Katalog podatności CVE

W określonym trybie uwierzytelniania reverse proxy przekazuje żądania do dołączonego interfejsu administracyjnego firm trzecich bez uprzedniego zastosowania własnego wymogu uwierzytelnienia bramy. Cała kontrola dostępu do tego interfejsu, który zarządza magazynem poświadczeń dla wszystkich innych usług, jest delegowana wyłącznie do mechanizmu logowania tego interfejsu.

Tryb wdrożenia przeznaczony do udostępniania wyłącznie dostępu do odczytu danych pośredniczy w zestawie tras API bez ograniczenia dozwolonych metod żądań. Jedna z tras przyjmuje żądanie tworzące lub nadpisujące zapisany rekord, w tym identyfikator wybrany przez atakującego, używając własnych podniesionych poświadczeń backendu aplikacji.

Reguła routingu wybiera między dwoma mechanizmami uwierzytelniania dla tej samej usługi na podstawie wartości nagłówka żądania dostarczonego przez klienta, a nie właściwości, której klient nie może kontrolować. Uwierzytelniony użytkownik posiadający wspólne poświadczenie usługi może ustawić ten nagłówek, aby ominąć podstawową kontrolę autoryzacji opartą na rolach i osiągnąć stałą, podniesioną rolę ścieżki alternatywnej.

Punkt końcowy API przyjmuje wartość dostarczoną przez użytkownika i interpoluje ją bezpośrednio do ścieżki żądania backendowego do bazowego magazynu danych wyszukiwania i analityki, bez ograniczania jej zawartości. Umożliwia to uwierzytelnionemu atakującemu podstawienie dowolnej ścieżki backendowej i użycie podwyższonych poświadczeń usługi aplikacji przeciwko niezamierzonym wewnętrznym punktom końcowym.

Interfejs przyjmujący przesyłanie plików od uwierzytelnionych użytkowników rozpakowuje zawartość przesłanych archiwów bez sprawdzenia, czy wyodrębnione ścieżki plików pozostają w docelowym katalogu. Umożliwia to uwierzytelnionemu atakującemu przygotowanie archiwum, którego wpisy wychodzą poza katalog docelowy, powodując zapis plików w dowolnych lokalizacjach z uprawnieniami tego procesu.

Interfejs webowy odzwierciedla część adresu URL żądania w kontekście skryptu oraz w atrybucie hiperłącza bez odpowiedniego kodowania, a dostęp do niego nie wymaga uwierzytelnienia. Umożliwia to nieuwierzytelnionemu atakującemu sieciowemu utworzenie linku, który po odwiedzeniu przez użytkownika wykonuje dowolny skrypt w kontekście aplikacji i może przekierować przeglądarkę na dowolną zewnętrzną stronę.

ZoneMinder w wersjach przed 1.36.39, 1.38.4 i 1.39.11 pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach z gruboziarnistymi uprawnieniami Events=View i/lub Snapshots=View na bezpośrednie pobieranie mediów zdarzeń należących do monitorów, do których nie ma dostępu. Normalny interfejs ukrywa zastrzeżony monitor, ale bezpośrednie widoki mediów zdarzeń akceptują dowolny eid i strumieniują media bez egzekwowania ACL na poziomie zdarzenia/monitora.

Doco-CD to narzędzie GitOps do automatycznego wdrażania projektów Docker Compose i stosów Swarm. W wersjach przed 0.90.1 występuje błąd granicy zaufania w weryfikacji artefaktów OCI — konfiguracja wdrożenia zawarta w artefakcie (plik `.doco-cd.yml` z `oci.verify: false`) mogła wpływać na politykę weryfikacji tego samego artefaktu. Przy włączonej globalnej weryfikacji podpisów OCI (`OCI_TRUST_POLICY` z `enabled: true`) atakujący z prawem zapisu do tagu OCI mógł opublikować niepodpisany lub niepoprawnie podpisany artefakt, co prowadziło do obejścia weryfikacji podpisu i wdrożenia niezaufanej treści.

Hoverfly w wersjach przed 1.12.8 używa http.DefaultClient bez konfiguracji limitu czasu dla zdalnych akcji post-serve. Gdy zdalny punkt końcowy jest nieosiągalny lub celowo powolny, każde wywołane żądanie proxy tworzy goroutine, która blokuje się na czas nieokreślony na http.DefaultClient.Do().

Kimai w wersjach przed 2.58.0 zawiera uwierzytelnione problemy z cross-site request forgery w domyślnych skrótach tworzenia zespołów dla projektów, klientów i działań. Punkty końcowe są dostępne przez trasy GET i bezpośrednio tworzą lub ponownie wykorzystują zespół, dodają bieżącego użytkownika jako lidera zespołu i wiążą obiekt docelowy z tym zespołem.

OpenTelemetry eBPF Profiler w wersjach od 0.0.202527 do przed 0.0.202622 pozwala nieuprzywilejowanemu procesowi spowodować, że profiler otworzy nieregularny plik mapowania, taki jak FIFO, i zablokuje się na czas nieokreślony, uniemożliwiając dalszą analizę ELF i powodując odmowę usługi.

matrix-sdk-crypto w wersjach od 0.12.0 do przed 0.17.0 pomijał sprawdzenie identyfikatora użytkownika podczas odszyfrowywania zdarzenia zaszyfrowanego Olm zawierającego właściwość sender_device_keys. Może to być wykorzystane do sfałszowania zaszyfrowanego zdarzenia to-device, ale tylko jeśli atakujący współpracuje z operatorem homeservera.

Concrete CMS w wersjach poniżej 9.5.3 jest podatny na trwały XSS poprzez pole Date Format w bloku Page Attribute Display. Użytkownik z uprawnieniem edit_page_contents może zapisać złośliwy kod, który wykona się w przeglądarce każdego odwiedzającego stronę, na której blok wyświetla atrybut typu data.

Concrete CMS w wersjach poniżej 9.5.3 nie stosuje escapowania HTML dla pól opisu pliku i tagów podczas renderowania bloku Document Library. Użytkownik mogący edytować właściwości plików może zapisać złośliwy skrypt, który wykona się w przeglądarce każdego odwiedzającego stronę z włączoną kolumną opisu lub tagów, w tym niezalogowanych.

API bloków Concrete CMS w wersjach 9.2.0 do 9.5.2 nie wywoływało metody validate() kontrolera typu bloku dla przesłanych danych, co dla bloków odwołujących się do plików (np. hero_image, gallery) pozwalało na zapisanie i wyświetlenie odwołania do pliku, który normalnie zostałby odrzucony przez politykę autoryzacji menedżera plików. Ujawnia to URL i podgląd pliku edytorowi oraz odwiedzającym stronę.

Dobase w wersjach przed 2026.06.03 ma podatność typu stored DOM-based XSS w publicznej, niezalogowanej galerii obrazów udostępnionego folderu. Nazwa pliku jest w pełni kontrolowana przez atakującego i nie jest sanityzowana, co pozwala na wykonanie złośliwego kodu w przeglądarce każdego, kto ma publiczny link do udostępnienia.

Mousehole w wersjach przed 0.4.05 ma granicę zarządzania HTTP/WebSocket dostępną bez uwierzytelniania aplikacji lub sprawdzania pochodzenia przeglądarki/LAN. Usługa przechowuje ciasteczko sesji MyAnonamouse (MAM) i używa tej samej serializacji z ciasteczkiem dla stanu, odpowiedzi API i aktualizacji WebSocket, co pozwala każdemu klientowi z dostępem do portu odczytać stan, zastąpić ciasteczko lub wymusić efekty uboczne aktualizacji MAM.

Kimai w wersjach przed 2.58.0 zawiera podatność typu server-side request forgery (SSRF) w procesie podglądu i generowania faktur PDF. Jeśli atakujący kontroluje treść Markdown renderowaną do faktury PDF, np. Customer.invoiceText, serwerowy renderer PDF pobiera zdalne adresy URL obrazów osadzonych w składni Markdown, co pozwala na wysyłanie żądań do celów kontrolowanych przez atakującego lub wewnętrznych.

OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.

ArduinoCore-avr w wersjach przed 1.8.8 pozwala atakującemu wywołać przepełnienie bufora na stosie podczas łączenia wartości zmiennoprzecinkowych o dużej magnitudzie z obiektem Arduino String. Przekazanie wartości bliskich skrajnych zakresów float lub double do String::concat(float), String::concat(double), String::operator+=() lub operatora + powoduje, że dtostrf() zapisuje poza buforem stosu, prowadząc do uszkodzenia pamięci i odmowy usługi.