Katalog podatności CVE

Podatność typu Path Traversal w rozszerzeniu Joomla Gridbox (wersje przed 2.20.4.0) w akcji showImage, umożliwiająca odczyt plików z katalogów sąsiednich, gdy dekodowanie obrazu zawiedzie, z powodu niewystarczającej kontroli ścieżki.

W panelu sterowania AKINSOFT WOLVOX firmy AKIN Software występuje podatność polegająca na wstawianiu wrażliwych informacji do wysyłanych danych, umożliwiająca pobieranie danych z zasobów systemowych. Problem dotyczy wersji od 26.02.25 do przed 26.02.26.

Oprogramowanie OctoCloud (od AKIN Software) w wersji od 1.12.06 przed 1.12.07 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika, umożliwiającą dostęp do funkcji nieodpowiednio ograniczonych przez ACL.

Nieprawidłowa walidacja certyfikatów w webmailu hMailServer 6.3.2–6.3.5 pozwala zdalnemu, nieuwierzytelnionemu atakującemu doprowadzić do tego, że poczta S/MIME wysyłana później przez konto do innego korespondenta zostanie zaszyfrowana także kluczem atakującego. Webmail zachowywał certyfikat nadawcy do szyfrowania odpowiedzi niezależnie od tego, czy łańcuch certyfikatów uznano za zaufany, przypisywał go do pierwszego adresu e-mail z certyfikatu zamiast adresu From wiadomości i dodawał go obok już posiadanych certyfikatów dla tego adresu.

hMailServer (od Progressive Robot) w wersjach 6.0.0 do 6.3.5 niepoprawnie obsługuje DANE (RFC 7672) przy wysyłce SMTP, co pozwala atakującemu na wyłączenie DANE dla domeny z podpisem DNSSEC i przechwycenie lub modyfikację wiadomości.

Nieefektywna złożoność algorytmiczna w widoku wiadomości webmaila w REST API hMailServer 6.3.2–6.3.5 pozwala zdalnemu, nieuwierzytelnionemu atakującemu unieruchomić webmail, konsolę administracyjną i REST API poprzez wysłanie wiadomości. Trasa renderująca HTML wiadomości zastępowała każde odwołanie do osadzonego obrazu w miejscu, z pracą rosnącą kwadratowo wraz z liczbą odwołań, i zapisywała obraz dla każdego odwołania, licząc go przeciw limitowi rozmiaru tylko raz.

Nieefektywna złożoność algorytmiczna w REST API (6.3.3–6.3.5) oraz w odpowiedzi IMAP PREVIEW (6.2.22–6.3.5) hMailServer pozwala zdalnemu, nieuwierzytelnionemu atakującemu unieruchomić webmail, konsolę administracyjną i REST API poprzez wysłanie wiadomości. Aby pokazać fragment każdej wiadomości na liście w folderze, serwer dekodował odwołania do encji znakowych wiadomości z częścią HTML i bez części tekstowej za pomocą zamiany ciągów, której praca rosła kwadratowo wraz z ich liczbą.

hMailServer 6.0.0–6.3.5 przetwarza kilka poleceń IMAP od zalogowanego konta w czasie kwadratowym względem długości polecenia lub liczby nazwanych elementów i może zostać zmuszony do zajęcia pamięci nieproporcjonalnej do polecenia. Parser elementów danych FETCH normalizował sekcję BODY[] za pomocą zamiany ciągów bez rozróżniania wielkości liter, kopiując cały element przy każdym wystąpieniu, a wyszukiwanie bez rozróżniania wielkości liter porównywało igłę od nowa na każdej pozycji.

Nieefektywna złożoność algorytmiczna w dekodowaniu pól nagłówka wiadomości w hMailServer 6.0.0–6.3.5 pozwala zdalnemu, nieuwierzytelnionemu atakującemu unieruchomić usługi IMAP, SMTP i POP3 lub webmail poprzez wysłanie wiadomości. Serwer rozwijał zdekodowaną wartość nagłówka, znajdując każdy znak nowej linii od końca wartości i usuwając go, przesuwając resztę wartości za każdym razem, więc jego praca rosła kwadratowo wraz z liczbą znaków nowej linii.

hMailServer (od Progressive Robot) w wersjach 6.3.4 i 6.3.5 zawiera podatność na nieefektywną złożoność algorytmiczną w przetwarzaniu odbić i skarg, co pozwala zdalnemu atakującemu zatrzymać dostarczanie poczty.

Nieprawidłowe rozwiązywanie linków i zewnętrzna kontrola ścieżek plików w administracyjnych operacjach wiersza poleceń hMailServer.exe w hMailServer 6.3.4 i 6.3.5 pozwalają lokalnemu atakującemu, który już wykonuje kod jako konto usługi o niskich uprawnieniach, na eskalację uprawnień. W systemie Windows operacje uruchamiane z uprawnieniami administratora przez instalator, DBSetup, Panel sterowania lub administratora zapisywały wpisy dziennika i rekordy awarii do folderu dziennika, tworzyły, usuwały i zmieniały uprawnienia certyfikatu samopodpisanego i klucza prywatnego w folderze danych oraz przepisywały pliki wiadomości w folderze danych, wszystko według ścieżek w folderach, które konto usługi może modyfikować, podążając za punktami połączenia i montowania.

hMailServer (od Progressive Robot) w wersjach 6.0.0 do 6.3.5 zawiera podatność na nieefektywną złożoność algorytmiczną i niekończącą się pętlę w przetwarzaniu MIME, co pozwala zdalnemu atakującemu uniemożliwić działanie usług pocztowych.

Nieefektywna złożoność algorytmiczna w weryfikacji podpisów DKIM i ARC w hMailServer 6.0.0 do 6.3.5 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na uniemożliwienie działania usług pocztowych poprzez wysłanie wiadomości. Budowanie kanonicznego nagłówka i wybieranie pól nagłówka wymienionych w tagu h= podpisu zajmowało czas rosnący kwadratowo wraz z rozmiarem nagłówka wiadomości. Wiadomość z wieloma polami nagłówka lub polem złożonym z wielu linii, z podpisem DKIM dla domeny kontrolowanej przez atakującego, zajmuje wątek roboczy na dziesiątki sekund na podpis; do dziesięciu podpisów jest ocenianych na wiadomość przez testy DKIM i DMARC.

Nieefektywna złożoność algorytmiczna w ekspansji makr SPF w hMailServer 6.3.4 i 6.3.5 pozwala zdalnemu nieuwierzytelnionemu atakującemu na obciążenie wątków roboczych poprzez opublikowanie spreparowanego rekordu SPF. Zgodnie z RFC 7208, serwer usuwał etykiety pojedynczo, kopiując resztę nazwy za każdym razem, co powodowało kwadratowy wzrost czasu pracy. Atakujący może sprawić, że sprawdzenie SPF wiadomości z kontrolowanej domeny zajmie kilka sekund, ale ograniczenia SPF powodują częściową utratę dostępności.

Nieefektywna złożoność algorytmiczna w czytniku JSON w hMailServer pozwala zdalnemu, nieuwierzytelnionemu atakującemu na uniemożliwienie działania usług pocztowych. Czytanie obiektu JSON utrzymywało pierwszy z każdego zduplikowanego członu nazwy, przeszukując już przeczytane człony, więc obiekt z N różnych nazw członów kosztował O(N^2): 1 MB zajmował 8,9 sekundy, a 4 MB 300 sekund. Zdalny atakujący dociera do czytnika bez konta, wysyłając spreparowany raport TLS-RPT (do 16 MB po dekompresji) do opublikowanej skrzynki raportów domeny, co jest czytane na wątku dostarczania; kilka takich raportów zajmuje wszystkie wątki dostarczania (domyślnie dziesięć), więc serwer nie dostarcza żadnej poczty, lokalnej ani wychodzącej, przez ponad godzinę na raport.

Nieprawidłowe domyślne uprawnienia w instalatorze Windows hMailServer 6.0.0 do 6.3.5 pozwalają lokalnemu, uwierzytelnionemu użytkownikowi na odczyt danych serwera pocztowego. Instalator tworzył foldery danych, logów, temp, bazy danych i zdarzeń oraz plik konfiguracyjny hMailServer.INI z uprawnieniami dziedziczonymi z folderu instalacyjnego, domyślnie w Program Files, które dają grupie lokalnych użytkowników dostęp do odczytu. Każdy użytkownik, który może zalogować się do komputera, może odczytać każdą przechowywaną wiadomość, logi, wbudowaną bazę danych z hashami haseł kont, gdy usługa jest zatrzymana, oraz plik konfiguracyjny, w tym hasło bazy danych, które jest zapieczętowane tylko kluczem DPAPI maszyny i może być odpieczętowane przez dowolne lokalne konto; z zewnętrzną bazą danych to hasło daje pełną kontrolę nad nią.

Nieefektywna złożoność w ocenie filtrów Sieve w hMailServer 6.2.24 do 6.3.5 pozwala uwierzytelnionemu posiadaczowi konta na uczynienie usług pocztowych niedostępnymi za pomocą własnego filtra. Wzorce ':matches' były dopasowywane przez algorytm z nawrotami, którego czas rósł z długością dopasowywanej wartości do potęgi liczby znaków wieloznacznych, a 'deleteheader' usuwał pola pojedynczo, co dawało złożoność O(N^2). Filtry Sieve działają na małym, współdzielonym puli wątków dostarczania, więc aktywny skrypt może wyczerpać pulę i zatrzymać dostarczanie dla całego serwera.

Zapis poza granicami sterty (heap OOB write) w funkcji convert_file_from_to() poprzez spreparowany nagłówek Content-Type pozwala atakującemu na zapis poza granicami, gdy e-mail jest używany jako szablon.

@fastify/jwt to wtyczka JSON Web Token dla frameworka Fastify. W wersjach przed 10.2.3, czas przekazany do expiresIn, notBefore lub maxAge, którego parser nie może odczytać (np. złożony okres, jednostka miesiąca, czas trwania ISO 8601, przecinek dziesiętny lub wartość z białymi znakami), jest po cichu pomijany zamiast odrzucany. Na ścieżce podpisywania powoduje to token bez wygaśnięcia, a na ścieżce weryfikacji maxAge przestaje być egzekwowane, więc token, który powinien być odrzucony ze względu na wiek, jest akceptowany. Problem naprawiono w wersji 10.2.3.

Wtyczka WordPress Wallet System for WooCommerce przed wersją 2.8.0 nie sprawdza, czy kwota transferu portfela jest dodatnia, oraz oblicza nowe saldo nadawcy na podstawie nieaktualnego stanu sprzed zaksięgowania odbiorcy. Uwierzytelniony atakujący z uprawnieniami Subscriber może tworzyć środki w portfelu dla siebie lub przenosić saldo ofiary na własne konto.