Katalog podatności CVE

Motyw WordPress TutorStarter przed wersją 4.0.4 nie respektuje ustawienia rejestracji użytkowników w jednym ze swoich handlerów AJAX rejestracji. Umożliwia to nieuwierzytelnionym odwiedzającym tworzenie kont WordPress, nawet gdy rejestracja użytkowników jest wyłączona.

Brak autoryzacji na obiektach COM w Progressive Robot hMailServer 6.0.0 do 6.3.5 (tylko Windows) pozwala lokalnemu użytkownikowi interaktywnemu bez poświadczeń hMailServer na odczyt i zapis dowolnych plików jako konto usługi oraz kolejkę poczty jako dowolny nadawca. Usługa rejestruje swoje klasy COM bez uprawnień dostępu lub uruchamiania DCOM i wywołuje CoInitializeSecurity bez deskryptora zabezpieczeń, więc każdy użytkownik zalogowany na konsoli lub przez Remote Desktop może aktywować klasy w działającej usłudze; utworzone w ten sposób hMailServer.Message, jego Attachments i Attachment oraz hMailServer.FetchAccount niosą poświadczenie, które nigdy nie zostało uwierzytelnione. Attachments.Add(path) i Attachment.SaveAs(path) nie wykonywały żadnej kontroli autoryzacji, a Message.Save/Copy i FetchAccount.AccountID/Save nie wykonywały żadnej do 6.3.3, a od 6.3.4 traktowały posiadacza bez poświadczeń jako własnego hosta skryptów zdarzeń serwera. Ponieważ usługa nie personifikuje wywołującego COM, Attachments.Add odczytuje dowolny plik, który konto usługi może odczytać, i zwraca go, Attachment.SaveAs zapisuje wybrane przez atakującego bajty do dowolnej ścieżki, do której może zapisać (w instalacji LocalSystem, wykonanie kodu jako SYSTEM), Message.Save kolejkuje wychodzącą pocztę z dowolnego adresu poza kontrolami SMTP, a FetchAccount dołącza zadanie pobierania poczty do dowolnej skrzynki. Obiekty przekazane przez Application zachowują się tak samo, gdy późniejsze Authenticate na tym Application zawiedzie.

Brak walidacji nagłówka Host i brak ograniczania nieudanych logowań administratora w listenerze REST API Progressive Robot hMailServer 6.0.0 do 6.3.5 pozwalają zdalnemu atakującemu na brute-force hasła administratora serwera przez przeglądarkę administratora za pomocą DNS rebinding. Listener, domyślnie wyłączony i powiązany z loopbackiem, odpowiadał na żądania niezależnie od nagłówka Host, a nieudane logowanie z hasłem administratora z loopbacka nie było automatycznie banowane ani opóźniane. Strona internetowa, której nazwa hosta jest rebindowana na 127.0.0.1, otwarta w przeglądarce na serwerze, może wysyłać uwierzytelnione żądania do listenera, odczytywać odpowiedzi i próbować hasła administratora z pełną prędkością, aż jedno zostanie zaakceptowane, dając atakującemu pełną kontrolę administracyjną nad serwerem pocztowym.

Helper aktualizacji na żywo Linuksa (hmailserver-update) w Progressive Robot hMailServer 6.3.4 i 6.3.5 działa jako root na pliku żądania zapisanym przez nieuprzywilejowane konto usługi hmailserver i pobiera z tego żądania program używany do weryfikacji podpisu aktualizacji AppImage oraz jednostkę systemd do zatrzymania przed odczytaniem plików konta usługi. Atakujący, który już wykonuje kod jako konto usługi hmailserver, na przykład przez inną lukę w serwerze pocztowym, może w ten sposób spowodować wykonanie dowolnego kodu jako root, na dowolnej instalacji Linuksa, gdzie jednostka ścieżki aktualizacji na żywo jest aktywna — domyślnie dla pakietów .deb i .rpm projektu — oraz w instalacjach AppImage uruchamianych pod tą jednostką.

Brak limitów czasu sieci w kompilacjach Linuksa Progressive Robot hMailServer 6.3.0 do 6.3.5 pozwala zdalnemu atakującemu na zajęcie wątków serwera na czas nieokreślony i zatrzymanie wychodzącej dostawy poczty (odmowa usługi). Serwer ustawiał limity czasu gniazd w formie akceptowanej przez Windows, którą Linux odrzuca, a jego klienty HTTPS czytały bez terminu, więc peer, który akceptuje połączenie i nic nie wysyła, trzymał wątek oczekujący tak długo, jak długo połączenie pozostawało otwarte. Pobieranie polityki MTA-STS, domyślnie włączone, odbywa się podczas wychodzącej dostawy do mta-sts.<domena odbiorcy>, więc każdy, kto może zmusić serwer do dostarczenia poczty do domeny przez niego kontrolowanej — na przykład jako nadawca koperty wiadomości, która odbija się — może trzymać wątki dostawy, aż wychodząca dostawa ustanie. Ta sama wada dotyczy zapytania DANE TLSA, żądania tokenu OAuth2, klienta ACME oraz listenerów ManageSieve i metryk, które cichy klient przestaje obsługiwać dla wszystkich innych. Kompilacje Windows nie są dotknięte.

Cross-site scripting w webmailu Progressive Robot hMailServer 6.3.2 do 6.3.5 pozwala zdalnemu atakującemu, który może wysłać użytkownikowi zaszyfrowaną wiadomość, na uruchomienie skryptu w origin webmaila z sesją tego użytkownika. Gdy webmail odszyfrowywał wiadomość S/MIME (od 6.3.2) lub OpenPGP (od 6.3.4) w przeglądarce, oferował każdy odszyfrowany załącznik jako blob URL typu mediów zadeklarowanego dla niego. Kliknięcie zapisywało plik, ale jeśli użytkownik otworzył załącznik w nowej karcie, część zadeklarowana jako text/html była renderowana jako dokument origin webmaila, a jej skrypt mógł odczytać skrzynkę, wysyłać pocztę i zmieniać konto przez REST API. Webmail jest serwowany tylko, gdy REST API jest włączone, co nie jest domyślne.

Wtyczka WordPress Airwallex Online Payments Gateway przed wersją 1.36.0 nie weryfikuje, czy przychodzące powiadomienie o płatności rzeczywiście pochodzi od dostawcy płatności, gdy nie skonfigurowano sekretu webhooka. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia i oznaczenie zamówień jako opłaconych bez dokonywania płatności.

Przepełnienie bufora na stercie w starszej procedurze szyfrowania Blowfish (BlowFishEncryptor::Encode, wywoływanej przez EncryptToString) w Progressive Robot hMailServer 6.0.0 do 6.3.5 pozwala uwierzytelnionemu użytkownikowi skrzynki pocztowej wywołać odmowę usługi (awarię usługi) i prawdopodobnie inne nieokreślone skutki. W wersjach 6.3.4 i 6.3.5, gdy włączone jest samoobsługowe API REST (domyślnie wyłączone), użytkownik może to zrobić zdalnie, dodając konto pobierania z hasłem o długości od 129 do 247 znaków niebędącej wielokrotnością 8, a następnie żądając eksportu danych osobowych (GET /api/v1/me/export.zip), co szyfruje to hasło starszym schematem. Ta sama wada jest osiągalna w systemie Windows przez dowolnego lokalnego użytkownika interaktywnego bez poświadczeń hMailServer, poprzez metodę COM Utilities.BlowfishEncrypt, która nie sprawdzała uwierzytelnienia. Jest również osiągalna przy każdym zapisie przechowywanego sekretu, gdy ProtectStoredSecretsWithDPAPI jest ustawione na 0. Dla takiej długości pętla dopełniania procedury zapisuje do 7 bajtów zerowych od 2 do 232 bajtów poza końcem bufora sterty o rozmiarze 255 bajtów. Zwracany szyfrogram jest nadal poprawny.

Przepełnienie bufora na stercie w starszej procedurze deszyfrowania Blowfish (BlowFishEncryptor::DecryptFromString) w Progressive Robot hMailServer 6.0.0 do 6.3.3 na Windows pozwala lokalnemu użytkownikowi interaktywnemu bez poświadczeń hMailServer na zapis wybranych bajtów poza końcem 255-bajtowego bufora sterty w procesie usługi hMailServer, który domyślnie działa jako LocalSystem. Użytkownik robi to, przekazując długi ciąg szesnastkowy do metody COM Utilities.BlowfishDecrypt, która nie sprawdzała uwierzytelnienia. Procedura konwertowała dane wejściowe o dowolnej długości na stały 255-bajtowy bufor przed deszyfrowaniem w miejscu. Skutkiem jest odmowa usługi (awaria usługi) i prawdopodobnie wykonanie kodu z uprawnieniami konta usługi.

Uwierzytelniony użytkownik z wysokimi uprawnieniami może wstrzykiwać argumenty w poleceniach do rozwiązywania problemów, co prowadzi do eskalacji uprawnień.

W Eclipse Ditto w wersjach 3.6.0 do 3.8.13 oraz 3.9.0 do 3.9.7 interfejs Ditto Explorer UI ładuje konfigurację środowiska, w tym URI API Ditto i ustawienia dostawcy OIDC, z dowolnego adresu URL podanego w parametrze environmentsURL. Złośliwy link może ustawić kontrolowaną przez atakującego władzę OIDC z włączonym autoSso, co prowadzi do kradzieży tokenów dostępu i odświeżania ofiary.

Nieoczyszczone dane wejściowe w polu "template name" funkcji Workflow Template w SQLView KRIS są renderowane w atrybutach "onclick" na głównym pulpicie bez odpowiedniej sanityzacji po stronie serwera. Umożliwia to atakującemu z uprawnieniami administracyjnymi wstrzyknięcie i zapisanie złośliwych skryptów, które wykonują się w przeglądarkach dotkniętych użytkowników.

Podatność w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na pobieranie informacji o kontach innych użytkowników przez endpoint /dolphinscheduler/users/list-all bez wymaganych uprawnień. Endpoint nie egzekwuje niezbędnych kontroli autoryzacji przed zwróceniem informacji o kontach użytkowników. Skuteczne wykorzystanie może ujawnić wrażliwe informacje o użytkownikach i ułatwić enumerację kont. Problem dotyczy wersji przed 3.4.3.

Podatność autoryzacyjna w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom niebędącym administratorami na pobieranie danych konfiguracyjnych Kubernetes przeznaczonych dla administratorów. Ujawnione dane kubeconfig zawierają poświadczenia, które mogą umożliwić bezpośrednie uwierzytelnienie do API Kubernetes poza DolphinScheduler.

Podatność autoryzacyjna w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom uzyskać informacje o źródłach danych, do których nie mają uprawnień, poprzez endpointy /unauth-datasource i /authed-datasource. Endpointy te nie egzekwują kontroli dostępu i zwracają wrażliwe informacje o połączeniu, w tym hasła do źródeł danych.

Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na operowanie instancjami zadań w projektach, do których nie mają uprawnień, poprzez endpointy /dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop oraz /savepoint.

Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom modyfikować definicje zadań w projektach, do których nie mają uprawnień, poprzez endpoint /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream. Endpoint nie weryfikuje, czy definicja zadania należy do podanego projektu.

Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na nieautoryzowane operacje na harmonogramach przepływów pracy, definicjach przepływów pracy i instancjach zadań w innych projektach. Dotknięte endpointy sprawdzają uprawnienia względem podanego projectCode, ale nie weryfikują, czy zasób należy do tego projektu.

Zidentyfikowano podatność dotyczącą niewystarczającej walidacji w procesie uwierzytelniania Frappe Cloud/ERPNext, która pozwala na akceptację wielu adresów e-mail poprzez manipulację polem email w punkcie końcowym /api/method/press.api.account.signup. Podatność występuje, gdy nieuwierzytelniony zdalny atakujący doda więcej niż jeden adres e-mail. Usługa przetwarza całą wartość jako prawidłową listę odbiorców i wysyła kod OTP na wszystkie adresy bez odpowiedniej walidacji wszystkich dodanych e-maili (tylko jeden z nich musi być prawidłowy). Eksploatacja tej podatności może pozwolić atakującemu na: uzyskanie OTP uwierzytelniającego; podszycie się pod kogoś innego w procesie rejestracji; rejestrację kont przy użyciu adresów e-mail innych osób bez dostępu do skrzynki pocztowej; pośrednie potwierdzenie istnienia już zarejestrowanych adresów e-mail.

Podatność na wstrzykiwanie SQL w platformie demonstracyjnej NetBoard CRM. Podatny komponent to parametr 'user-name' POST w punkcie końcowym '/module/auth/recovery.php'. Parametr jest podatny na ślepe ataki oparte na Boolean, błędach, czasie i technikach UNION. Wykorzystanie pozwala atakującym na wyodrębnienie poufnych informacji (takich jak wersja i typ backendu), modyfikację danych lub dalsze naruszenie środowiska CRM.