Katalog podatności CVE

Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.

Speedtest Tracker do wersji 1.15.0 zawiera podatność polegającą na obejściu listy dozwolonych adresów IP, która pozwala nieuwierzytelnionym zdalnym atakującym na ominięcie list ALLOWED_IPS i Prometheus przez sfałszowanie nagłówków X-Forwarded-For. Ponieważ bootstrap/app.php ufa każdemu peerowi jako proxy, atakujący mogą podać dozwolony adres, aby odczytać metryki /prometheus i dotrzeć do chronionych endpointów webowych i API.

Miniflux w wersjach od 2.3.0 do 2.3.3 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom dotrzeć do adresów wewnętrznych poprzez ustawienie proxy_url kanału. Atakujący może wskazać proxy_url na loopback lub hosty wewnętrzne, omijając kontrole FETCHER_ALLOW_PRIVATE_NETWORKS, aby sondować wewnętrzne porty i wysyłać żądania w stylu proxy do usług wewnętrznych.

Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.

Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom dołączać do publicznych przestrzeni roboczych tylko na zaproszenie, ignorując ustawienie can_only_join_via_invite. Atakujący z rolą Raven User może wywołać metodę join_workspace, aby stać się trwałym członkiem, czytając i publikując w kanałach Public i Open.

Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji w starszych metodach w raven/api/raven_message.py, które pomijają sprawdzanie członkostwa w przestrzeni roboczej. Uwierzytelnieni nie-członkowie mogą wywołać get_messages_with_dates lub get_all_files_shared_in_channel z przewidywalnymi identyfikatorami kanałów, aby czytać historię kanałów Public oraz metadane plików kanałów Open/Public w różnych przestrzeniach roboczych.

Corteza do wersji 2024.9.10 zawiera błąd nieprawidłowej autoryzacji w endpointach załączników kompozycji, który pozwala nieuwierzytelnionym atakującym pobierać prywatne załączniki poprzez ustawienie segmentu kind w URL na page, icon lub namespace. Atakujący znający identyfikator prywatnego rekordu lub modułu może zażądać oryginalnej lub podglądowej trasy bez tokenu czy podpisu, omijając granice uprawnień namespace i rekordów.

Flyte w wersjach od 2.0.1 do 2.0.51 zawiera podatność polegającą na przechowywaniu sekretów w postaci jawnej, co pozwala użytkownikom z dostępem do odczytu Podów uzyskać sekrety poprzez odczyt zmiennych środowiskowych kontenera init. Wbudowany webhook menedżera sekretów zapisuje wartości sekretów zamontowanych jako pliki w formacie base64 do zmiennej środowiskowej SECRETS, umożliwiając podmiotom bez dostępu do magazynu sekretów ich zdekodowanie ze specyfikacji Pod.

EdgeEver do wersji 1.108.0 zawiera podatność braku autoryzacji w trasach szablonów notatek API Hono, która pozwala posiadaczom tokenów API o ograniczonym zakresie obejść ograniczenia zakresu tokenu, ponieważ handlery szablonów nigdy nie wywołują requireScopes. Atakujący z tokenem bez uprawnienia write:memos może zapisać szablon i wywołać POST /api/v1/templates/:id/use, aby tworzyć notatki oraz wyświetlać, modyfikować lub usuwać szablony w przestrzeni roboczej właściciela tokenu.

GLPI do wersji 12.0.0 zawiera podatność braku autoryzacji w pliku ajax/map.php, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wyszukiwać typy elementów, których nie mogą wyświetlać, poprzez pominięcie sprawdzenia canView(). Atakujący mogą przesyłać spreparowane kryteria wyszukiwania dla typów takich jak Contact, Supplier, Contract i Budget, aby uzyskać liczby dopasowań, tytuły i współrzędne w obrębie swoich encji.

Cheshire Cat AI core do wersji 2.0.23 zawiera podatność przechowywanego cross-site scripting w pluginie uploads, która pozwala uwierzytelnionym użytkownikom przesyłać pliki HTML przez POST /uploads bez ograniczeń typu. Atakujący mogą wysłać publiczny URL GET /uploads/{path} do zalogowanej ofiary, wykonując skrypt w origin aplikacji z ciasteczkiem access_token ofiary, w tym administratorów.

Sylius do wersji 2.3.0 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym czytać nieumoderowane i odrzucone recenzje produktów, ponieważ filtr AcceptedExtension nie jest stosowany do operacji na elemencie. Atakujący mogą enumerować sekwencyjne identyfikatory na GET /api/v2/shop/product-reviews/{id}, aby uzyskać tytuły recenzji, oceny, komentarze, znaczniki czasu i imiona autorów, omijając moderację sprzedawcy.

answer-me-with-html do wersji 0.5.0 zawiera podatność polegającą na podążaniu za linkami w kodzie CLI am przy osadzaniu src=, gdzie localPath() sprawdza tylko tekst ścieżki bez rozwiązywania dowiązań symbolicznych. Atakujący mogą dostarczyć repozytorium z dowiązaniem symbolicznym wskazującym poza checkout, tak że am render osadza czytelne zewnętrzne pliki w wygenerowanym HTML, ujawniając je podczas udostępniania.

open-computer-use do commita 610bac8 zawiera podatność przechowywanego cross-site scripting w Logger.write_log_file w os_computer_use/logging.py, która zapisuje tekst transkryptu do log.html bez escapowania HTML. Atakujący kontrolujący zawartość sandboxa, taką jak strony internetowe lub pliki pojawiające się w wynikach run_command, mogą wstrzyknąć skrypt, który uruchamia się, gdy operatorzy otworzą log, eksfiltrując zawartość transkryptu.

Open Computer Use do wersji 1.0.0 na macOS zawiera podatność nieprawidłowego rozróżniania wielkości liter, która pozwala lokalnym wywołującym MCP obejść listę zablokowanych menedżerów haseł przy użyciu identyfikatorów pakietów o zmienionej wielkości liter. Atakujący, w tym wstrzyknięte monity modelu, mogą przekazać identyfikatory takie jak com.1Password.1Password do narzędzi get_app_state i action, aby odczytać drzewa dostępności, przechwycić zrzuty ekranu i sterować odblokowanymi interfejsami menedżera haseł.

phpIPAM do wersji 1.8.3 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wyświetlać zastrzeżone podsieci i adresy, ponieważ strony customer, location i NAT pomijają Subnets::check_permission. Atakujący mogą otworzyć customer objects.php, single-location.php lub nat_details.php, aby odczytać adresy IP, CIDR, nazwy hostów i adresy MAC z sekcji, do których nie mają dostępu.

LLMGateway do wersji 1.20.0 zawiera podatność blind server-side request forgery, która pozwala posiadaczom kluczy API na dostęp do wewnętrznych hostów poprzez rozszerzenie callback_url generowania wideo. Atakujący mogą podać adresy loopback, prywatne lub cloud-metadata, do których deliverWebhook wysyła POST, bez sprawdzenia assertSafeWebhookTarget, docierając do wewnętrznych usług z sieci workera.

Rill w wersjach od 0.77.0 do 0.90.5 zawiera podatność braku autoryzacji w serwerze OAuth administratora, który wydaje kody autoryzacyjne dynamicznie zarejestrowanym klientom bez zgody użytkownika. Atakujący mogą zarejestrować klienta z zakresem long_lived_access_token i nakłonić użytkownika do kliknięcia linku autoryzacyjnego, uzyskując niegasnący token API z pełnymi uprawnieniami użytkownika.