Katalog podatności CVE

W Sync-in Server przed wersją 2.4.0 mechanizm blokady konta po nieudanych próbach TOTP nie działa, ponieważ licznik passwordAttempts nie jest zwiększany. Atakujący może zgadywać kody TOTP bez ograniczeń, a po trafieniu uzyskać token klienta wymienialny na pełny JWT, a także trwale wyłączyć MFA.

W Tautulli przed wersją 2.17.2 nieuwierzytelniony endpoint /auth/redirect usuwa ukośniki z parametru redirect_uri, ale pozostawia znaki tabulacji, nowej linii i powrotu karetki. Przy domyślnej konfiguracji HTTP_ROOT pozwala to przekierować użytkownika na zewnętrzną domenę kontrolowaną przez atakującego.

W Envoy przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1 klient zewnętrznej autoryzacji HTTP może zachować nieaktualny callback po odrzuceniu żądania. Późniejsze przetworzenie odpowiedzi autoryzacyjnej wywołuje callback po zniszczeniu jego właściciela, powodując use-after-free i awarię procesu.

W Tautulli przed wersją 2.17.2 pole cron newslettera jest wstawiane do łańcucha JavaScript bez bezpiecznego kodowania JSON. Administrator lub osoba z kluczem API Tautulli może zapisać spreparowaną wartość cron, która wykona skrypt w kontekście webowym Tautulli, gdy administrator otworzy okno konfiguracji newslettera.

W Envoy przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1 funkcja allocateConnPool odwołuje się do transport_socket_options bez sprawdzenia, czy wskaźnik nie jest pusty. Przy włączonym auto_config i HTTP/3 zwykły ruch może wywołać awarię procesu roboczego Envoy.

W Tautulli przed wersją 2.17.2 endpoint /search wstawia kontrolowany przez użytkownika parametr zapytania do łańcucha JavaScript z ręcznym escapowaniem, które nie obsługuje odwrotnych ukośników. Sekwencja odwrotny ukośnik-cudzysłów może zakończyć łańcuch, umożliwiając nieuwierzytelnionemu atakującemu wykonanie skryptu w kontekście webowym Tautulli, gdy uwierzytelniony użytkownik kliknie spreparowany link.

jshERP do wersji 3.6 zawiera podatność obejścia izolacji dzierżawców, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy innych dzierżawców przez endpoint GET /tenant/info. Atakujący może iterować klucz główny, aby wyliczyć i uzyskać dostęp do danych wrażliwych, takich jak nazwy logowania, daty ważności, limity użytkowników i stan włączenia wszystkich dzierżawców platformy.

jshERP do wersji 3.6 nie sprawdza autoryzacji na endpoincie POST /userBusiness/updateBtnStr, co pozwala uwierzytelnionym użytkownikom modyfikować definicje uprawnień przycisków ról. Atakujący może podać dowolne parametry roleId i btnStr, aby nadpisać konfigurację uprawnień przycisków dla dowolnej roli w dzierżawie bez weryfikacji uprawnień.

jshERP do wersji 3.6 nie usuwa skrótów haseł w endpoincie /user/info, co pozwala uwierzytelnionym użytkownikom pobrać niesolone skróty MD5 haseł dowolnego użytkownika. Atakujący może podać identyfikatory użytkowników, aby uzyskać skróty haseł nadające się do łamania offline lub bezpośredniego obejścia uwierzytelniania.

W Warpgate przed wersją 0.28.4 endpoint PUT /@warpgate/admin/api/users/:id/roles/:role_id nie wymaga uprawnienia AdminPermission::AccessRolesAssign. Ograniczony administrator z dowolnym uprawnieniem może zaktualizować expires_at istniejącego przypisania roli i wyczyścić revoked_at, wydłużając wygasające uprawnienie lub przywracając odebrane.

Warpgate do wersji 0.27.6 włącznie ma podatność w ścieżce SSH przez przeglądarkę, gdzie klucz hosta skoku (jump host) jest zapisywany dla adresu docelowego. W trybach Prompt i AutoAccept maszyna prezentująca klucz skoku na adresie docelowym może zostać zaakceptowana jako cel, co pozwala na przechwycenie ruchu użytkownika i nowo wydanego certyfikatu przy uwierzytelnianiu certyfikatowym. Natywna ścieżka SSH nie jest dotknięta, ponieważ śledzi każdy skok osobno. Problem naprawiono w wersji 0.27.6.

Warpgate do wersji 0.27.3 włącznie ma podatność w uwierzytelnianiu tokenem API HTTP, gdzie walidacja tokenu nie egzekwuje ograniczeń allowed_ip_ranges właściciela tokenu. Atakujący posiadający wyciekły, wyłudzony lub wykradziony token X-Warpgate-Token może go użyć z zabronionej lokalizacji sieciowej. Wdrożenia bez allowed_ip_ranges nie są dotknięte, a inne ścieżki (HTTP target proxying, SSH, MySQL, PostgreSQL, RDP, VNC, Kubernetes) nie akceptują tej podatnej ścieżki tokenu HTTP. Problem naprawiono w wersji 0.27.3.

Dell Command | Integration Suite for System Center w wersjach przed 6.7.2 ma podatność związaną z nieprawidłowymi domyślnymi uprawnieniami. Atakujący z niskimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Dell Command | Intel vPro Out of Band w wersjach przed 4.7.2 ma podatność związaną z nieprawidłowymi domyślnymi uprawnieniami. Atakujący z niskimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Warpgate przed wersją 0.25.6 ma podatność w proxy HTTP, gdzie nagłówek x-warpgate-username dostarczony przez klienta jest przekazywany przed dodaniem uwierzytelnionego użytkownika. Ponieważ konstruktor żądań zachowuje powtórzone wartości, backend ufający pierwszej wartości może autoryzować uwierzytelnionego atakującego jako innego użytkownika. Podobnie akceptowany jest zarezerwowany nagłówek x-warpgate-authentication-type. Problem naprawiono w wersji 0.25.6.

InvenTree przed wersją 1.4.0 ma podatność w renderowaniu raportów i etykiet przez WeasyPrint, gdzie uprzywilejowani użytkownicy mogą tworzyć szablony pobierające zasoby wybrane przez atakującego przez HTTP, HTTPS lub lokalny URI pliku. Brak ograniczonego url_fetcher pozwala na odczyt lokalnych plików lub odpowiedzi wewnętrznych usług, co umożliwia pełny odczyt SSRF, ujawnienie dowolnych plików lokalnych, w tym poświadczeń aplikacji, i możliwą kompromitację konta superużytkownika. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointach /api/report/print/ i /api/report/label/print/, które wymagają uwierzytelnienia, ale nie sprawdzają uprawnień per-model przed wyborem obiektów i renderowaniem ich z wybranym szablonem. Konto bez roli lub z niepowiązaną rolą może wyliczać identyfikatory obiektów i pobierać raporty zawierające dane zakupów, sprzedaży, części, BOM, zapasów, budowy, dostawców, klientów, cen i inwentaryzacji, które odpowiednie API by odmówiły. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointach /api/importer/row/ i /api/importer/mapping/, które nie ograniczają zapytań do właściciela sesji importu. Każdy uwierzytelniony użytkownik, nawet bez przypisanych ról, może podać identyfikator sesji innego użytkownika i pobrać dane wierszy oraz mapowania kolumn, ujawniając pełną zawartość danych przygotowanych do importu. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointach ustawień wtyczek, które nie wymagają uwierzytelnienia (brak uprawnienia IsAuthenticated). Niezalogowany atakujący może pobrać nazwy wtyczek, klucze ustawień, opisy, typy, wybory i niechronione wartości konfiguracyjne. Chronione wartości sekretów pozostają zamaskowane, więc ogranicza się to do metadanych i nie-sekretnej konfiguracji. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointcie /api/barcode/, który akceptuje wewnętrzny kod kreskowy JSON zsyntetyzowany przez atakującego, zawierający małą literę modelu i klucz główny. Endpoint wymaga tylko uwierzytelnienia lub ogólnego zakresu odczytu, a wbudowana wtyczka kodu kreskowego zwraca pełny serializer modelu bez sprawdzania uprawnień per-model. Użytkownik z niskimi uprawnieniami może wyliczać klucze główne dla części, zapasów, lokalizacji, części dostawców i producentów, zamówień i budów, ujawniając wrażliwe dane handlowe. Problem naprawiono w wersji 1.4.0.