Katalog podatności CVE

Podatność nieprawidłowej autoryzacji w SEMCMS (do wersji 5.0) w pliku /admin/SEMCMS_User.php?Class=Deleted&CF=user. Manipulacja prowadzi do nieprawidłowej autoryzacji, atak możliwy zdalnie.

Podatność ujawnienia informacji w WMCMS 4.446.1257 w pliku /index.php. Manipulacja argumentem path/file prowadzi do ujawnienia informacji, atak możliwy zdalnie.

Podatność ujawnienia informacji w tsi-coop tsi-dpdp-cms w wersjach 0.5.0/0.5.1/0.5.2 w komponencie JSON Schema Validation. Manipulacja argumentem _func prowadzi do ujawnienia informacji, atak możliwy zdalnie.

Wtyczka Event post (do wersji 6.1.1) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć uprawnień.

Wtyczka VideoWhisper Site Manager for ChatGPT, Claude, Codex (do wersji 1.2.10) zawiera podatność Missing Authorization, która umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć uprawnień.

Wtyczka Paid Videochat Turnkey Site (do wersji 7.5.12) zawiera podatność typu Improper Validation of Specified Quantity in Input, która pozwala na manipulację danymi wejściowymi. Atakujący może wprowadzić nieprawidłowe wartości ilościowe, co może prowadzić do nieoczekiwanego zachowania aplikacji.

Wtyczka Event post (do wersji 6.1.1) zawiera podatność typu Authorization Bypass Through User-Controlled Key, która pozwala na obejście autoryzacji poprzez manipulację kluczem kontrolowanym przez użytkownika. Atakujący może uzyskać dostęp do zasobów lub wykonać akcje, do których nie ma uprawnień.

Wtyczka Flexible Quantity – Measurement Price Calculator for WooCommerce (do wersji 2.3.22) zawiera podatność typu Improper Validation of Specified Quantity in Input, która pozwala na manipulację danymi wejściowymi. Atakujący może wprowadzić nieprawidłowe wartości ilościowe, co może prowadzić do błędnego obliczania cen lub ilości produktów.

Wtyczka TMDS (do wersji 1.0.15) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć uprawnień.

Moduły HTTP Basic Authentication w ((OTRS)) Community Edition 6 i wcześniejszych akceptują nazwę użytkownika z zmiennej środowiskowej REMOTE_USER lub HTTP_REMOTE_USER. W środowiskach CGI i mod_perl nagłówki żądań HTTP mogą być mapowane na zmienne środowiskowe HTTP_*, więc nieuwierzytelniony zdalny atakujący może dostarczyć spreparowany nagłówek Remote-User, który aplikacja odczyta jako HTTP_REMOTE_USER. Gdy HTTP Basic Authentication jest skonfigurowane jako backend uwierzytelniania, OTRS ufa tej wartości jako już uwierzytelnionej nazwie użytkownika i nie wykonuje dodatkowej weryfikacji hasła.

OTRS nie neutralizuje wystarczająco wartości kontrolowanych przez użytkownika, które są następnie umieszczane w eksportach CSV. Atakujący może wstrzyknąć wartości rozpoczynające się od znaków formuł arkusza kalkulacyjnego (=, +, -, @), które po otwarciu pliku CSV w arkuszu mogą zostać zinterpretowane jako formuły i wykonać niezamierzone akcje. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.

OTRS nie egzekwuje wystarczająco unikalności tożsamości użytkowników-klietnów w wielu skonfigurowanych backendach CustomerUser. Gdy skonfigurowano wiele backendów (np. baza danych i LDAP), sprawdzanie unikalności adresów e-mail odbywa się tylko w wybranym backendzie, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia/modyfikacji użytkowników-klietnów utworzyć konto z adresem e-mail już istniejącym w innym backendzie. Może to prowadzić do powiązania informacji lub komunikacji e-mail z niewłaściwym użytkownikiem. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.

W systemie OTRS wykryto podatność CSRF, która pozwala nieuwierzytelnionemu atakującemu wymusić na przeglądarce zalogowanego administratora wykonanie akcji administracyjnych, takich jak czyszczenie logów DBUpdate, bez odpowiedniej weryfikacji tokenu ChallengeToken. Atak może zostać przeprowadzony poprzez osadzenie spreparowanego żądania GET na złośliwej stronie internetowej. Skuteczne wykorzystanie może usunąć istniejące wpisy logów DBUpdate, ograniczając dostępność informacji diagnostycznych i historycznych używanych do rozwiązywania problemów i audytów.

W OTRS wcześniej wydane tokeny uwierzytelniające (JWT) nie są natychmiast unieważniane po dezaktywacji konta agenta lub klienta albo po zmianie hasła. Token może pozostać ważny aż do swojego zwykłego czasu wygaśnięcia, czyli około 16 godzin. Atakujący, który wcześniej zdobył ważny token, może nadal korzystać z OTRS z uprawnieniami danego konta.

Endpoint konfiguracji OTRS Agent Frontend może być dostępny bez uwierzytelnienia. Pozwala to nieuwierzytelnionym zdalnym użytkownikom na pobranie wewnętrznej konfiguracji aplikacji przeznaczonej dla uwierzytelnionego Agent Frontend. Ujawnione informacje mogą obejmować trasy frontendu i powiązane grupy autoryzacyjne, konfigurację uwierzytelniania, włączone funkcje produktu, ustawienia integracji z zewnętrznymi systemami i inne szczegóły implementacji. Podatność dotyczy wersji 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X.

Podatność typu path traversal w funkcji SendSupportBundle w OTRS pozwala uwierzytelnionemu administratorowi odwoływać się do ścieżek plików poza zamierzonym katalogiem, co może umożliwić usunięcie plików dostępnych dla procesu aplikacji OTRS.

Administrator OTRS może wprowadzić dowolny kod JavaScript do treści niestandardowej strony OTRS, który jest przechowywany przez aplikację i wykonywany w przeglądarce użytkowników odwiedzających tę stronę. Podatność dotyczy wersji OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X.

Uwierzytelniony administrator może zostać nakłoniony do usunięcia administracyjnych szablonów Import/Export poprzez atak CSRF. Akcja AdminImportExport::TemplateDelete nie waliduje tokenu ChallengeToken, co pozwala zdalnemu atakującemu na wykonanie złośliwego żądania z uprawnieniami aktywnej sesji administratora. Podatność dotyczy OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X, a także Community Edition 6.x i wcześniejszych.

W komponencie keycloak-services Keycloak znaleziono błąd w implementacji Client-Initiated Backchannel Authentication (CIBA). Keycloak nie weryfikuje, czy klient jest autoryzowany do korzystania z przepływu CIBA, co pozwala publicznym klientom ominąć wymagania bezpieczeństwa. Atakujący może wykorzystać tę wadę, aby nakłonić użytkownika do zatwierdzenia żądania logowania, uzyskując pełny dostęp do konta bez znajomości sekretu klienta.

W Eleveo Call Recording Software do wersji 10.3.0 zidentyfikowano podatność w nieznanym przetwarzaniu pliku /auth/realms/default/protocol/openid-connect/logout. Manipulacja prowadzi do wygaśnięcia sesji. Atak zdalny jest możliwy. Exploit jest publicznie dostępny i może być wykorzystany. Sprzedawca nie odpowiedział na zgłoszenie.