Katalog podatności CVE

HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.

W urządzeniach wielofunkcyjnych (MFP) Sharp i Toshiba Tec dane drukowania są przechowywane wewnętrznie w pamięci podręcznej i nie są czyszczone po zakończeniu zadania. Mogą być później dostępne dla innych użytkowników.

W aplikacji Meesho Online Shopping App na Androida do wersji 20260607 wykryto podatność w komponencie com.meesho.supply. Argumenty user_id, numer telefonu, adres e-mail i nazwa są przechowywane w postaci jawnej (czystego tekstu). Atak wymaga fizycznego dostępu do urządzenia.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.

Wtyczka Tag, Category, and Taxonomy Manager do WordPressa przed wersją 3.51.0 nie weryfikuje, czy użytkownik ma uprawnienia dostępu do referencyjnego posta przed jego przetworzeniem i zwróceniem pochodnych danych. Pozwala to użytkownikom z uprawnieniami współautora na ujawnienie danych z prywatnych lub szkicowych postów, których nie są właścicielami.

W projekcie ggml-org llama.cpp (commit e15efe0) wykryto podatność w parserze szablonów Jinja Minja (plik parser.cpp). Manipulacja wejściem {{9|9|{ może prowadzić do osiągalnego asercji (assertion failure). Atak wymaga dostępu lokalnego.

W Zephyr's Bluetooth Mesh zarządzanie kluczami podsieci wycieka jeden slot klucza PSA Crypto przy każdym usunięciu klucza podsieci. Funkcja net_keys_create() importuje klucz Private Beacon do slotu PSA, ale funkcja subnet_keys_destroy() warunkuje wywołanie psa_destroy_key() na CONFIG_BT_MESH_V1d1, który został usunięty, więc slot nigdy nie jest zwalniany. Przy domyślnej liczbie 16 slotów, po około 12 cyklach dodawania/usuwania lub odświeżania kluczy pula slotów się wyczerpuje, uniemożliwiając dodawanie nowych podsieci i powodując błędy w innych konsumentach PSA Crypto.

Wtyczka Simple Restrict do WordPressa przed wersją 1.2.9 nie egzekwuje swojej kontroli uprawnień do ograniczania treści w REST API w taki sam sposób jak na froncie. Zamiast własnego systemu uprawnień, polega na ogólnej kontroli uprawnień, co pozwala użytkownikom z dostępem na poziomie współautora lub wyższym na czytanie treści ograniczonych postów i stron, do których nigdy nie otrzymali dostępu.

better-auth przed wersją 1.6.11 nie usuwa buforowanych sesji podczas usuwania użytkowników przez endpointy admin, anonymous lub SCIM, gdy skonfigurowano secondaryStorage i storeSessionInDatabase jest ustawione na false. Atakujący mogą ponownie użyć tokenów sesji usuniętych użytkowników, aby utrzymać uwierzytelnienie przez okres do siedmiu dni po usunięciu konta.

Axios przed wersją 0.33.0 (oraz 1.x przed 1.18.0) może konsumować dziedziczone właściwości z zagnieżdżonych obiektów opcji żądania, gdy Object.prototype procesu JavaScript został już zanieczyszczony przez inny komponent. Mimo że scalona konfiguracja najwyższego poziomu używa prototypu null, zagnieżdżone obiekty, takie jak auth i paramsSerializer, są klonowane do zwykłych obiektów i odczytywane bez sprawdzania własności. Gdy aplikacja przekazuje zagnieżdżone obiekty zastępcze, takie jak auth: {} lub paramsSerializer: {}, dziedziczone wartości nazwy użytkownika/hasła mogą spowodować ciche wstrzyknięcie nagłówka Authorization: Basic, a dziedziczone wartości encode/serialize mogą zmienić serializację łańcucha zapytania (pełna zamiana serializatora wymaga prymitywu zanieczyszczenia funkcją). Jest to możliwe do wykorzystania tylko w obecności istniejącego zanieczyszczenia prototypu.

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu sterty poza dozwolonym zakresem w parserze rozszerzenia UVC H.264, który nie waliduje długości deskryptora przed dostępem do pola GUID. Lokalny atakujący ze złośliwą kamerą USB może wywołać odczyt sterty poza przydzielone granice podczas konfiguracji strumienia kamery, powodując odmowę usługi.

better-auth w wersjach większych niż 1.3.34 i przed 1.4.0 zawiera podatność we wtyczce multi-session w hooku po wylogowaniu (/sign-out after-hook), który ufa surowym ciasteczkom multi-session i przekazuje wyodrębnione wartości do internalAdapter.deleteSessions bez weryfikacji podpisu ciasteczka. Atakujący może dostarczyć sfałszowane ciasteczko _multi-*, aby wywołać usunięcie dowolnych tokenów sesji.

Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.29.0.1 nie weryfikuje prawidłowo autoryzacji dla niektórych akcji związanych z miejscami siedzącymi. Pozwala to użytkownikom z rolą contributor i wyższym na nadpisanie układu miejsc, stanu magazynowego biletów oraz przypisań miejsc dla uczestników wydarzeń, których nie są właścicielami.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.4 nie ogranicza, które pola mogą być zapisywane podczas importu klientów. Użytkownik z rolą Amelia Manager może modyfikować dowolne kolumny dowolnego rekordu użytkownika, podając je w żądaniu importu.

Wtyczka Fluent Support dla WordPressa przed wersją 2.3.1 nie sprawdza dostępu do zgłoszenia przed zmianą przypisanego klienta. Ograniczony agent pomocy technicznej może zmienić przypisanego klienta dowolnego zgłoszenia w systemie, w tym zgłoszeń spoza swojego zakresu uprawnień.

Wtyczka Brizy dla WordPressa przed wersją 2.8.18 nieprawidłowo weryfikuje autoryzację w procedurze obsługi żądań przed zwróceniem treści posta. Użytkownicy z rolą Współautora lub wyższą mogą odczytać treść dowolnych postów, w tym prywatnych, oczekujących i szkiców innych użytkowników.

Wtyczka Builderall for WordPress przed wersją 3.0.2 nie wiąże wartości stanu swoich publicznych tras uwierzytelniania OAuth z sesją inicjującego użytkownika, co pozwala nieuwierzytelnionym atakującym na ukończenie przepływu połączenia i nadpisanie przechowywanego tokena dostępu do integracji zewnętrznej.

Wtyczka Spectra Legacy do WordPressa przed wersją 2.20.0 nie waliduje ani nie koduje kilku atrybutów stylów bloków przed użyciem ich do budowania CSS wyświetlanego na froncie, co pozwala użytkownikom z rolą Współautora i wyższym na wstrzyknięcie dowolnego CSS do stron renderujących dotknięty blok.

W bibliotece sigstore-go przed wersją 1.2.1, nie jest sprawdzany znacznik czasu podpisu pakietu względem okna ważności klucza wygasającego (ExpiringKey) opakowującego samodzielnie zarządzany długoterminowy klucz podpisu bez certyfikatu. Pozwala to atakującemu posiadającemu wygasły materiał klucza na podpisywanie akceptowanych pakietów.