Katalog podatności CVE

Metody fabryczne JAXB polegają wyłącznie na FEATURE_SECURE_PROCESSING w celu blokowania rozwiązywania zewnętrznych encji XML. W implementacjach JAXP, gdzie ta funkcja nie blokuje rozwiązywania zewnętrznych encji, atakujący mogą odczytać lokalne pliki poprzez out-of-band XXE.

AnyDesk przed wersją 8.0.3 umożliwia nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu przez przepełnienie sterty, co wykazano na Linuksie jako wykonanie poleceń jako root bez zatwierdzenia kontroli pulpitu przez ofiarę. W obsłudze pakietów strumieniowych dla trybu 5 w protokole sesji nie jest weryfikowana długość ładunku.

Podatność w Netis WF2409E 3.3.42541 dotyczy nieznanej funkcji komponentu Wireless Settings. Manipulacja argumentem SSID prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.

Wykryto podatność bezpieczeństwa w aplikacji SHAREit 6.27.38_ww na Androida, dotyczącą funkcji syncInvoke komponentu WebView JS Bridge, która umożliwia wykorzystanie niebezpiecznej procedury.

W Linksys E1700 w wersji 1.0.0.4.003 znaleziono podatność w funkcji setLinksysIpv6 w pliku /goform/setLinksysIpv6. Manipulacja argumentami _6rd_prefix/_6rd_prefix_len prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W Linksys E1700 w wersji 1.0.0.4.003 zidentyfikowano słabość w funkcji setDMZ w pliku /goform/setDMZ. Manipulacja argumentem MAC_addr prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit został upubliczniony.

W mutter znaleziono błąd use-after-free w ścieżce przetwarzania opisów obrazów ICC w Wayland. Lokalny atakujący, który może uruchomić złośliwego klienta Wayland, może zniszczyć zasób wp_image_description_v1 podczas trwającego asynchronicznego odczytu pliku ICC. Po zakończeniu odczytu kompozytor używa zwolnionej pamięci, co może doprowadzić do awarii sesji GNOME lub wykonania dowolnego kodu w procesie kompozytora.

Thelia 2.6.1 zawiera podatność absolutnej ścieżki traversal w obsłudze szablonów Smarty, umożliwiającą SSTI i zdalne wykonanie kodu. Funkcja checkTemplate() ogranicza względne sekwencje traversal, ale nie odrzuca ścieżek absolutnych, co pozwala autoryzowanemu użytkownikowi podać dowolną ścieżkę jako szablon. Smarty ładuje i kompiluje wskazany plik bez skutecznej polityki bezpieczeństwa, co może prowadzić do wykonania kodu z uprawnieniami serwera WWW.

Thelia v2.6.1 zawiera podatności path traversal i wstrzykiwania kodu PHP w edytorze tłumaczeń, które można połączyć, aby osiągnąć zdalne wykonanie kodu. Parametr item_name nie oczyszcza sekwencji traversal, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami UPDATE na admin.configuration.language zapisywać pliki poza katalogiem templates/, w tym w ścieżkach dostępnych przez WWW. Dodatkowo logika zapisu tłumaczeń nie escapuje znaków \, co pozwala na wstrzyknięcie kodu PHP do pliku tłumaczeń. Połączone luki umożliwiają zapis złośliwego pliku PHP i jego wykonanie z uprawnieniami serwera WWW.

Thelia v2.6.0 umożliwia uwierzytelnionym administratorom przesyłanie i instalowanie modułów przez funkcję ZIP upload bez walidacji lub sandboxowania osadzonego kodu PHP. Atakujący może umieścić złośliwy kod PHP w metodzie install() modułu, który zostanie wykonany podczas instalacji, umożliwiając zdalne wykonanie kodu z uprawnieniami serwera WWW.

Thelia 2.6.0 używa Smarty do szablonów e-mail bez odpowiedniego ograniczenia dostępu do niebezpiecznych funkcji PHP. Uwierzytelniony administrator może wstrzyknąć złośliwe wyrażenia Smarty do szablonów e-mail przez interfejs konfiguracji wiadomości, a podczas podglądu lub renderowania funkcje takie jak system(), exec(), file_put_contents() i file_get_contents() mogą być wykonane z uprawnieniami procesu WWW. Pozwala to na wykonanie dowolnych poleceń OS, operacje odczytu/zapisu plików i RCE na serwerze.

Thelia v2.6.0 w szablonach Smarty (address.html i address-update.html) nie escapuje poprawnie podwójnych cudzysłowów w parametrze 'next', co umożliwia odbity Cross-Site Scripting (XSS), gdy uwierzytelniony użytkownik odwiedzi złośliwy link zawierający atakujący JavaScript.

W Thelia v2.6.0 zarówno endpoint logowania administracyjnego, jak i zapomnianego hasła zwracają różne odpowiedzi dla nieprawidłowych nazw użytkownika i błędnych haseł, co pozwala nieuwierzytelnionym atakującym na enumerację kont administratorów. Brak ograniczeń tempa żądań ułatwia skalowanie ataku.

Thelia v2.6.0 jest podatna na wiele trwałych podatności XSS w interfejsie administracyjnym. Dane wprowadzane przez użytkownika są przechowywane bez wystarczającego kodowania wyjściowego lub sanityzacji, a następnie renderowane w interfejsie administratora i/lub na stronach produktów sklepu, co umożliwia wykonanie dowolnego JavaScript podczas przeglądania dotkniętych stron. Podatność dotyczy wielu funkcji administracyjnych, w tym tworzenia kategorii i produktów.

Thelia v2.6.0 zawiera podatność otwartego przekierowania w procesie tworzenia adresu. Po uzyskaniu dostępu do spreparowanego URL i pomyślnym przesłaniu formularza 'Add New Address', aplikacja przekierowuje użytkownika na URL określony w parametrze 'next'. Ponieważ aplikacja nie weryfikuje, czy miejsce docelowe należy do tej samej domeny lub jest na liście dozwolonych, atakujący może podać dowolny zewnętrzny URL i przekierować użytkowników na kontrolowaną przez siebie stronę.

W Thelia v2.6.0 funkcja przesyłania banerów nie wykonuje wystarczającej walidacji typu pliku, opierając się wyłącznie na typach MIME dostarczanych przez klienta. Osoba z dostępem administracyjnym może przesłać plik PHP podszywający się pod obraz, aby ominąć walidację i uzyskać zdalne wykonanie kodu na serwerze.

W Thelia v2.6.0 punkt końcowy aktualizacji dokumentów nie wykonuje takiej samej walidacji jak punkt przesyłania, który blokuje wykonywalne typy plików. Osoba z uprawnieniami administracyjnymi może wykorzystać tę podatność do przesłania dowolnych plików wykonywalnych, takich jak złośliwe skrypty PHP, aby uzyskać zdalne wykonanie kodu na serwerze.

Ten identyfikator CVE został odrzucony lub wycofany przez CVE Numbering Authority.

Podatność na wstrzykiwanie poleceń systemu operacyjnego (OS command injection) w edytorze dokumentów UYAP przed wersją 5.4.20 na Windows i Linux oraz przed 5.4.21 na iOS. Niewłaściwa neutralizacja specjalnych elementów pozwala na wykonanie dowolnych poleceń systemowych.

W UYAP Document Editor (Windows, Linux, MacOS) przed wersją 5.4.20/5.4.21 znaleziono podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection).