Katalog podatności CVE

AVideo do wersji 29.0 zawiera podatność na trwały cross-site scripting (XSS). Nieuwierzytelniony punkt końcowy zliczania wyświetleń zapisuje User-Agent atakującego bezpośrednio do bazy danych, a następnie jest on renderowany bez escapowania na stronie statystyk właściciela wideo i administratora, co pozwala na wykonanie złośliwego kodu w ich sesjach.

AVideo do wersji 29.0 zawiera wyścig w funkcji enforceRateLimit(), która nie atomowo zwiększa liczników ograniczeń, co pozwala atakującym ominąć wszystkie limity, w tym ochronę przed brute-force na logowanie, poprzez wysyłanie równoczesnych żądań. Atakujący mogą przekroczyć limit 30 prób na 5 minut dowolną liczbę razy.

W AVideo do wersji 29.0, konstruktor Like::__construct() wykonuje operacje arytmetyczne na surowych wartościach żądań przed walidacją, co pozwala na desynchronizację przechowywanych głosów od liczników. Uwierzytelnieni atakujący mogą wysyłać parametry typu tablicowego, aby doprowadzić liczniki polubień do dowolnie niskich wartości, a uszkodzenie utrzymuje się do ręcznej naprawy.

W AVideo do wersji 29.0, funkcja autoCSRFGuard() utrzymuje listę wyjątków CSRF opartą na nazwach plików bez kontekstu katalogu, co pozwala plikom wtyczek o nazwach zgodnych z plikami rdzenia na dziedziczenie wyjątków CSRF. Wtyczka LoginWordPress (login.json.php) dziedziczy wyjątek i bezwarunkowo wylogowuje uwierzytelnionych użytkowników na żądania cross-site przed walidacją poświadczeń.

TCH QRing Smart Ring model R20_B006 z oprogramowaniem RT09R20_1.00.00_250318 zawiera nieuwierzytelnioną podatność dostępu przez Bluetooth Low Energy, która pozwala każdemu atakującemu w zasięgu połączyć się z urządzeniem bez parowania, uwierzytelniania lub zgody użytkownika, wykorzystując odsłonięty Nordic UART Service. Atakujący może odczytać poziom baterii, włączyć monitorowanie tętna i pobrać historyczne dane dotyczące tętna i saturacji krwi.

Przed wersją 2.1.0, klient StreamableHttpClientTransport w crate'cie rmcp używa polityki automatycznego przekierowania reqwest i stosuje niestandardowe nagłówki bez oznaczenia ich jako wrażliwe. Gdy złośliwy lub skompromitowany punkt końcowy MCP zwraca przekierowanie 307 lub 308 z innego origin, reqwest podąża za nim i odtwarza klucze API lub tokeny uwierzytelniające na nowym origin, gdzie atakujący może je przechwycić.

Przed wersją 1.0.7, wiele wbudowanych tagów szablonów komponentów djust renderuje URL dostarczony przez programistę/użytkownika w atrybucie href/action, uciekając go HTML-em, ale nie walidując schematu URL. Ucieczka HTML zapobiega wydostaniu się z atrybutu, ale nie neutralizuje URI javascript:, więc URL taki jak javascript:alert(document.cookie) trafia dosłownie do <a href="javascript:alert(document.cookie)"> i wykonuje się w sesji ofiary po kliknięciu.

changedetection.io do wersji 0.60.6 nie ucieka tytułu strony w powiadomieniach HTML, co pozwala na wstrzyknięcie dowolnego znacznika. Atakujący mogą umieścić złośliwy znacznik w tytułach monitorowanych stron, który trafia do kanałów powiadomień, takich jak e-mail i Telegram, jako żywa treść, gdy używany jest token watch_title w szablonach.

Metabase do wersji 0.63.18 nie waliduje poprawnie adresu 0.0.0.0 w niestandardowych adresach URL GeoJSON, co pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback. Atakujący mogą zapisać złośliwy wpis GeoJSON z adresem 0.0.0.0 i wywołać żądania, które zwracają odpowiedzi usług loopback nieuwierzytelnionym wywołującym.

browserless w wersjach 1.44.0 do 2.56.7 nie egzekwuje ograniczeń protokołu plikowego w websocketowych punktach końcowych Playwright, co pozwala posiadaczom tokenów uwierzytelniających na odczyt dowolnych plików. Atakujący mogą nawigować przeglądarkami sterowanymi przez Playwright do adresów URL ze schematem file i uzyskać dostęp do plików dostępnych dla procesu kontenera, mimo że ustawienie ALLOW_FILE_PROTOCOL domyślnie ma wartość false.

PrestaShop blockwishlist do wersji 3.0.2 nie waliduje własności listy życzeń w metodzie getUrlByIdWishListAction, co pozwala uwierzytelnionym klientom na pobieranie tokenów udostępniania dla dowolnej listy życzeń po identyfikatorze. Atakujący mogą podawać sekwencyjne identyfikatory list życzeń, aby uzyskać ważne linki udostępniania i czytać prywatne zawartości list życzeń innych klientów.

PrestaShop psgdpr do wersji 1.4.3 nie waliduje, czy wpisy dziennika zgody GDPR są przypisane do uwierzytelnionego klienta. Uwierzytelnieni atakujący mogą podawać dowolne identyfikatory klientów, aby tworzyć sfałszowane wpisy zgody dla innych klientów, co narusza integralność dzienników audytowych.

LibreTranslate do wersji 1.9.6 pomija dekorator access_check w trasie download_file, co pozwala na nieuwierzytelniony dostęp do przetłumaczonych plików. Atakujący mogą ominąć wymagania dotyczące klucza API i nadużywać list banów, aby pobierać pliki bez uwierzytelnienia na chronionych instancjach.

kan do wersji 0.6.0 nie waliduje poprawnie uprawnień do tworzenia tablic w punkcie końcowym importu projektu z GitHuba, co pozwala gościom na tworzenie tablic mimo braku uprawnienia board:create. Atakujący mogą ominąć kontrolę autoryzacji, używając mutacji importProjects do tworzenia tablic, podczas gdy bezpośrednie ścieżki tworzenia są zablokowane.

Docs w wersjach przed 5.4.1 nie unieważnia poprawnie połączeń websocket do współpracy, gdy dostęp zostaje odebrany na dokumentach nadrzędnych. Atakujący z odebranym dostępem zachowuje w czasie rzeczywistym prawo odczytu i zapisu dokumentów podrzędnych poprzez otwarte sesje websocket, które nigdy nie są rozłączane.

Coze Studio do wersji 0.5.1 włącznie nie ogranicza adresu URL serwera podawanego przy rejestracji narzędzi wtyczek, co pozwala uwierzytelnionym użytkownikom zmusić backend do odpytywania usług wewnętrznych. Atakujący może skonstruować żądania wtyczki do endpointów metadanych chmury i usług dostępnych wyłącznie z sieci backendu, odczytując odpowiedzi z danymi wrażliwymi.

Higress w wersjach przed 2.2.4 ulega awarii (panic) podczas przetwarzania segmentu nagłówka Cookie bez znaku równości, co powoduje, że wrapper wtyczki odzyskuje kontrolę i zwraca akcję continue omijającą limitowanie tokenów AI. Nieuwierzytelniony atakujący może spreparować zniekształcony nagłówek Cookie, aby pominąć sprawdzanie limitów i przekroczyć progi ograniczające kosztowne wywołania modeli backendu.

Graylog do wersji 7.1.4 włącznie waliduje wychodzące adresy URL względem listy dozwolonych przed wykonaniem żądań, ale nie powtarza walidacji po przekierowaniach HTTP. Atakujący z uprawnieniami do tabel wyszukiwań lub powiadomień o zdarzeniach może spreparować dozwolone endpointy przekierowujące do usług wewnętrznych, umożliwiając serwerowi pobranie i zwrócenie wewnętrznych odpowiedzi.

Builder.io Gen2 SDK do wersji 5.2.11 i 0.25.13 włącznie zawiera podatność prototype pollution w funkcji pomocniczej unflatten, która przetwarza parametry zapytania builder.userAttributes bez zabezpieczeń prototypu. Atakujący może spreparować linki podglądu z segmentami __proto__ lub prototype, aby zanieczyścić Object.prototype w przeglądarce odwiedzającego, gdy SDK przetworzy złośliwy URL.

CMAK do wersji 3.0.0.6 włącznie nie stosuje przełącznika funkcji planowanego wyboru lidera do tras formularzy HTML, co pozwala atakującym obejść bramkę funkcji. Atakujący może uzyskać dostęp do endpointów formularzy, aby uruchomić i zatrzymać cykliczny harmonogram wyborów, zakłócając przywództwo w zarządzanych klastrach Kafka.