatus w żądaniu, który pozwala każdemu przesyłającemu ustawić status wideo na dowolny stan, w tym "active" (a). Obejmuje to kontrolowane przez administratora procesy moderacji i wersji roboczych. Metoda setStatus() nie sprawdza, czy wywołujący ma uprawnienia do ustawienia danego statusu.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w pluginie StripeYPT. Punkt końcowy test.php jest dostępny dla każdego zalogowanego użytkownika, a nie tylko administratorów. Z powodu błędu w metodzie retrieveSubscriptions(), która anuluje subskrypcje zamiast je pobierać, każdy uwierzytelniony użytkownik może anulować dowolne subskrypcje Stripe, podając identyfikator subskrypcji.

W AVideo w wersji 26.0 i wcześniejszych wykryto podatność w skrypcie install/deleteSystemdPrivate.php. Z powodu błędu pierwszeństwa operatorów w PHP, warunek !php_sapi_name() === 'cli' zawsze zwraca false, co umożliwia zdalny dostęp bez uwierzytelnienia do skryptu, który usuwa pliki z katalogu tymczasowego i ujawnia jego zawartość.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera lukę w szablonie CreatePlugin dla list.json.php, który nie wymaga uwierzytelnienia ani autoryzacji. Skutkuje to 21 nieuwierzytelnionymi punktami końcowymi ujawniającymi wrażliwe dane, w tym PII użytkowników, logi transakcji płatniczych, adresy IP i nagłówki User-Agent.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność XSS w pluginie YPTSocket. Funkcja połączeń przychodzących przekazuje nazwę dzwoniącego bezpośrednio jako nagłówek w jQuery Toast Plugin, który jest wstawiany jako surowy HTML. Atakujący może ustawić swoją nazwę wyświetlaną jako ładunek XSS, a po zainicjowaniu połączenia kod wykona się w przeglądarce każdego online użytkownika bez jego interakcji.

WWBN AVideo umożliwia administratorom włączanie/wyłączanie wtyczek przez endpoint objects/pluginSwitch.json.php bez walidacji CSRF i z pominięciem walidacji domeny Referer/Origin. Atakujący może wyłączyć krytyczne wtyczki bezpieczeństwa (np. 2FA) poprzez zwabienie administratora na złośliwą stronę.

WWBN AVideo w wersji 26.0 i wcześniejszych pozwala administratorom wysyłać e-maile HTML do wszystkich użytkowników przez endpoint objects/emailAllUsers.json.php. Brak walidacji tokena CSRF, a ciasteczka sesji mają SameSite=None, co umożliwia atak CSRF z innej domeny.

PdfDing przed wersją 1.7.1 nie sprawdza w funkcji check_shared_access_allowed() czy udostępniony PDF jest nieaktywny (wygasł, osiągnął limit wyświetleń) lub usunięty. Pozwala to wcześniej autoryzowanym użytkownikom na dostęp do PDF po wygaśnięciu lub usunięciu.

WWBN AVideo w wersjach 26.0 i wcześniejszych nie koduje wartości konfiguracyjnych wtyczek przed wyświetleniem w panelu administracyjnym. Funkcja jsonToFormElements() w admin/functions.php bezpośrednio interpoluje dane użytkownika do elementów HTML, co pozwala na wstrzyknięcie dowolnego JavaScript.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w punkcie końcowym plugin/YPTWallet/view/users.json.php, który zwraca dane osobowe wszystkich użytkowników oraz salda portfeli każdemu uwierzytelnionemu użytkownikowi. Brakuje sprawdzenia uprawnień administratora.

Admidio przed wersją 5.0.8 zawiera podatność CSRF w module rejestracji. Akcje zatwierdzania oczekujących rejestracji (create_user, assign_member, assign_user) są wykonywane przez żądanie GET bez walidacji tokena CSRF, co pozwala atakującemu na automatyczne zatwierdzenie własnej rejestracji, oszukując administratora z odpowiednimi uprawnieniami.

Admidio przed wersją 5.0.8 zawiera podatność w module inwentarza, gdzie punkt końcowy item_save akceptuje kontrolowany przez użytkownika parametr POST imported, który po ustawieniu na true całkowicie omija walidację tokena CSRF oraz walidację po stronie serwera. Uwierzytelniony użytkownik może wysłać bezpośrednie żądanie POST, aby zapisać dowolne dane elementu inwentarza bez ochrony CSRF i bez sprawdzania wartości pól, które normalnie wymusza FormPresenter.

Admidio przed wersją 5.0.8 nie waliduje tokena CSRF w procedurze usuwania konfiguracji list w mylist_function.php. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia złośliwej strony, co prowadzi do trwałego usunięcia konfiguracji list, w tym współdzielonych list organizacyjnych, jeśli ofiara ma uprawnienia administratora.

Parse Server przed wersjami 8.6.63 i 9.7.0-alpha.7 zwraca niesanitowane dane uwierzytelniające z endpointu weryfikacji hasła, w tym sekrety MFA TOTP, kody odzyskiwania i tokeny OAuth. Atakujący znający hasło użytkownika może wyodrębnić sekret MFA i generować ważne kody MFA.

Captcha Protect, middleware Traefik, jest podatny na odbite ataki XSS. Strona wyzwania akceptuje wartość destination od klienta i renderuje ją w HTML za pomocą text/template, które nie wykonuje kontekstowego escapingu HTML.

W aplikacji Video player Play All Videos v1.0.135 firmy RAREPROB SOLUTIONS PRIVATE LIMITED występuje podatność na nadpisywanie dowolnych plików podczas procesu importu plików. Atakujący może nadpisać krytyczne pliki wewnętrzne, co prowadzi do wykonania dowolnego kodu lub ujawnienia informacji.