Katalog podatności CVE

Cloudreve przed wersją 4.17.0 rejestruje punkty testowe węzłów administracyjnych (POST /api/v4/admin/node/test i POST /api/v4/admin/node/test/downloader) bez wymagania zakresu OAuth Admin.Write, w przeciwieństwie do tras tworzenia/aktualizacji/usuwania węzłów. Klient OAuth autoryzowany przez administratora tylko z zakresem Admin.Read może przesyłać definicje węzłów kontrolowane przez atakującego i powodować wysyłanie przez serwer Cloudreve żądań wychodzących do dowolnych adresów URL, umożliwiając ślepe SSRF, sondowanie wewnętrznych usług i dostarczanie podpisanych żądań typu slave do wybranych przez atakującego punktów końcowych.

Fleet przed wersją 4.87.0 nie chroni dwóch punktów końcowych serwujących pakiety iOS in-house oraz manifesty (tylko wersja enterprise) za pomocą zamierzonego, losowego i ograniczonego czasowo tokena URL. Ponieważ polecenie MDM Apple InstallEnterpriseApplication wymaga, aby te adresy URL były osiągalne bez sesji Fleet, nie mogą one polegać na uwierzytelnianiu sesyjnym, a brak tokena umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym do serwera Fleet pobranie binariów IPA in-house i ich metadanych (identyfikator pakietu, wersja i nazwa) poprzez zgadywanie sekwencyjnych identyfikatorów tytułów. Wpływ ogranicza się do odczytu; nie ma eskalacji uprawnień ani dostępu do zapisu, a darmowa wersja nie jest dotknięta.

Heym przed wersją 0.0.53 nie weryfikuje nagłówka X-Telegram-Bot-Api-Secret-Token na punktach końcowych webhooków Telegrama, gdy credential_id jest nieobecne lub secret_token jest pusty. Zdalni nieuwierzytelnieni atakujący mogą wysyłać sfałszowane aktualizacje Telegrama, aby wyzwalać przepływy pracy z skonfigurowanymi poświadczeniami właściciela i wykonywać akcje na danych dostarczonych przez atakującego.

Heym przed wersją 0.0.53 nie weryfikuje podpisów żądań Slacka, gdy węzły wyzwalające nie mają identyfikatorów poświadczeń lub mają puste sekrety podpisywania. Zdalni nieuwierzytelnieni atakujący mogą wysyłać sfałszowane zdarzenia Slacka na znane adresy URL webhooków, aby wyzwalać przepływy pracy z poświadczeniami właściciela.

Parse Server w wersjach >= 9.0.0 < 9.10.1-alpha.10 i >= 8.0.2 < 8.6.91 nie weryfikuje kodu autoryzacyjnego u dostawcy zewnętrznego podczas logowania z nazwą użytkownika i hasłem, gdy używane są adaptery uwierzytelniania oparte na kodzie (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo). Umożliwia to uwierzytelnionemu użytkownikowi o niskich uprawnieniach dołączenie dowolnej, niezweryfikowanej tożsamości dostawcy do swojego konta, a także przejęcie konta ofiary, która później zaloguje się przez tego dostawcę. Problem został naprawiony w wersjach 9.10.1-alpha.10 i 8.6.91.

Funkcjonalność odzyskiwania konta (reset hasła) w aplikacji vulnerability-lookup zawiera wyścig TOCTOU w konsumpcji jednorazowych tokenów odzyskiwania. Dwa równoczesne żądania HTTP z tym samym ważnym tokenem mogą przejść weryfikację przed zatwierdzeniem transakcji, co pozwala obu ustawić własne hasło na koncie docelowym. Dodatkowo, w tym samym punkcie końcowym (confirm_account) ważny link odzyskiwania może być użyty do ustawienia pustego lub bardzo krótkiego hasła (np. trzy znaki), ponieważ walidacja formularza nie jest wywoływana.

KitchenOwl do wersji 0.7.10 nie weryfikuje, czy identyfikatory kategorii należą do gospodarstwa domowego wywołującego w operacjach wydatków i pozycji. Uwierzytelnieni atakujący mogą enumerować identyfikatory kategorii z innych gospodarstw, aby odczytać ich nazwy kategorii, budżety i kolory, łamiąc izolację gospodarstw.

Wersje Sylius przed 2.1.16 i 2.2.9 nie ograniczają akcji żądań płatności w punkcie końcowym Shop API, umożliwiając klientom wywoływanie zwrotów dla zakończonych zamówień. Atakujący posiadający tokeny zamówień mogą wysyłać dowolne akcje płatności, takie jak zwroty, które bramki płatności wykonują, podczas gdy Sylius nadal traktuje zamówienie jako opłacone.

Penpot przed 2.18.0 wiąże mostek WebSocket wtyczki serwera MCP ze wszystkimi interfejsami sieciowymi bez uwierzytelniania w trybie jednoużytkownikowym. Nieuwierzytelnieni atakujący w sieciach sąsiednich mogą połączyć się z portem WebSocket, podszyć się pod wtyczkę przeglądarki Penpot, przechwycić ładunki zadań i zwrócić sfałszowane wyniki do klienta MCP.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność Reflected XSS oraz otwarte przekierowanie. Parametr „return” jest dekodowany z base64 i zapisywany w linku „Back” bez walidacji.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność CSRF w akcjach czyszczenia w panelu administracyjnym. Usuwane są tylko osierocone wpisy plików i koszyki starsze niż 30 dni.

Rozszerzenie Joomla Event Gallery (svenbluege.de) w wersji poniżej 6.5.0 zawiera podatność CSRF w przesyłaniu obrazów. Z powodu braku sprawdzania tokena CSRF, witryna trzeciej strony może przesłać pliki do wydarzenia i nadpisać istniejące pliki o tej samej nazwie.

Podatność w wolfSSL powoduje pominięcie sprawdzania listy CRL dla certyfikatów bez adresu OCSP, gdy włączone jest jednocześnie sprawdzanie OCSP i CRL. W rezultacie certyfikat odwołany przez CRL może zostać zaakceptowany, a brak odpowiedzi OCSP jest traktowany jako odpowiedź pozytywna. Problem dotyczy wersji do 5.9.2 włącznie i jest osiągalny w TLS 1.0-1.3 oraz DTLS.

Nieudane wywołanie X509_verify_cert trwale umieszcza niezweryfikowany certyfikat atakującego CA we współdzielonym CertManager, omijając walidację certyfikatów we wszystkich konsumentach (TLS, OCSP, CRL, bezpośrednia weryfikacja). Dotyczy to wersji 5.8.4-5.9.2 wolfSSL z makrami (OPENSSL_EXTRA && !NO_CERTS && !WOLFCRYPT_ONLY) lub buildem --enable-opensslextra, gdy aplikacja wywołuje X509_verify_cert.

W wolfSSL w wersjach 5.9.2 i wcześniejszych występuje błąd w walidacji certyfikatów X.509, który nie egzekwuje poprawnie rozszerzeń NameConstraints, gdy między ograniczonym pośrednim CA a certyfikatem liścia znajduje się nieograniczony poziom CA. wolfSSL błędnie akceptuje certyfikaty dla nazw hostów, których nie powinien obejmować, z powodu błędu w maszynie stanów podczas przechodzenia łańcucha.

W wolfSSL w wersjach 5.7.2-5.9.2 występuje błąd implementacji po stronie klienta w RFC 6961 (wielokrotne stapling OCSP), który może prowadzić do fałszowania certyfikatów. Gdy klient włącza OCSP stapling z funkcją HAVE_CERTIFICATE_STATUS_REQUEST_V2 i używa wolfSSL_UseOCSPStaplingV2, akceptuje dowolny certyfikat w łańcuchu jako CA bez weryfikacji uprawnień.

We wszystkich wersjach korzystających z (D)TLS, w tym w wersjach domyślnych, istnieje sekwencja stanów warunkowych podczas zamykania TLS, która może prowadzić do użycia po zwolnieniu pamięci (heap-use-after-free). Jeśli aplikacja otrzyma częściowy wynik wolfSSL_read(), co czasami jest spowodowane małym buforem użytkownika, a następnie wywoła wolfSSL_shutdown w celu dwukierunkowego zamknięcia i spróbuje ponownie wywołać wolfSSL_read(), podczas gdy peer kontynuuje wysyłanie danych w trakcie zamykania, może dojść do użycia po zwolnieniu.

W bibliotece wolfSSL w wersjach od v5.3.0 do v5.9.2, w konfiguracjach bez zdefiniowanego NO_SESSION_CACHE_REF, funkcja wolfSSL_get_session() zwraca uchwyt do wpisu w globalnym cache sesji zamiast obiektu sesji. Ponieważ identyfikator sesji TLS 1.2 jest wybierany przez serwer i przesyłany jawnie, złośliwy serwer może nadpisać wpis klienta dla innego serwera, a następnie zostać zaakceptowany jako serwer oryginalny podczas wznowienia sesji bez weryfikacji certyfikatu i nazwy domeny.

Wtyczka PowerPress Podcasting by Blubrry dla WordPressa przed wersją 11.17.2 nie sanityzuje i nie escapuje atrybutu bloku przed wyświetleniem go na stronie, co może pozwolić użytkownikom z rolą współautora i wyższą na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka NextScripts: Social Networks Auto-Poster dla WordPressa przed wersją 4.4.8 nie przeprowadza kontroli uprawnień ani własności w kilku akcjach AJAX, opierając się wyłącznie na nonce, co pozwala użytkownikom, którym administrator przyznał dostęp do funkcji publikowania, na eksport skonfigurowanych poświadczeń kont społecznościowych, usuwanie dowolnych wpisów i resetowanie konfiguracji wtyczki.