Katalog podatności CVE

Podatność Broken Access Control w wtyczce MarketKing w wersjach do 2.1.70 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.

Podatność Broken Access Control w wtyczce WP User Manager w wersjach do 2.9.19 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.

Podatność Cross Site Scripting (XSS) w wtyczce wpForo Forum w wersjach do 3.1.5 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Subscriber.

Wtyczka AI Engine w wersjach do 3.7.8 zawiera podatność typu Insecure Direct Object References (IDOR), która pozwala nieuwierzytelnionemu atakującemu na dostęp do obiektów, do których nie powinien mieć uprawnień. Brak uwierzytelnienia przy odwołaniach do obiektów umożliwia manipulowanie identyfikatorami w celu uzyskania nieautoryzowanego dostępu.

Wtyczka PayPlus Payment Gateway w wersjach do 8.2.5 zawiera podatność typu Broken Access Control, która pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmów kontroli dostępu. Brak odpowiedniej weryfikacji uprawnień umożliwia wykonanie operacji zastrzeżonych dla uprawnionych użytkowników.

Wtyczka JetTricks od Jetimpex Inc. (Crocoblock) w wersjach do 2.0.1 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany w przeglądarce ofiary.

Wtyczka WSP MCP – AI Agents Connector w wersjach do 2.7.0 zawiera podatność typu Broken Access Control, która pozwala użytkownikowi z rolą Contributor na obejście mechanizmów kontroli dostępu. Brak odpowiedniej weryfikacji uprawnień umożliwia wykonanie operacji zastrzeżonych dla wyższych ról.

Wtyczka SiteSkite w wersjach do 2.1.7 zawiera podatność typu Insecure Direct Object References (IDOR), która pozwala użytkownikowi z rolą Contributor na dostęp do obiektów, do których nie powinien mieć uprawnień. Brak odpowiedniej weryfikacji uprawnień przy odwołaniach do obiektów umożliwia manipulowanie identyfikatorami w celu uzyskania nieautoryzowanego dostępu.

Mesop to framework UI w języku Python do budowania aplikacji webowych. W wersjach przed 1.3.4 nieuwierzytelniony endpoint /__csp__ przekazuje kontrolowane przez atakującego wartości document-uri, blocked-uri i violated-directive do handlera csp_report w pliku mesop/server/static_file_serving.py, który wypisuje je na standardowe wyjście bez neutralizacji sekwencji sterujących terminala. Gdy operator przegląda logi w terminalu obsługującym ANSI, wstrzyknięte sekwencje ANSI lub VT100 mogą czyścić lub przesuwać wyświetlacz, ukrywać tekst lub prezentować fałszywe komunikaty, zmniejszając integralność danych monitoringu i reagowania na incydenty. Problem został naprawiony w wersji 1.3.4.

Caddy to rozszerzalna platforma serwerowa domyślnie używająca TLS. W wersji 2.11.3 i wcześniejszych w pliku modules/caddyhttp/fileserver/staticfiles.go funkcja fileHidden() używa wrażliwych na wielkość liter sprawdzeń filepath.Match, przez co warianty wielkości liter mogą obejść reguły ukrywania na systemach plików niewrażliwych na wielkość liter lub gdy współistnieją ścieżki o mieszanej wielkości liter, ujawniając pliki przeznaczone do ukrycia.

Sulu to open-source'owy system zarządzania treścią w PHP oparty na frameworku Symfony. W wersjach przed 2.6.25 i 3.0.8 linie wydawnicze Sulu 2.6 i 3.0 mają Smart Content QueryBuilder w pliku src/Sulu/Component/Content/SmartContent/QueryBuilder.php, który konkatenuje identyfikatory kategorii z publicznego parametru zapytania categories do klauzuli WHERE JCR-SQL2 bez walidacji numerycznej. Na publicznej stronie zawierającej blok Smart Content filtrowany po kategorii nieuwierzytelniony atakujący może zmienić warunki zapytania, aby wywnioskować lub wyliczyć węzły repozytorium treści, w tym nieopublikowane treści, lub przesłać zniekształcone i kosztowne fragmenty zapytań, które obniżają dostępność; ta ścieżka nie modyfikuje danych repozytorium. Problem został naprawiony w wersjach 2.6.25 i 3.0.8.

Caddy to rozszerzalna platforma serwerowa domyślnie używająca TLS. W wersji 2.11.3 i wcześniejszych w pliku modules/caddyhttp/replacer.go rozwiązywanie http.request.body odczytuje całe ciało żądania za pomocą nieograniczonego io.Copy, zanim zadziałają limity middleware ciała żądania, co pozwala na wyczerpanie pamięci i zakończenie procesu.

Rozszerzenie Joomla Easy Store (joomshaper.com) w wersjach 1.0.0-3.0.0 zawiera podatność typu Missing CSRF Token Verification w punkcie końcowym przesyłania recenzji produktu (index.php?option=com_easystore&task=product.addReview). Endpoint akceptował zgłoszenia bez weryfikacji tokena anty-CSRF (sprawdzenie zostało zakomentowane w kodzie). Atakujący mógł nakłonić zalogowanego użytkownika do opublikowania nieautoryzowanych recenzji lub przesłania spamu recenzji poprzez żądania cross-site. Problem został rozwiązany poprzez wymuszenie Session::checkToken('request') / Session::checkToken('post') w ProductController, wstrzyknięcie HTMLHelper::_('form.token') do szablonu formularza recenzji oraz dołączenie tokena sesji do ładunku przesyłania w review-form.js.

Biblioteka JLine do obsługi konsoli w Javie ma podatność w wbudowanym edytorze nano, gdzie tryb wyszukiwania regex przekazuje kontrolowany przez użytkownika termin do silnika wyrażeń regularnych bez limitu czasu lub ograniczenia cofania. Złośliwe wyrażenie może powodować nadmierne zużycie CPU i zablokowanie wątku sesji edytora.

Biblioteka JLine ma podatność w metodzie DefaultHistory.matchPatterns, gdzie wartość konfiguracji HISTORY_IGNORE jest konwertowana na wyrażenie regularne z niepełnym escapowaniem składni. Atakujący kontrolujący konfigurację może dostarczyć złośliwe wyrażenie, które jest przetwarzane przy każdym dodaniu komendy do historii, powodując nadmierne zużycie CPU i blokadę wątku czytnika.

Metoda StringListPathField.to_internal_value() wywołuje os.path.exists() na nieograniczonych ścieżkach podanych przez użytkownika. Różnica w odpowiedziach 200 vs 400 ujawnia istnienie dowolnych ścieżek bezwzględnych w podzie controller-web, w tym plików wrażliwych jak SECRET_KEY czy tokeny konta serwisowego.

Metoda HostList.list() łapie wyjątek Exception i zwraca str(e) bezpośrednio. Poprzez host_filter, każdy uwierzytelniony użytkownik może wywołać Django FieldError (ujawniający pełny graf relacji modelu Host) lub PostgreSQL DataError (ujawniający surowe błędy bazy danych).

Endpoint /api/v2/config/ jest chroniony tylko przez IsAuthenticated, co oznacza, że każdy uwierzytelniony użytkownik otrzymuje license_info, w tym numery kont, ID subskrypcji, pool_id, SKU, poziom wsparcia i liczbę instancji. Brama superuser/auditor obejmuje tylko inne pola, nie license_info.

Widok JobJobEventsChildrenSummary nie ma modelu ani parent_model, co powoduje, że ModelAccessPermission.check_get_permissions() zwraca True dla każdego uwierzytelnionego użytkownika. Widok używa surowego get_object_or_404(Job, pk) bez sprawdzenia uprawnień na poziomie obiektu DRF, co pozwala użytkownikowi bez uprawnień odczytywać strukturę drzewa zdarzeń i enumerować ID zadań.

URLModificationMiddleware rozwiązuje nazwane URL-e względem nieprzefiltrowanego Model.objects przed RBAC. Shim 403→404 tylko przepisuje odpowiedzi 403, pozostawiając ścieżkę pk=0 z innym komunikatem 404. Różnica między "Not found." a "No <Model> matches..." ujawnia, czy nazwany zasób istnieje na platformie.