Katalog podatności CVE

Podatność w NVIDIA Infrastructure Controller for Linux pozwala atakującemu na niewłaściwe egzekwowanie przepływu pracy behawioralnej. Udane wykorzystanie może prowadzić do naruszenia danych, odmowy usługi i ujawnienia informacji.

Podatność w NVIDIA Infrastructure Controller for Linux umożliwia atakującemu zewnętrzną kontrolę nazwy pliku lub ścieżki. Udane wykorzystanie może prowadzić do wykonania kodu, podniesienia uprawnień, naruszenia danych i odmowy usługi.

Podatność w NVIDIA Infrastructure Controller for Linux pozwala atakującemu na wstrzyknięcie XML. Udane wykorzystanie może prowadzić do naruszenia danych i odmowy usługi.

Podatność w NVIDIA Infrastructure Controller for Linux polega na użyciu twardo zakodowanego hasła. Udane wykorzystanie może prowadzić do naruszenia danych, odmowy usługi i ujawnienia informacji.

Podatność w NVIDIA Infrastructure Controller for Linux pozwala atakującemu na niekontrolowane zużycie zasobów. Udane wykorzystanie może prowadzić do odmowy usługi.

Podatność w NVIDIA Infrastructure Controller for Linux umożliwia atakującemu niekontrolowane zużycie zasobów. Udane wykorzystanie może prowadzić do odmowy usługi.

MISP zawiera podatność na trwały cross-site scripting (XSS) w ekranie tworzenia e-maili administratora. Nazwa organizacji MISP.org jest interpolowana bezpośrednio do literału ciągu JavaScript bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript. Wstrzyknięty skrypt wykonuje się w kontekście każdego uwierzytelnionego użytkownika, który załaduje stronę, co może prowadzić do przejęcia sesji, kradzieży danych lub wykonywania uprzywilejowanych działań.

Komponent RequestHandlerComponent w MISP automatycznie dekoduje ciała żądań XML dla wszystkich żądań zapisu. Ze względu na błąd logiczny w warunku readFile w bibliotece Xml::build(), żądanie z adresem HTTPS może zostać pobrane jako zasób przez serwer. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie POST do punktu cspReport, aby spowodować wychodzące żądanie HTTPS do dowolnego celu osiągalnego przez serwer, co umożliwia skanowanie wewnętrznych usług lub ataki na wewnętrzne punkty końcowe.

W MISP metoda queryEnrichment w EventsController.php akceptuje nazwę modułu i iteruje po liście włączonych modułów. Jeśli moduł nie znajduje się na liście, kod kontynuuje z domyślnymi parametrami zamiast odrzucić żądanie. Umożliwia to uwierzytelnionemu użytkownikowi wywołanie wzbogacania lub analizy przez moduł, który nie był włączony, co omija kontrolę dostępności modułów.

W MISP metoda add() w CollectionsController egzekwuje autoryzację grupy udostępniania tylko dla metody POST, ale CRUDComponent::add() zapisuje dane również dla PUT. Uwierzytelniony użytkownik może wysłać żądanie PUT do endpoints collections/add, aby utworzyć kolekcję z distribution=4 (współdzielenie z konkretną grupą), do której nie ma uprawnień. To omija kontrolę dostępu.

Skrypty instalacyjne MISP dla systemów Debian 12, Debian 13, Ubuntu 24.04 i RHEL 9.4 tworzą plik dziennika /var/log/misp_install.log oraz nazwany potok (FIFO) /var/log/misp_install.log.pipe, które przechowują poufne dane, takie jak hasła administratora, bazy danych, GPG i nadzorcy. Pliki są tworzone z domyślną maską umask, co skutkuje uprawnieniami czytania dla wszystkich użytkowników (0644). Dodatkowo, przed utworzeniem pliku nie sprawdzano, czy nie istnieje dowiązanie symboliczne, co pozwala na przekierowanie zapisu do dowolnej lokalizacji. Podatność dotyczy wersji <2.5.47.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

MISP zawiera podatność typu reflected XSS w formularzu potwierdzenia eksportu wyszukiwania REST zdarzeń. Szablon widoku app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp umieszcza listę identyfikatorów zdarzeń z URL w literale JavaScript ograniczonym pojedynczymi cudzysłowami, używając json_encode() bez flag kodowania szesnastkowego, co pozwala na wstrzyknięcie znaku pojedynczego cudzysłowu i wykonanie dowolnego kodu JavaScript. Podatność dotyczy motywów Default i UiBeta; motyw Overmind nie jest nią objęty.

W aplikacji sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8 wykryto podatność XSS w funkcji Public Search Handlers, w pliku HospitalController.java. Manipulacja argumentem Search prowadzi do ataku XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.

MISP zawiera odzwierciedlone XSS w widoku histogramu atrybutów. Zmienna $selectedTypes, pochodząca z segmentu ścieżki URL, jest interpolowana bezpośrednio do literału tablicy JavaScript wewnątrz atrybutu onClick HTML bez kodowania. Atakujący, który zmusi uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, może wykonać dowolny JavaScript w przeglądarce ofiary w kontekście aplikacji MISP. Wersja dotknięta: <2.5.47.

MISP zawiera odzwierciedlone XSS w akcji AnalystDataController::viewForObject. Metoda przyjmuje parametr typu obiektu nadrzędnego z URL bez walidacji i przekazuje go do elementu widoku wątku AnalystData w motywie Overmind, gdzie jest interpolowany do dwóch przetłumaczonych stringów i renderowany do odpowiedzi HTML bez kodowania wyjścia. Uwierzytelniony atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co pozwala na wstrzyknięcie dowolnego JavaScript w przeglądarce ofiary w kontekście MISP. Wersja dotknięta: <2.5.47.

Kontroler WorkflowsController w MISP udostępnia akcję moduleStatelessExecution na liście unlockedActions w komponencie Security. W CakePHP umieszczenie akcji na tej liście wyłącza zarówno sprawdzanie tokenu CSRF, jak i walidację skrótu pól. Ponieważ moduleStatelessExecution wykonuje metodę exec() modułu przepływu pracy z danymi i parametrami dostarczonymi przez wywołującego, brak ochrony CSRF pozwala atakującemu na sfałszowanie żądania z innego pochodzenia, które po wysłaniu przez uwierzytelnionego administratora wywoła akcję na instancji MISP. Atakujący może wybrać dowolny moduł, w tym moduły zapisu wpisów blokowanych, i dostarczyć własne dane. Podatność została wykryta podczas wewnętrznego przeglądu. Poprawka jest zawarta w MISP v2.5.47.