Katalog podatności CVE

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała trzy punkty końcowe API, które były zabezpieczone przez reqRepoWriter() zamiast reqRepoAdmin(). Umożliwia to współpracownikom z poziomem dostępu niższym niż administrator na wykonywanie nieautoryzowanych operacji.

W Gogs przed wersją 0.14.3 wykryto podatność SSRF w funkcji migracji repozytorium. Aplikacja waliduje tylko początkowy host URL-a, ale operacja git clone --mirror podąża za przekierowaniami HTTP. Uwierzytelniony użytkownik może przesłać publiczny URL, który przekierowuje do wewnętrznego punktu końcowego (np. 127.0.0.1), importując zawartość wewnętrznego repozytorium do repozytorium kontrolowanego przez atakującego.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała lukę w funkcjonalności ustawień lustrzanych, umożliwiającą uwierzytelnionym użytkownikom import lokalnych repozytoriów bez odpowiedniej ochrony. Problem wynikał z braku walidacji funkcji SaveAddress.

Gogs przed wersją 0.14.3 umożliwia zarządzanie członkami zespołów organizacji za pomocą żądań GET bez ochrony CSRF. Atakujący może wykorzystać tę podatność, nakłaniając zalogowanego właściciela organizacji do odwiedzenia spreparowanego linku, co skutkuje dodaniem kontrolowanego przez atakującego użytkownika do zespołu Owners i uzyskaniem uprawnień właściciela organizacji.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 umożliwiała pobieranie załączników bez weryfikacji uprawnień użytkownika. Użytkownicy nieautoryzowani mogli pobierać załączniki z prywatnych repozytoriów.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała lukę umożliwiającą wykonanie złośliwego kodu JavaScript. Mimo że podglądy plików .ipynb były sanitizowane po stronie serwera, ich zawartość była ponownie renderowana po stronie klienta bez odpowiedniej sanitizacji, co prowadziło do możliwości wykonania ataku XSS.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.0 pozwalała autoryzowanym użytkownikom na manipulowanie wartością przekazywaną do polecenia git diff. Dzięki temu, użytkownik mógł ominąć filtrację wartości i zapisać wynik porównania w dowolnej lokalizacji.

Mastodon przed wersjami 4.5.11, 4.4.18 i 4.3.24 zawiera podatność typu DoS spowodowaną brakiem obsługi wyjątków w sanitarze matematycznym. Złośliwe węzły <math> mogą prowadzić do awarii całego serwera lub usług użytkowników, w zależności od interakcji z tymi węzłami.

Gogs to otwartoźródłowa usługa Git hostowana samodzielnie. W wersjach przed 0.14.3, poprawka dla CVE-2022-1285 uniemożliwiała dodawanie webhooków lub uruchamianie ich z adresami URL, których nazwa hosta rozwiązuje się w localCIDRs. Niemniej jednak, webhooki nadal podążają za przekierowaniami, co pozwala na dostęp do nazw hostów wewnątrz localCIDRs.

Podatność w Rocket.Chat przed wersjami 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 i 7.10.11 pozwala atakującemu na modyfikację dowolnego pola w swoim rekordzie przesłanego pliku. Dzieje się tak, ponieważ metoda DDP sendFileMessage przekazuje cały obiekt pliku do Uploads.updateFileComplete, który scala go bezpośrednio z aktualizacją MongoDB $set za pomocą Object.assign, bez listy dozwolonych pól.

Rocket.Chat przed wersją 8.5.0 nie weryfikuje podpisu w wiadomościach LogoutRequest w integracji SAML. Nieautoryzowany atakujący może stworzyć fałszywe żądanie wylogowania, co prowadzi do natychmiastowego zakończenia sesji ofiary.

AutoGPT, platforma do automatyzacji procesów, ma podatność na atak typu Denial of Service (DoS) w wersjach przed 0.6.52. Blok Fill Text Template nie ogranicza złożoności obliczeniowej ani czasu wykonania wyrażeń, co pozwala atakującemu na wprowadzenie kosztownych obliczeniowo wyrażeń Python/Jinja2, prowadząc do zawieszenia lub awarii systemu.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 akceptowała nagłówek uwierzytelniający bez weryfikacji, czy żądanie pochodzi z zaufanego proxy odwrotnego. To pozwalało atakującym na podszywanie się pod użytkowników lub automatyczne tworzenie kont.

Interfejs internetowy Aclara Metrum Cellular jest podatny na nieautoryzowany dostęp z powodu braku kontroli uwierzytelniania w krytycznych funkcjach systemowych. Ta luka umożliwia atakującym modyfikację ustawień konfiguracyjnych oraz wywoływanie restartów systemu bez ograniczeń.

W pakiecie safepath projektu KubeVirt, używanym przez komponent virt-handler, wykryto lukę w funkcji OpenAtNoFollow. Funkcja ta używa flag O_PATH|O_NOFOLLOW do uzyskania deskryptora pliku, ale późniejsze operacje rozwijają ścieżkę przez /proc/self/fd/N z użyciem wywołań systemowych podążających za dowiązaniami symbolicznymi. Gdy liść ścieżki jest dowiązaniem symbolicznym, jądro je dereferencjonuje, omijając zamierzoną ochronę przed podążaniem za dowiązaniami.

W AngularJS wykryto usterkę w logice Strict Contextual Escaping (SCE), która umożliwia ominięcie polityk bezpieczeństwa dla adresów URL zasobów. Może to prowadzić do dowolnego wykonania kodu JavaScript w kontekście sesji przeglądarki ofiary.

Twenty to otwartoźródłowa platforma CRM, która przed wersją 2.9.0 była podatna na niebezpieczne bezpośrednie odniesienie do obiektów (IDOR) w monitorze agenta AI. W wyniku tej podatności, uwierzytelniony użytkownik mógł uzyskać dostęp do pełnej historii czatu innego użytkownika w tej samej instancji, wykorzystując agentId lub turnId.

Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 ma lukę, która pozwala na nieprawidłowe rozpoznawanie adresów IPv4-mapped IPv6, co może prowadzić do otwarcia połączeń TCP do prywatnych adresów IPv4. Atakujący mogą wykorzystać tę lukę, publikując odpowiednie rekordy DNS.

Mastodon, serwer społecznościowy oparty na ActivityPub, przed wersjami 4.5.10, 4.4.17 i 4.3.23 miał lukę w liście zablokowanych zakresów adresów IP, co umożliwiało atakującym wykonywanie żądań HTTP do interfejsów loopback. Może to prowadzić do nieautoryzowanego dostępu do prywatnych zasobów i usług.

FOSSBilling w wersjach 0.7.2 i wcześniejszych ma lukę w API, która pozwala uwierzytelnionym klientom na dostęp do danych innych klientów poprzez zgadywanie identyfikatorów zamówień. Metoda __call w API nie weryfikuje, czy klient posiada zamówienie, co może prowadzić do ujawnienia danych osobowych.