Katalog podatności CVE

Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.

Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy użytkownik działający na obrazie jest właścicielem galerii, do której on należy. Pozwala to użytkownikom, którym administrator przyznał uprawnienie do zarządzania galerią, usuwać, kopiować i ponownie tagować dowolne obrazy w witrynie, w tym obrazy w galeriach należących do innych użytkowników.

Wtyczka WordPress Import and export users and customers przed wersją 2.4.5 nie waliduje adresu URL dostarczonego przez użytkownika przed wykonaniem żądania po stronie serwera podczas importu CSV. Pozwala to użytkownikom o wysokich uprawnieniach przeprowadzać ataki typu Server-Side Request Forgery.

Wtyczka Master Slider do WordPressa do wersji 3.11.2 nie dezynfekuje i nie escapuje niektórych atrybutów shortcode'ów przed wypisaniem ich w kontekście skryptu inline, co umożliwia użytkownikom z rolą Contributor i wyżej przeprowadzenie ataków Stored Cross-Site Scripting (XSS) podczas wyświetlania zaatakowanego wpisu.

W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji subprocess.Popen w pliku backend/aiops/services.py (komponent MCP STDIO Server Management). Manipulacja argumentem endpoint_or_command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.

W NginxProxyManager (nginx-proxy-manager) w wersjach do 2.15.1 wykryto podatność w funkcji internalCertificate.validate w pliku backend/internal/certificate.js (komponent Validate Route). Manipulacja prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; endpoint jedynie przetwarza i odsyła certyfikat przesłany przez wywołującego, a rzeczywiste ryzyko polega na nieuwierzytelnionym przetwarzaniu danych wejściowych atakującego przez openssl.

W systemie itsourcecode Leave Management System 1.0 wykryto podatność w nieznanej funkcji pliku /module/department/controller.php. Manipulacja argumentem DEPTID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Dromara UJCMS do wersji 12.3.1 odkryto błąd w funkcji usernameExist w pliku ujcms-cms/src/main/java/com/ujcms/cms/core/web/api/UserController.java komponentu UserController. Manipulacja argumentem Username prowadzi do nieprawidłowej autoryzacji. Atak może być zdalny. Projekt nie odpowiedział na zgłoszenie.

Podatność w Pixelfed do wersji 0.12.11 dotyczy funkcji instancePeers w pliku app/Http/Controllers/Api/ApiV1Controller.php komponentu OAuth Scope Handler. Manipulacja argumentem ID prowadzi do braku uwierzytelnienia. Atak może być zdalny, a exploit jest publiczny. Zalecana jest aktualizacja do wersji 0.12.10 (mimo że opis mówi o wersji 0.12.11, zalecana jest 0.12.10 – prawdopodobnie błąd w opisie).

Aplikacja SmartLife dynamicznie generuje nowe parametry uwierzytelniania w czasie wykonania. Z ich użyciem atakujący może bezpośrednio zarejestrować konto na dowolny adres e-mail przez interfejs /account/person/signup.serv. Własność adresu e-mail nie jest weryfikowana przed rejestracją.

Podatność w olivier-ls PHP-FTS do wersji 1.1.3 dotyczy funkcji SearchEngine::matchesSingleFilter w pliku src/SearchEngine.php komponentu Filter Matching. Manipulacja prowadzi do nieprawidłowego porównania. Atak może być zdalny, a exploit jest publiczny. Aktualizacja do wersji 1.1.4 rozwiązuje problem.

Exim w wersjach przed 4.100.1 pozwala na SMTP smuggling, w którym odebrana wiadomość nie pasuje do żadnej wysłanej wiadomości, lecz zależy od spreparowanych danych wysłanych po odrzuceniu podczas przetwarzania DATA.

QloApps do wersji 1.7.0 zawiera podatność path traversal w akcji getEmailHTML w pliku admin/ajax.php, która pozwala uwierzytelnionym użytkownikom back-office na odczyt dowolnych plików. Atakujący mogą podać sekwencje ścieżek względnych w parametrze email, aby obejść ograniczenia katalogowe i uzyskać dostęp do poufnych plików, w tym danych uwierzytelniających do bazy danych i danych konfiguracyjnych.

Wykryto podatność w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji streamFileToResponse w pliku backend/src/main/java/org/booklore/controller/KoboController.java komponentu Download Endpoint. Manipulacja argumentem bookId prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.

Wykryto podatność bezpieczeństwa w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji AppSettingController.getAppSettings w pliku backend/src/main/java/org/booklore/controller/AppSettingController.java komponentu Settings API Endpoint. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Nazwa poprawki to 2b66ca6df8110f6b512e030b54c16b9fbe318f17. Zaleca się zastosowanie poprawki.

Podatność niespójnej interpretacji żądań HTTP (HTTP Request/Response Smuggling) w elixir-mint pozwala złośliwemu serwerowi HTTP/1 na desynchronizację ścisłego pośrednika i klienta Mint na połączeniu z puli, umożliwiając zatrucie kolejki odpowiedzi dla kolejnych żądań współdzielących połączenie. Mint.HTTP1.Parse.chunk_size/1 zatrzymuje się na pierwszym nieheksadecymalnym bajcie linii rozmiaru chunka i zwraca resztę niezbadaną, a Mint.HTTP1.decode_body/5 odrzuca bajty do CRLF, przez co akceptowane są linie takie jak 5ZZZZZ i 5 9 jako rozmiar chunka 5, a 0ZZZZ jako kończący chunk. Problem dotyczy mint od 0.1.0 przed 1.10.1.

W Admin REST API Keycloak, rozwiązania do zarządzania tożsamością i dostępem, wykryto lukę. Endpoint służący do usuwania poświadczeń użytkownika nie sprawdza poprawnie szczegółowych uprawnień do resetowania hasła, co pozwala delegowanemu administratorowi, który powinien być ograniczony od resetowania haseł, na usunięcie poświadczeń hasła użytkownika i uniemożliwienie mu zalogowania się.

W Admin REST API Keycloak, rozwiązania do zarządzania tożsamością i dostępem, wykryto lukę w endpointach członkostwa w grupach. System nie sprawdza, czy grupa przyznaje uprawnienia administracyjne, przed dodaniem użytkownika, co pozwala delegowanemu administratorowi z ograniczonymi uprawnieniami na dodanie siebie do grupy o wysokich uprawnieniach i potencjalne przejęcie pełnej kontroli nad całym realmem.

W implementacji protokołu OIDC w Keycloak, rozwiązaniu do zarządzania tożsamością i dostępem, wykryto lukę. Podczas odświeżania tokenu, gdy serwer przywraca żądane odbiorców z przechowywanych identyfikatorów klientów, Keycloak nie sprawdza, czy docelowy klient odbiorcy jest nadal włączony, przed wydaniem nowego tokenu dostępu. Pozwala to aplikacji z istniejącym tokenem odświeżania na dalsze uzyskiwanie ważnych tokenów dostępu dla wyłączonego klienta, potencjalnie omijając administracyjne kontrole dostępu dla serwerów zasobów opierających się na offline walidacji JWT.

OpenPanel API do wersji 2.3.0 nie weryfikuje kryptograficznego skrótu sekretu klienta przed autoryzacją zdarzeń przychodów i filtrowania botów. Atakujący z publicznym ID klienta może podać dowolny fałszywy sekret, aby wstrzyknąć sfałszowane metryki przychodów i ominąć filtry antybotowe.