Katalog podatności CVE

W MISP widok zdarzenia Overmind wzbogaca zdarzenie o jego najnowszy dołączony raport w celach podglądu. Logika wzbogacania pobierała raport używając tylko ID zdarzenia jako warunku wyszukiwania, bez uwzględniania własnych ograniczeń dystrybucji/ACL raportu. Ponieważ raporty MISP mają niezależne ustawienie dystrybucji, które może być bardziej restrykcyjne niż dystrybucja zdarzenia nadrzędnego, uwierzytelniony użytkownik z dostępem do odczytu zdarzenia mógł pobrać i wyświetlić raport, którego dystrybucja wykluczała tego użytkownika. Dodatkowo zapytanie nie filtrowało miękkich usunięć, umożliwiając pobranie raportów administracyjnie usuniętych.

Znaleziono podatność w mtrano APENCMS do wersji 6546096d354153309693efabb9a0d824628ed4f5. Dotkniętym elementem jest funkcja eval w pliku cms/weasel.php komponentu Template Engine. Manipulacja argumentem $_CMS['site'] prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Produkt wykorzystuje system ciągłego wydawania (rolling release), więc informacje o wersjach dotkniętych lub zaktualizowanych nie są ujawniane. Sprzedawca został skontaktowany wcześnie, ale nie odpowiedział.

SGLang zawiera podatność na atak DoS spowodowaną brakiem walidacji danych wejściowych dla komunikatów kontrolnych AUX_DATA ZeroMQ w workerze Decode. Umożliwia to nieuwierzytelnionemu zdalnemu atakującemu z dostępem sieciowym do gniazda PULL kontroli Decode zakończenie wątku kontroli Decode i spowodowanie odmowy usługi na docelowym serwerze.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera lukę braku autoryzacji w akcji AJAX marketking_get_page_content, która umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym dostęp do dowolnych stron panelu administratora sprzedawcy poprzez podanie dowolnego ID użytkownika sprzedawcy. Atakujący mogą ominąć kontrolę autoryzacji, przesyłając docelowe ID sprzedawcy w żądaniu, aby uzyskać dostęp do stron wypłat, raportów finansowych i treści pulpitu sprzedawcy należących do dowolnego sprzedawcy na rynku.

W x-ui 0.3.2 istnieje odbita podatność cross-site scripting (XSS). Interfejs zarządzania odzwierciedla surowy URI żądania w wyrażeniu wiązania szablonu po stronie klienta używanym do podświetlania pozycji menu bocznego. Escaping encji HTML po stronie serwera jest nieskuteczny w tym kontekście: przeglądarka dekoduje encje przed oceną treści przez framework po stronie klienta jako wyrażenie JavaScript. Zalogowany użytkownik panelu, który odwiedzi spreparowany URL, umożliwia wykonanie dowolnego skryptu w kontekście tej samej strony zarządzania, co umożliwia kradzież danych i nieautoryzowane działania w sesji ofiary.

NVIDIA Infrastructure Controller for Linux zawiera podatność, w której atakujący może spowodować nieprawidłową walidację certyfikatów. Skuteczne wykorzystanie tej luki może prowadzić do ujawnienia informacji, manipulacji danymi i odmowy usługi.

NVIDIA Infrastructure Controller for Linux zawiera podatność, w której atakujący może spowodować ujawnienie wrażliwych informacji systemowych z powodu niewyczyszczonych informacji debugowania. Skuteczne wykorzystanie tej luki może prowadzić do ujawnienia informacji.

Podatność w NVIDIA Infrastructure Controller for Linux pozwala atakującemu na niewłaściwe egzekwowanie przepływu pracy behawioralnej. Udane wykorzystanie może prowadzić do naruszenia danych, odmowy usługi i ujawnienia informacji.

Podatność w NVIDIA Infrastructure Controller for Linux umożliwia atakującemu zewnętrzną kontrolę nazwy pliku lub ścieżki. Udane wykorzystanie może prowadzić do wykonania kodu, podniesienia uprawnień, naruszenia danych i odmowy usługi.

Podatność w NVIDIA Infrastructure Controller for Linux pozwala atakującemu na wstrzyknięcie XML. Udane wykorzystanie może prowadzić do naruszenia danych i odmowy usługi.

Podatność w NVIDIA Infrastructure Controller for Linux polega na użyciu twardo zakodowanego hasła. Udane wykorzystanie może prowadzić do naruszenia danych, odmowy usługi i ujawnienia informacji.

Podatność w NVIDIA Infrastructure Controller for Linux pozwala atakującemu na niekontrolowane zużycie zasobów. Udane wykorzystanie może prowadzić do odmowy usługi.

Podatność w NVIDIA Infrastructure Controller for Linux umożliwia atakującemu niekontrolowane zużycie zasobów. Udane wykorzystanie może prowadzić do odmowy usługi.

MISP zawiera podatność na trwały cross-site scripting (XSS) w ekranie tworzenia e-maili administratora. Nazwa organizacji MISP.org jest interpolowana bezpośrednio do literału ciągu JavaScript bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript. Wstrzyknięty skrypt wykonuje się w kontekście każdego uwierzytelnionego użytkownika, który załaduje stronę, co może prowadzić do przejęcia sesji, kradzieży danych lub wykonywania uprzywilejowanych działań.

Komponent RequestHandlerComponent w MISP automatycznie dekoduje ciała żądań XML dla wszystkich żądań zapisu. Ze względu na błąd logiczny w warunku readFile w bibliotece Xml::build(), żądanie z adresem HTTPS może zostać pobrane jako zasób przez serwer. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie POST do punktu cspReport, aby spowodować wychodzące żądanie HTTPS do dowolnego celu osiągalnego przez serwer, co umożliwia skanowanie wewnętrznych usług lub ataki na wewnętrzne punkty końcowe.

W MISP metoda queryEnrichment w EventsController.php akceptuje nazwę modułu i iteruje po liście włączonych modułów. Jeśli moduł nie znajduje się na liście, kod kontynuuje z domyślnymi parametrami zamiast odrzucić żądanie. Umożliwia to uwierzytelnionemu użytkownikowi wywołanie wzbogacania lub analizy przez moduł, który nie był włączony, co omija kontrolę dostępności modułów.

W MISP metoda add() w CollectionsController egzekwuje autoryzację grupy udostępniania tylko dla metody POST, ale CRUDComponent::add() zapisuje dane również dla PUT. Uwierzytelniony użytkownik może wysłać żądanie PUT do endpoints collections/add, aby utworzyć kolekcję z distribution=4 (współdzielenie z konkretną grupą), do której nie ma uprawnień. To omija kontrolę dostępu.

Skrypty instalacyjne MISP dla systemów Debian 12, Debian 13, Ubuntu 24.04 i RHEL 9.4 tworzą plik dziennika /var/log/misp_install.log oraz nazwany potok (FIFO) /var/log/misp_install.log.pipe, które przechowują poufne dane, takie jak hasła administratora, bazy danych, GPG i nadzorcy. Pliki są tworzone z domyślną maską umask, co skutkuje uprawnieniami czytania dla wszystkich użytkowników (0644). Dodatkowo, przed utworzeniem pliku nie sprawdzano, czy nie istnieje dowiązanie symboliczne, co pozwala na przekierowanie zapisu do dowolnej lokalizacji. Podatność dotyczy wersji <2.5.47.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

MISP zawiera podatność typu reflected XSS w formularzu potwierdzenia eksportu wyszukiwania REST zdarzeń. Szablon widoku app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp umieszcza listę identyfikatorów zdarzeń z URL w literale JavaScript ograniczonym pojedynczymi cudzysłowami, używając json_encode() bez flag kodowania szesnastkowego, co pozwala na wstrzyknięcie znaku pojedynczego cudzysłowu i wykonanie dowolnego kodu JavaScript. Podatność dotyczy motywów Default i UiBeta; motyw Overmind nie jest nią objęty.