Katalog podatności CVE

matrix-sdk-ui w wersjach przed 0.17.0 ma brak sprawdzenia w logice walidacji edycji wiadomości: przy zastępowaniu zaszyfrowanego zdarzenia zdarzenie zastępujące nie musi być zaszyfrowane. Umożliwia to złośliwym administratorom serwera domowego (lub podmiotom o równoważnej władzy) podszywanie się lub fałszowanie wiadomości jako wysłanych przez ofiarę.

Funkcja Kiro Powers w Amazon Kiro IDE przed wersją 0.8.135 pozwala na włączenie funkcjonalności z niezaufanej strefy kontroli. Złośliwa zawartość repozytorium może zmodyfikować plik ustawień workspace, przekierowując żądanie rejestru Kiro Powers do punktu końcowego kontrolowanego przez atakującego i wysyłając dane workspace po otwarciu panelu Powers.

Concrete CMS przed wersją 9.5.3 sprawdzał autoryzację dla zgłoszenia wpisu Express względem encji opublikowanego formularza, a nie encji zidentyfikowanej przez trasę dashboardu. Użytkownik uprawniony do dodawania wpisów w jednym obiekcie Express mógł tworzyć wpisy w innym obiekcie Express poza swoim zakresem uprawnień.

Concrete CMS poniżej wersji 9.5.3 nie wykonuje sprawdzenia autoryzacji na poziomie obiektu podczas aktualizacji typu strony. Kontroler Types::submit() ładował i zapisywał typ strony zidentyfikowany przez ptID dostarczony przez użytkownika bez wywołania canEditPageType(), umożliwiając zalogowanemu użytkownikowi dashboardu modyfikację konfiguracji typów stron poza jego granicami uprawnień.

Concrete CMS w wersjach od 9.5.0 do 9.5.2 jest podatny na otwarte przekierowanie poprzez parametr rcURL. Atakujący może stworzyć link w domenie witryny, który po uwierzytelnieniu przekierowuje użytkownika na dowolną zewnętrzną stronę, ułatwiając phishing i kradzież danych uwierzytelniających. Ten sam mechanizm występuje w procesie rejestracji.

Concrete CMS przed wersją 9.5.3 jest podatny na Cross-Site Request Forgery w funkcji Move Multiple Groups. Endpoint dashboard/users/groups/bulkupdate/confirm() przenosił wybrane węzły drzewa grup bez walidacji tokenu akcji, umożliwiając zmianę stanu grupy dla uwierzytelnionego użytkownika, który jej nie zainicjował. Przeniesienie grupy pod nowego rodzica powoduje dziedziczenie uprawnień rodzica przez członków grupy.

Concrete CMS w wersjach od 9.0.0 do 9.5.2 jest podatny na trwały XSS w oknie dialogowym Board Custom Slot. Endpoint custom_slot save_template autoryzuje żądanie tylko względem docelowej instancji board i zapisuje dostarczony przez klienta selectedTemplateOption[collection] bez weryfikacji, umożliwiając użytkownikowi z uprawnieniami do edycji zawartości boardu zapisanie złośliwego obiektu podsumowania z ładunkiem JavaScript w polu opisu. Domyślny szablon podsumowania renderuje to pole bez kodowania wyjściowego.

Podatność typu reflected XSS w komponencie p.rfihub.com platformy Zeta Marketing Platform (ZMP) v1.0 pozwala atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie spreparowanego adresu URL do parametru ca.

Podatność typu out-of-bounds write w Citrix Workspace app dla Windows. Problem dotyczy wersji przed 2603.11 Current Release (CR), przed 2507.1 LTSR CU3 oraz przed LTSR 2607.

Podatność typu out-of-bounds read w Citrix Workspace app dla Windows. Problem dotyczy wersji przed 2603.11 Current Release (CR), przed 2507.1 LTSR CU3 oraz przed LTSR 2607.

Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (cross-site scripting) w Microsoft Edge (opartym na Chromium) pozwala nieautoryzowanemu atakującemu na przeprowadzenie ataku typu spoofing przez sieć.

Concrete CMS przed wersją 9.5.3 nie walidował tokenu anty-CSRF w akcji submit() kontrolera okna dialogowego duplikowania wydarzenia kalendarza (concrete/controllers/dialog/event/duplicate.php), co pozwalało na zduplikowanie wydarzenia po sprawdzeniu tylko canAccess() i uprawnienia canAddCalendarEvent(). Sfałszowane żądanie cross-site mogło spowodować utworzenie duplikatów rekordów CalendarEvents i CalendarEventVersions przez uwierzytelnionego użytkownika z uprawnieniem dodawania wydarzeń.

Pakiety nl.nl-portal:documenten-api (do wersji 3.0.0) oraz nl.nl-portal:besluiten (od 1.5.0 do 3.0.0) nie weryfikują uprawnień poszczególnych użytkowników w resolverach GraphQL. Uwierzytelniony użytkownik może uzyskać dostęp do dokumentów, decyzji, ścieżek audytu i załączników decyzji należących do innych użytkowników. Wersja 3.0.1 zawiera poprawkę.

W wersjach do 3.0.0 włącznie wdrożenia NL Portal Backend Libraries z domyślną konfiguracją udostępniały bez uwierzytelnienia dwa narzędzia deweloperskie GraphQL: interaktywny playground GraphiQL oraz introspekcję schematu. Każdy, kto miał dostęp do endpointu /graphiql, mógł pobrać pełny schemat API i wykorzystać go do mapowania oraz konstruowania wywołań. Wersja 3.0.1 naprawia problem.

W multipathd lokalny atakujący z dostępem do gniazda sterującego UNIX multipathd może wysyłać poprawne polecenia, a następnie przestać odczytywać odpowiedzi. Powoduje to zablokowanie wątku nasłuchującego multipathd i prowadzi do odmowy usługi (DoS), w której prawidłowe operacje IPC mogą zawieszać się lub przekraczać limit czasu. Podatność nie prowadzi do eskalacji uprawnień, wykonania dowolnego kodu ani naruszenia poufności lub integralności danych.

Concrete CMS w wersjach od 9 do 9.5.2 jest podatny na Server-Side Template Injection (SSTI) w Theme Customizer poprzez niezwalidowane wartości stylów. Wartości przesyłane przez customizer (kanały kolorów i inne właściwości obsługiwane przez klasy ColorStyle, FontFamilyStyle, ImageStyle) są interpolowane do kompilowanego po stronie serwera źródła LESS bez neutralizacji składni LESS, co pozwala użytkownikowi z uprawnieniem Theme Customization wstrzyknąć dowolne dyrektywy LESS. Poprzez dyrektywę @import (inline) atakujący może odczytać dowolne pliki na serwerze i sięgnąć do zasobów sieci wewnętrznej przez wrappery strumieni PHP, a skompilowany wynik trafia do publicznie serwowanego cache CSS.

Wtyczka Quiz And Survey Master w wersjach do 11.2.5 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.

Wtyczka Site Kit by Google w wersjach do 1.186.0 włącznie jest podatna na Cross Site Request Forgery (CSRF), którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to wymusić na zalogowanym użytkowniku wykonanie niepożądanych akcji.

Wtyczka Visual Composer Website Builder w wersjach do 45.16.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na wstrzyknięcie złośliwego skryptu do treści strony.

Wtyczka bbPress w wersjach do 2.6.14 włącznie ujawnia dane wrażliwe nieuwierzytelnionemu atakującemu. Może to prowadzić do nieuprawnionego dostępu do informacji, które powinny pozostać chronione.