Katalog podatności CVE

API Omnivore (packages/api) przed poprawką w commicie abf53d6 zawiera ominięcie uwierzytelniania w weryfikacji tokenów logowania przez Apple. Funkcja decodeAppleToken pobierała pole 'alg' z nagłówka JWT dostarczonego przez atakującego i przekazywała je jako jedyny dozwolony algorytm do jwt.verify(). Używając jsonwebtoken v8 (który nie weryfikuje zgodności klucza/algorytmu), atakujący może ustawić alg=HS256 i podpisać sfałszowany token, używając publicznego klucza RSA Apple jako sekretu HMAC, omijając weryfikację podpisu i podszywając się pod dowolne konto powiązane z Apple.

rust-iot-platform do commitu 5df942ab przechowuje hasła użytkowników w postaci jawnego tekstu bez haszowania w modelu użytkownika. Atakujący mogą odczytać odpowiedzi API z tras pobierania i listowania użytkowników, aby uzyskać poświadczenia w postaci jawnego tekstu dla wszystkich kont.

rust-iot-platform do commita 5df942ab zawiera podatność na ominięcie uwierzytelniania, gdzie większość tras API REST nie ma zabezpieczeń uwierzytelniających w sygnaturach handlerów. Nieuwierzytelnieni atakujący mogą tworzyć, aktualizować, listować, pobierać i usuwać konta użytkowników, bezpośrednio uzyskując dostęp do niezabezpieczonych endpointów bez podawania prawidłowych poświadczeń.

Formwork do wersji 2.3.14 zawiera podatność na trwały atak XSS w śledzeniu odwiedzin, które zapisuje nagłówek Referer bez escapowania. Nieuwierzytelnieni atakujący mogą wysyłać złośliwe nagłówki Referer, aby wstrzyknąć kod, który wykona się w przeglądarce administratora podczas przeglądania panelu Statystyki.

BookStack przed wersją 26.05.4 zawiera podatność na zdalne wykonanie kodu w funkcji importu przenośnych plików ZIP, która pozwala użytkownikom z uprawnieniami Import Content i Create Books na przesłanie pliku PHP polyglot jako okładki książki. Atakujący mogą ominąć walidację rozszerzeń obrazów, umieszczając plik PHP z rozszerzeniem .php w archiwum ZIP, który jest przechowywany w publicznym katalogu głównym i wykonywany przez nieuwierzytelnione żądania.

Cockpit CMS przed wersją 2.14.1 zawiera podatność na enumerację kont w endpointcie sprawdzania uwierzytelnienia z powodu różnic czasowych w weryfikacji hasła. Atakujący mogą mierzyć czasy odpowiedzi w wielu żądaniach, aby określić, które konta istnieją, obserwując, że istniejące konta wyzwalają weryfikację bcrypt, podczas gdy nieistniejące konta zwracają odpowiedź natychmiast.

Shinobi przed commitem 5a76c74f zawiera zakodowany na stałe klucz połączenia w usłudze węzła podrzędnego, który pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych zapytań do bazy danych. Atakujący, którzy dotrą do portu węzła podrzędnego, mogą przedstawić zakodowany klucz podczas uzgadniania WebSocket, a następnie wysyłać zapytania SQL przez handler onWebSocketDataFromChildNode, aby odczytywać i modyfikować rekordy użytkowników oraz konfigurację kamer.

Skyvern przed wersją 1.0.45 zawiera podatność na ucieczkę z piaskownicy w TextPromptBlock, który renderuje szablony dwukrotnie: najpierw w środowisku Jinja z piaskownicą, a następnie w środowisku bez piaskownicy. Atakujący mogą wstrzyknąć złośliwą składnię szablonu Jinja przez parametry przepływu pracy lub dane wyjściowe bloku nadrzędnego, aby wykonać dowolny kod z uprawnieniami procesu serwera.

Wtyczka Sigma Forms Pro dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 1.4.5 włącznie, poprzez funkcję handle_form_submission. Wynika to z dynamicznego przyznawania wszystkim użytkownikom uprawnienia unfiltered_upload podczas przesyłania formularzy oraz pomijania walidacji typu MIME, gdy allowed_file_types nie jest skonfigurowane. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze. Kilka domyślnych szablonów, w tym Job Application, Support Ticket i Wholesale Application, ma pola przesyłania plików bez ograniczeń typów plików, co czyni tę podatność natychmiast wykorzystywalną po instalacji.

Wykryto podatność w systemie macrozheng mall do wersji 1.0.3. Dotyczy nieznanej funkcji w pliku /order/submit komponentu Order Submission. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie, ale jest uważany za trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia.

W jądrze Linux wykryto podatność w mechanizmie GRO (Generic Receive Offload) dotyczącą agregacji pakietów BIG TCP. Niewłaściwa walidacja kryteriów agregacji pozwala na zapis poza granicami bufora (out-of-bounds write) oraz zawinięcie wskaźnika mac_header, co może prowadzić do awarii systemu lub potencjalnego wykonania kodu. Problem dotyczy starszych gałęzi stabilnych, np. 6.18.y, i został naprawiony przez zaostrzenie warunków w funkcji skb_gro_receive().

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.11 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na usuwanie dowolnych planów członkostwa.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.43 nie weryfikuje parametru przekierowania podawanego podczas rejestracji użytkownika przed jego użyciem, co pozwala nieuwierzytelnionym atakującym na przekierowywanie użytkowników na dowolne zewnętrzne adresy URL.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.42 nieprawidłowo ogranicza dostęp do informacji o zamówieniach, co pozwala każdemu użytkownikowi z rolą instruktora na odczyt danych rozliczeniowych zamówień innych użytkowników, w tym imienia, adresu e-mail, numeru telefonu i adresu pocztowego, poprzez enumerację identyfikatorów zamówień.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.40 nie weryfikuje kwoty, odbiorcy, waluty ani statusu powiadomienia o płatności przed oznaczeniem odpowiedniego zamówienia jako ukończonego, co pozwala nieuwierzytelnionym użytkownikom na ukończenie zamówień o pełnej cenie i uzyskanie dostępu do płatnych treści, płacąc jedynie symboliczną kwotę.

Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.5 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta przed jej anulowaniem, co pozwala użytkownikowi z potwierdzoną sesją portalu na anulowanie subskrypcji należących do innych klientów. Wykorzystanie wymaga znajomości identyfikatora subskrypcji, który jest wysokoentropijny i nie można go wyliczyć.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie sprawdza, czy użytkownik żądający automatycznej poprawki SEO posiada uprawnienia wymagane przez WordPressa do zmienianych ustawień, co pozwala użytkownikom z rolą Edytora na modyfikowanie ogólnych ustawień WordPressa zarezerwowanych dla administratorów.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie sprawdza, czy użytkownik posiada wymagane uprawnienia przed zmianą statusu wizyty, co pozwala klientom na ustawianie dowolnych statusów wizyt, na które są zapisani, w tym zatwierdzanie własnych rezerwacji oczekujących na zatwierdzenie oraz nadpisywanie statusów rezerwacji innych klientów na wspólnej wizycie.

Wtyczka WordPress 爱采集数据采集和发布插件 do wersji 1.0.0 nie wymaga tajnego klucza dla jednego z nieuwierzytelnionych punktów końcowych, opierając się na zakodowanym na stałe domyślnym kluczu, oraz nie weryfikuje adresów URL ani ścieżek docelowych. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików z serwera, wymuszenie wysyłania dowolnych żądań i pobieranie odpowiedzi oraz zapisywanie treści poza katalogiem uploads.