Katalog podatności CVE

Wtyczka WordPress Newsletter przed wersją 9.3.8 nie generuje swojego klucza podpisywania śledzenia e-maili z wystarczającą entropią i podpisuje linki śledzące nieszyfrowanym hashem. Umożliwia to nieuwierzytelnionemu atakującemu, który odzyska ten klucz offline, sfałszowanie linków śledzących, uzyskanie tokenu sesji dowolnego subskrybenta oraz odczyt i modyfikację jego przechowywanych danych osobowych.

Wtyczka WordPress HT Mega Addons for Elementor przed wersją 3.2.6 nie ogranicza nazwy znacznika HTML używanego do renderowania nagłówka sekcji w kilku swoich widgetach i blokach do bezpiecznej listy dozwolonych. Umożliwia to użytkownikom z dostępem na poziomie współtwórcy i wyższym zapisanie spreparowanej nazwy znacznika, która wykonuje dowolny kod JavaScript przy wyświetleniu treści, w tym przez użytkowników o wyższych uprawnieniach, którzy ją przeglądają lub publikują.

W komponencie Acer Agent Service dołączonym do NitroSense i PredatorSense zidentyfikowano podatność. Proces uzgadniania połączenia gniazda nie wymaga prawidłowego uwierzytelnienia przed przyznaniem dostępu do usługi. W pewnych okolicznościach może zostać nawiązane nieautoryzowane połączenie, potencjalnie umożliwiając dostęp do funkcji, które powinny być ograniczone.

Podatność powoduje uszkodzenie pamięci podczas przetwarzania wywołań IOCTL tylnego czujnika.

Canva Desktop w wersjach przed v1.125.0 wykonywał podwójne dekodowanie w obsłudze deeplinków. Atakujący mógł zmusić aplikację do załadowania dowolnej treści z tego samego origin w kontekście sesji użytkownika.

Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na trwały Cross-Site Scripting poprzez atrybuty shortcode we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W komponencie Acer Agent Service dołączonym do NitroSense i PredatorSense wykryto podatność wynikającą z użycia zaszyfrowanego klucza AES na stałe w oprogramowaniu. W pewnych okolicznościach lokalny atakujący może użyć tego klucza do uzyskania dostępu do chronionych informacji lub wykonania nieautoryzowanych działań.

Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na niewystarczającą ochronę poświadczeń w wersjach do 7.110 włącznie. Metoda `Ai1wm_Main_Controller::init()` rejestrowana na hooku `admin_init` odczytuje `$_SERVER['PHP_AUTH_USER']` i `$_SERVER['PHP_AUTH_PW']` z każdego przychodzącego żądania i zapisuje je w opcji `ai1wm_auth_header` jako odwracalny ciąg base64, bez sprawdzenia uprawnień, weryfikacji nonce, sprawdzenia `is_user_logged_in()` ani potwierdzenia, że uwierzytelnianie Basic się powiodło. Umożliwia to nieuwierzytelnionym atakującym przechwycenie do bazy danych w odwracalnej formie base64 wszelkich haseł aplikacji WordPress lub poświadczeń HTTP Basic przekazywanych do `/wp-admin/` przez legalną integrację, albo nadpisanie zapisanego poświadczenia wartością wybraną przez atakującego poprzez wysłanie anonimowego żądania z spreparowanym nagłówkiem `Authorization: Basic`.

W bibliotece djust przed wersją 1.0.7 ścieżka WebSocket (handle_mount i ViewRuntime._build_request) odtwarza HttpRequest bez nagłówka HTTP_HOST, przez co get_host() zwraca "testserver". Powoduje to błędne rozwiązywanie dzierżawcy (tenant) na ścieżce live — przy STRICT_MODE=False może dojść do ujawnienia danych między dzierżawcami, a przy domyślnym ustawieniu do zwracania pustych wyników. Problem naprawiono w wersji 1.0.7.

W bibliotece djust przed wersją 1.0.7 przypisanie instancji modelu Django do publicznego atrybutu widoku powodowało serializację całego obiektu do klienta bez listy zabronionych pól wrażliwych. W efekcie do przeglądarki trafiały takie dane jak hash hasła, flagi uprawnień (is_staff, is_superuser), tokeny i inne dane osobowe. Problem naprawiono w wersji 1.0.7.

Nodemailer przed wersją 9.1.0 nie stosuje normalizacji UTS-46 przy kodowaniu międzynarodowych nazw domen, przez co resolver domen oblicza inny A-label Punycode niż parsery zgodne ze standardem. Atakujący może tworzyć adresy odbiorców z niewidocznymi znakami lub mapowaniami zgodności, które przechodzą kontrolę listy dozwolonych domen, ale są dostarczane do domen kontrolowanych przez atakującego przez SMTP.

Nodemailer w wersjach od 6.9.16 do 9.1.0 błędnie parsuje komentarze RFC 5322 w adresach e-mail. Komentarz zamknięty bezpośrednio przed znakiem niebędącym białym znakiem powoduje sklejenie atomów wokół komentarza, przez co adres taki jak [email protected](x)evil.com jest interpretowany jako domena good-corp.comevil.com. Może to prowadzić do dostarczenia wiadomości do domeny kontrolowanej przez atakującego. Naprawiono w wersji 9.1.0.

Nodemailer w wersjach 9.1.0 i wcześniejszych nie respektuje opcji sandboxa disableFileAccess i disableUrlAccess, gdy treść wiadomości jest rozwiązywana przez publiczne API pluginów MailMessage.resolveContent() z użyciem starej trzyargumentowej sygnatury. W efekcie kod pluginu lub aplikacji może zostać zmuszony do odczytu dowolnych plików lokalnych lub wykonania wychodzących żądań HTTP(S) (SSRF), omijając włączony sandbox. Naprawiono w wersji 9.1.1.

Craft CMS w wersjach od 5.0.0 do 5.10.12 traktuje awarię połączenia z bazą danych jako brak instalacji, co udostępnia anonimowe akcje instalatora (m.in. install/validate-site) na zainstalowanej stronie produkcyjnej, gdy PHP działa, ale MySQL jest niedostępny. Uwierzytelniony atakujący z ważną sesją gościa i tokenem CSRF może odczytać wartości zmiennych środowiskowych, w tym klucz bezpieczeństwa, dane dostępowe do bazy czy klucze API. Naprawiono w wersji 5.10.13.

Craft CMS w wersjach od 5.7.0 do 5.10.13 zawiera podatność typu stored XSS w funkcji Generated Fields, która wyłącza automatyczne escapowanie Twig i nie koduje wartości z pamięci podręcznej. Redaktorzy treści mogą wstrzykiwać złośliwy JavaScript przez edytowalne pola, który wykonuje się w sesjach uwierzytelnionych użytkowników Panelu sterowania o wyższych uprawnieniach. Naprawiono w wersji 5.10.13.

Craft CMS 5.0.0 do 5.10.12 zawiera wadę kontroli dostępu w punkcie końcowym zmiany kolejności zagnieżdżonych elementów. Uwierzytelniony użytkownik z uprawnieniami tylko do podglądu może zmienić kolejność bloków Matrix lub pól Address w treści innego autora, do której nie ma uprawnień zapisu.

n8n przed wersjami 1.123.76, 2.37.7 i 2.38.2 ma podatność w punkcie końcowym push kontroli źródła, która pozwala uwierzytelnionemu użytkownikowi projektu na usunięcie plików (workflow i poświadczeń) z projektów, do których nie ma dostępu. Wykorzystanie wymaga włączonej funkcji Source Control (Środowiska) w wersji enterprise.

n8n przed wersjami 1.123.76, 2.37.7 i 2.38.2 ma podatność w węźle Git, która pozwala uwierzytelnionemu użytkownikowi na odczyt repozytoriów Git poza skonfigurowanym katalogiem (N8N_RESTRICT_FILE_ACCESS_TO). Poprzez zagnieżdżenie repozytorium poniżej skonfigurowanej ścieżki, użytkownik może sprawić, że walidacja URL przejdzie, a git faktycznie odczyta dane spoza dozwolonego obszaru.

AVideo do wersji 29.0 nie weryfikuje uprawnień dostępu do wideo w funkcji set_api_comment, co pozwala uwierzytelnionym użytkownikom dodawać komentarze do filmów chronionych hasłem lub ograniczonych dla grup. Atakujący mogą wysyłać żądania POST do punktu końcowego API komentarzy z dowolnymi identyfikatorami wideo.

AVideo do wersji 29.0 nie waliduje uprawnień dostępu do wideo w punkcie końcowym API like, co pozwala zalogowanym użytkownikom głosować na filmy chronione hasłem lub ograniczone dla grup. Atakujący mogą wysyłać żądania like/dislike, aby zwiększać liczniki głosów na filmach, których nie mogą oglądać.