Katalog podatności CVE

Podatność braku autoryzacji w VillaTheme GIFT4U (gift4u-gift-cards-all-in-one-for-woo) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.1.3.

Podatność polegająca na nieprawidłowej kontroli generowania kodu (Code Injection) w wtyczce Thank You Page Customizer for WooCommerce. Umożliwia wstrzyknięcie kodu. Dotyczy wersji do 1.2.3.

zotero-mcp w wersjach od 0.10.0 do 0.14.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), ponieważ funkcja _fetch_embedded_metadata pobiera URL-e bez walidacji docelowego adresu. Atakujący mogą sterować agentem przez wstrzyknięcie instrukcji, aby wywołać zotero_add_by_url, co powoduje żądania do hostów loopback, prywatnych lub link-local, bezpośrednio lub przez przekierowania, ujawniając metadane cytowań i szczegóły błędów.

GenOffice do wersji 0.11.505 zawiera podatność nieprawidłowych uprawnień w magazynie plików serwera HTTP MCP, która pozwala lokalnym nieuprzywilejowanym użytkownikom na odczyt przesłanych i wygenerowanych dokumentów. Atakujący mogą przeglądać światłoczyty katalog genoffice-mcp-http w systemowym katalogu tymczasowym, aby odczytać przesłane pliki i przekonwertowane wyniki, omijając token bearer HTTP.

TencentCloud Octop do wersji 1.0.2b6 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt zapisanych kluczy API dostawców przez GET /api/providers i GET /api/voice/providers. Atakujący mogą wysyłać zapytania do tych punktów, które tylko walidują JWT, aby uzyskać klucze API LLM i dostawców głosowych w postaci jawnego tekstu i nadużywać kont dostawców.

AniWorld Downloader przed wersją 5.3.0 zawiera podatność nieprawidłowego ograniczenia prób uwierzytelniania w obsłudze POST /login w WebUI, która pozwala nieuwierzytelnionym atakującym na zgadywanie haseł bez ograniczania tempa. Atakujący mogą enumerować nazwy użytkowników przez czas odpowiedzi verify_user i przeprowadzać ataki brute-force na hasła w wystawionych instancjach WebUI, aby przejąć konta.

OpenPanel do wersji 2.3.0 zawiera podatność na wstrzyknięcie formuł CSV, która pozwala nieuwierzytelnionym atakującym na osadzenie formuł arkusza kalkulacyjnego poprzez podanie spreparowanych identyfikatorów profili do punktu /track. Atakujący mogą wysyłać zdarzenia śledzenia z identyfikatorami profili, takimi jak =HYPERLINK(...), pasującymi do kohorty, więc eksportowane pliki CSV kohorty wykonują formuły, które eksfiltrują dane z sąsiednich komórek.

PairDrop do wersji 1.11.2 zawiera podatność na fałszowanie adresu IP w funkcji Peer._setIP, która pozwala zdalnym atakującym na dołączenie do pokoi odkrywania innych sieci poprzez podanie sfałszowanego nagłówka cf-connecting-ip. Atakujący, którzy znają publiczny adres IP ofiary, mogą pojawić się jako lokalne urządzenie w samodzielnie hostowanych instancjach nieza Cloudflare, aby wysyłać lub odbierać pliki.

PDFMathTranslate (pdf2zh) do wersji 1.9.11 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala nieuwierzytelnionym atakującym na zmuszenie serwera do pobierania dowolnych URL-i przez pole Link. Handler translate_file przekazuje URL-e użytkownika do download_with_limit bez walidacji schematu lub adresu, co pozwala atakującym na dostęp do wewnętrznych usług i punktów metadanych chmury oraz odzyskiwanie zwróconych plików PDF.

Podatność CSRF w OpenRefine do wersji 3.10.1 w komendzie get-rows. Pozwala zdalnym atakującym na wykonanie wyrażeń Jython. Atakujący może nakłonić użytkownika do odwiedzenia złośliwej strony, która wysyła żądanie GET z spreparowanym parametrem engine, co pozwala na wykonanie poleceń systemowych jako użytkownik OpenRefine.

Podatność polegająca na wstrzyknięciu kodu w narzędziu openapi-typescript-codegen do wersji 0.31.0. Atakujący kontrolujący dokument OpenAPI może wstrzyknąć JavaScript poprzez niepoprawne wartości interpolowane w literałach łańcuchowych. Można to wykorzystać przez osadzenie pojedynczego cudzysłowu w kluczach ścieżek, nazwach parametrów, adresach serwerów lub wersji info.

Podatność polegająca na nieprawidłowej autoryzacji w SkillHub przed wersją 0.2.22 w usługach AccountMergeService i AccountMergeController. Pozwala uwierzytelnionym atakującym na przejęcie innych kont poprzez nadużycie procesu scalania. Atakujący może wywołać endpoint inicjujący scalanie z nazwą użytkownika lub tożsamością OAuth, otrzymać token weryfikacyjny bezpośrednio i potwierdzić scalanie, aby przejąć tokeny API, role i własność przestrzeni nazw ofiary.

cc-connect do wersji 1.5.0 zawiera podatność braku uwierzytelniania w trybie webhook adaptera MAX. Gdy nie skonfigurowano webhook_secret, zdalni atakujący mogą wysyłać nieuwierzytelnione aktualizacje na port 8080 i podszywać się pod dozwolonego użytkownika lub administratora, aby wykonywać uprzywilejowane komendy, takie jak /shell na hoście.

AstronRPA do wersji 1.1.6 zawiera podatność obejścia uwierzytelniania w bramie OpenResty w pliku auth_handler.lua, która akceptuje dowolny token Bearer bez walidacji. Nieuwierzytelnieni atakujący mogą wysyłać dowolne wartości Bearer, aby uzyskać dostęp do tras /api/resource/ i /api/rpa-ai-service/ oraz podszywać się pod nagłówki X-User-Id lub user_id, działając jako dowolny użytkownik.

AstronRPA do wersji 1.1.6 zawiera podatność braku sprawdzenia autoryzacji dzierżawy w robot-service, która pozwala uwierzytelnionym użytkownikom na odczyt zmiennych współdzielonych innych dzierżawców przez punkt get-batch-shared-var. Atakujący mogą enumerować sekwencyjne identyfikatory zmiennych współdzielonych i odszyfrować zmienne wszystkich użytkowników, ponownie szyfrując je własnym kluczem dzierżawy, aby odzyskać poświadczenia innych dzierżawców w postaci jawnego tekstu.

Spotweb do wersji 1.5.8 zawiera podatność wstrzyknięcia komend systemu operacyjnego w handlerze NZB runcommand. Zdalni atakujący mogą wykonywać komendy, publikując spoty z złośliwymi tytułami. Atakujący mogą wysyłać samopodpisane spoty przez Usenet z metaznakami powłoki w tytule, które są podstawiane bez escapowania do $SPOTTITLE i przekazywane do exec(), gdy użytkownik pobiera spot, wykonując komendy jako proces PHP Spotweb.

SillyTavern w wersjach od 1.12.13 do 1.19.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym na wyczerpanie zasobów, ponieważ middleware body-parser działa przed uwierzytelnieniem i sprawdzeniem listy dozwolonych adresów. Atakujący mogą wysyłać duże lub skompresowane ciała JSON lub urlencoded o rozmiarze do 500 MB, opcjonalnie równolegle, aby wyczerpać pamięć i CPU oraz uniemożliwić działanie usługi.

Kortix Suna w wersjach od 0.10.7 do 0.13.52 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala menedżerom projektów ominąć zabezpieczenie isPrivateIp poprzez podanie adresów IPv6 6to4 lub Teredo, które osadzają prywatne cele IPv4. Atakujący posiadający uprawnienia project.connector.write mogą ustawić base_url konektora, adresy URL OpenAPI, Postman lub MCP, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury oraz odczytać odpowiedzi.

Strapi w wersjach od 5.47.0 do 5.57.0 zawiera podatność na nieprawidłową autoryzację, która pozwala tokenom API administratora zachować pełny dostęp do Menedżera Treści po ograniczeniu pól roli właściciela. Ponieważ funkcja reconcileTokenPermissionsToUserCeiling ignoruje uprawnienia tokenów z pominiętymi lub pustymi polami, posiadacze tokenów mogą nadal czytać pola treści, które administrator usunął z roli.

Wtyczka WPAdverts autorstwa Grega Winiarskiego do wersji 2.3.4 zawiera podatność Reflected XSS (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Atakujący może wykorzystać odbity XSS do wykonania złośliwego skryptu w przeglądarce ofiary.