Katalog podatności CVE

Wtyczka Ultra Addons for Contact Form 7 dla WordPress jest podatna na dowolne przesyłanie plików z powodu niewystarczającej walidacji typu pliku w funkcji 'uacf7_wpcf7_mail_components' we wszystkich wersjach do 3.5.50 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny, co może umożliwić zdalne wykonanie kodu. Uwaga: jest to możliwe do wykorzystania tylko wtedy, gdy moduł PDF Generator wtyczki jest włączony, co jest domyślnie wyłączone.

Wtyczka miniOrange OTP Login, Verification and SMS Notifications dla WordPress jest podatna na obejście uwierzytelniania poprzez parametr mo_wp_login_intent we wszystkich wersjach do 5.5.5 włącznie. Wynika to z braku zabezpieczenia hasła w gałęzi konfiguracji skip_pass_fallback funkcji mo_by_pass_login(), która traktuje samo członkostwo w roli administratora jako wystarczające uwierzytelnienie, gdy nieuwierzytelniony, niezweryfikowany parametr POST mo_wp_login_intent zostanie przesłany z wartością otp, powodując pominięcie wp_authenticate_username_password() przez mo_get_user() i rozwiązanie WP_User wyłącznie na podstawie nazwy użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolne istniejące konto administratora poprzez podanie znanej nazwy użytkownika i pustego hasła wraz z mo_wp_login_intent=otp, bez wymogu weryfikacji hasła lub OTP. Wykorzystanie jest warunkowe: administrator witryny musi jednocześnie włączyć następujące opcje wtyczki: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password oraz Admin OTP Bypass.

Rozszerzenie Joomla UP (lomart.fr) w wersjach 5.0.0-5.2.0 oraz 6.0.0-6.0.29 zawiera podatność umożliwiającą nieuwierzytelnione zdalne zainstalowanie kodu. Osoba atakująca bez logowania może doprowadzić do instalacji złośliwego kodu w aplikacji.

Rozszerzenie Joomla UP (lomart.fr) w wersjach 5.0.0-5.2.0 oraz 6.0.0-6.0.29 zawiera różne wektory path traversal i dostępu do plików. Osoba atakująca może uzyskać dostęp do plików poza zamierzonym katalogiem.

Rozszerzenie Joomla UP (lomart.fr) w wersjach 5.0.0-5.2.0 oraz 6.0.0-6.0.29 zawiera podatność na wstrzyknięcie poleceń PHP przez uwierzytelnionego użytkownika z uprawnieniami. Osoba atakująca z odpowiednimi uprawnieniami może wykonać dowolne polecenia PHP.

Rozszerzenie Joomla AcyMailing Enterprise w wersjach poniżej 11.1.0 zawiera podatność umożliwiającą zdalne wykonanie kodu w funkcji obsługi skrzynki pocztowej. Części MIME przychodzących wiadomości były zapisywane do katalogu media/com_acym/upload/ bez sprawdzania rozszerzenia, więc każdy, kto mógł wysłać e-mail na monitorowaną skrzynkę, mógł zapisać plik PHP w katalogu głównym witryny.

Rozszerzenie Joomla YouTube Gallery (joomlaboat.com) w wersjach poniżej 5.7.3 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL w funkcji wyszukiwania i sortowania filmów. Osoba atakująca może wstrzyknąć polecenia SQL do zapytań odczytu.

Froxlor w wersjach 2.3.10 i wcześniejszych zawiera niekompletną poprawkę podatności GHSA-c3p2 — funkcja Validate::validateUrl odrzuca znaki CR/LF tylko w ścieżce, zapytaniu i fragmencie, a nie sprawdza części userinfo (user:pass@). Uwierzytelniony klient z uprawnieniami do tworzenia subdomen może podać adres URL przekierowania subdomeny z ładunkiem CR/LF w części userinfo, który przechodzi walidację i jest zapisywany dosłownie w konfiguracji vhost nginx lub Apache. Froxlor regeneruje i przeładowuje konfigurację jako root, więc wstrzyknięte dyrektywy działają w całym serwerze.

Froxlor w wersjach 2.3.10 i wcześniejszych zawiera niekompletną poprawkę podatności GHSA-75h4-... — cron eksportu danych klienta (DataDump) nie waliduje pośrednich komponentów ścieżki docelowej. Funkcja Froxlor\FileDir::makeCorrectDir() ma błąd off-by-one w przechodzeniu komponentów ścieżki, pomijając pierwszy segment poniżej katalogu domowego klienta, a zabezpieczenie w ExportCron.php sprawdza tylko ostatni komponent przez is_link(). Uwierzytelniony klient z włączonym eksportem może zaplanować eksport do podkatalogu swojego webspace, a następnie zastąpić pośredni komponent ścieżki dowiązaniem symbolicznym przed uruchomieniem crona jako root. Wtedy 'chown -R' rekurencyjnie zmienia właściciela drzewa katalogów (np. /etc) na UID klienta, co prowadzi do przejęcia uprawnień roota i kompromitacji między dzierżawcami.

Froxlor w wersjach do 2.3.10 jest podatny na dowolne usuwanie plików poprzez podążanie za dowiązaniami symbolicznymi w zadaniu cron usuwania danych FTP. Zadanie cron 8 (deleteFtpData), kolejkowane przy usuwaniu konta FTP, wywołuje FileDir::makeCorrectDir() bez argumentu $fixed_homedir, więc przechodzenie komponentów ścieżki jest pomijane, a następnie wykonuje 'rm -rf' jako root na wynikowej ścieżce z jedynie tekstowymi zabezpieczeniami. Ponieważ makeCorrectDir() dodaje końcowy ukośnik, GNU rm podąża za dowiązaniem symbolicznym użytym jako pośredni lub końcowy komponent ścieżki. Uwierzytelniony klient mogący zapisywać w katalogu domowym FTP może umieścić dowiązanie symboliczne między wstawieniem zadania a wykonaniem crona, powodując rekurencyjne usunięcie dowolnych drzew katalogów przez zadanie roota.

Froxlor w wersjach przed 2.3.12 nie ogranicza ani nie escapuje ustawienia system.letsencryptchallengepath — w przeciwieństwie do innych ustawień wzmocnionych w GHSA-33mp, pole nie ma zabezpieczenia string_regexp ani required_otp, a jego wartość jest dołączana bez escapowania do wiersza poleceń acme.sh budowanego w lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php i wykonywanego przez cron roota przez FileDir::safe_exec. Ponieważ safe_exec blokuje tylko metaznaki powłoki takie jak ; | & > < \ $ ~ ?, spacje i cudzysłowy przechodzą, a wartość jest dzielona na dodatkowe argumenty acme.sh. Administrator lub dowolny podmiot mogący zapisywać ustawienia (np. przez API importu ustawień) może wstrzyknąć opcje acme.sh takie jak --renew-hook, --pre-hook lub --post-hook, aby uzyskać wykonanie dowolnych poleceń jako root przy następnym uruchomieniu crona Let's Encrypt, albo użyć --config-home/--cert-home do zapisu dowolnych plików.

Kyverno przed wersją 1.19.1 nieprawidłowo waliduje zakodowane w URL segmenty ścieżki w apiCall urlPath polityki, co pozwala tenantom namespace'ów ominąć ograniczenia per-namespace i tworzyć obiekty w innych namespace'ach jako ServiceAccount kontrolera admission. Atakujący mogą wykorzystać percent-encoded sekwencje traversal katalogów do tworzenia obiektów MutatingWebhookConfiguration w całym klastrze lub obiektów PolicyException w namespace kyverno, co umożliwia eskalację uprawnień do administratora klastra.

Wtyczka Request a Quote for WooCommerce do WordPressa do wersji 2.9.2 włącznie jest podatna na dowolne przesyłanie plików przez funkcję `afrfq_submit_quote_via_popup()`. Brak walidacji rozszerzenia pliku i typu MIME w handlerze przesyłania w oknie popup pozwala nieuwierzytelnionym atakującym na przesłanie plików wykonywalnych, takich jak PHP, do katalogu tymczasowego RFQ.

Podatność typu OS Command Injection w rozszerzeniu ExternalData dla MediaWiki wynika z niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Problem dotyczy wersji od początku istnienia rozszerzenia do wersji przed 3.7.

X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.

X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.

W Zammad przed wersją 7.1.2, gdy włączone jest ustawienie "Automatic account link on initial logon", system wiąże tożsamość zewnętrznego dostawcy SSO z istniejącym kontem lokalnym na podstawie adresu e-mail raportowanego przez dostawcę, bez weryfikacji, że dostawca potwierdził własność tego adresu. Atakujący kontrolujący dowolną tożsamość u skonfigurowanego dostawcy (domyślnie m.in. dowolny tenant Azure AD przez rejestrację aplikacji Microsoft 365 /common) może ustawić e-mail tożsamości na adres ofiary, uwierzytelnić się i zostać zalogowanym jako ofiara, omijając jej lokalne hasło. Problem dotyczy wszystkich istniejących kont, w tym agentów i administratorów.

W GLPI od wersji 11.0.0 do 11.0.8 administrator formularzy może użyć importu formularza ze spreparowanym identyfikatorem ilustracji lub sceny, który wychodzi poza zamierzony katalog zasobów niestandardowych. Zaimportowany plik może zostać zapisany w wykonywalnej lokalizacji serwera, umożliwiając zdalne wywołanie złośliwego skryptu.

Przed wersjami 1.7.4 i 2.0.0-beta.4, dostawca OAuth Discord w FriendsOfFlarum nie weryfikuje pola 'verified' dla adresu e-mail przed przekazaniem go do rdzenia Flarum jako zaufanego. Umożliwia to nieuwierzytelnionemu atakującemu, znającemu adres e-mail ofiary, skonfigurowanie konta Discord z niezweryfikowanym adresem i zalogowanie się jako ofiara bez hasła.

W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.