Katalog podatności CVE

W rozszerzeniu Joomla J2Store (wersje 1.0.0-3.3.21, 4.0.0-4.0.21, 4.1.0-4.1.6) wykryto podatność umożliwiającą nieuwierzytelnione fałszowanie wywołania zwrotnego PayPal, prowadzące do oszustwa związanego z potwierdzeniem zamówienia. Listener PayPal IPN akceptował odpowiedzi `UNVERIFIED` i każdą nie-`INVALID` jako ważne, wyłączał weryfikację SSL (CURLOPT_SSL_VERIFYPEER) i przechowywał werdykt w polu, którego nic później nie sprawdzało — więc przetwarzanie kontynuowało się niezależnie od wyniku. Dodatkowo porównanie zapłaconej kwoty działało tylko, gdy `mc_gross` było liczbą dodatnią; pominięcie pola w treści POST (`floatval(null) == 0`) pomijało sprawdzenie. W połączeniu z `receiver_email` skonfigurowanym przez sprzedawcę i sekwencyjnym, możliwym do odgadnięcia identyfikatorem zamówienia odczytanym z pola `custom`, anonimowy POST wystarczył, aby przenieść oczekujące zamówienie bezpośrednio do statusu `CONFIRMED` bez płatności lub wymusić na innym kliencie zmianę statusu oczekującego zamówienia na `FAILED`. `paypalv2.php` nie przeprowadzał żadnej kontroli kwoty w żadnych okolicznościach.

util-linux w wersjach do 2.41.5 i 2.42.2 nie sprawdza statusu wyjścia pomocnika montowania przed uruchomieniem haków po zamontowaniu, co pozwala nieuprzywilejowanym użytkownikom na wykonywanie uprzywilejowanych operacji na istniejących systemach plików. Atakujący mogą wykorzystać haki X-mount.idmap lub X-mount.owner do klonowania systemów plików z odziedziczonymi bitami suid lub modyfikowania uprawnień docelowych i-węzłów po awarii pomocnika, osiągając eskalację uprawnień.

Podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /ocsreports/?function=tele_activate z powodu niewystarczającej walidacji parametrów HTTPS_SERV i FILE_SERV. Uwierzytelniony użytkownik z uprawnieniami operatora może podać dowolne wartości tych parametrów, powodując, że serwer OCS Inventory wykonuje żądania HTTP/HTTPS do zewnętrznych systemów lub wewnętrznych zasobów, co może umożliwić dostęp do wewnętrznych usług sieciowych lub metadanych usług chmurowych.

Podatność na wstrzykiwanie SQL w punkcie końcowym /ocsreports/index.php?function=admin_double z powodu nieprawidłowego przetwarzania wartości w polu ID zawartym w parametrze selected_grp_dupli[]. Uwierzytelniony użytkownik z uprawnieniami operatora może manipulować tymi wartościami, aby zmienić zapytania SQL wykonywane przez aplikację i uzyskać informacje przechowywane w bazie danych.

Podatność na wstrzykiwanie SQL w parametrze del_check punktu końcowego /ocsreports/?function=save_query_list. Dane wejściowe dostarczone przez uwierzytelnionego użytkownika z uprawnieniami operatora są włączane do zapytania SQL bez odpowiedniej parametryzacji lub walidacji, co pozwala na manipulację zapytaniem i wyodrębnienie informacji z bazy danych za pomocą technik wstrzykiwania SQL.

Dell PowerProtect Data Manager w wersjach 20.2.0.0 i niższych zawiera podatność na przepełnienie bufora stosu w agencie przywracania na poziomie plików. Zdalny atakujący z wysokimi uprawnieniami może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

W gfs2-utils wykryto podatność polegającą na zapisie poza zakresem stosu. W funkcji savemeta wartość height z metadanych inode na dysku jest używana jako granica pętli bez sprawdzania zakresu, co powoduje przepełnienie bufora stosu, które może prowadzić do wykonania dowolnego kodu podczas przetwarzania spreparowanych obrazów systemu plików GFS2.

W gfs2-utils znaleziono podatność na zapis poza stosem. W narzędziu gfs2_edit pole di_height z metadanych inode na dysku jest używane jako indeks tablicy bez sprawdzania granic, co powoduje przepełnienie bufora stosu i może prowadzić do wykonania dowolnego kodu podczas przetwarzania spreparowanych obrazów systemu plików GFS2.

Hasło dysku twardego jest przechowywane w postaci jawnego tekstu w zmiennej UEFI.

Nieograniczona rekurencja w Amazon Ion-C przed wersją 1.1.6 może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na stworzenie danych Ion, które wyczerpują natywny stos wywołań i powodują awarię aplikacji używającej biblioteki, co prowadzi do odmowy usługi.

fast-uri akceptuje host zawierający niezbalansowany lub źle umieszczony nawias bez zgłaszania błędu. Host zaczynający się od nawiasu otwierającego, ale nie kończący się nawiasem zamykającym, nie jest walidowany jako literał IP ani kanonizowany jako nazwa domeny, więc parse() zwraca go jako host z błędem undefined, podczas gdy URL Node i klienci HTTP zbudowani na nim rozwiązują ten sam ciąg do innego hosta. Aplikacja, która odczytuje sparsowany host do podejmowania decyzji, np. denylist SSRF, allowlist przekierowań lub routing proxy, a następnie przekazuje oryginalny URL do klienta HTTP, ocenia swoją politykę względem ciągu, który nie jest hostem, do którego trafia żądanie. Ten sam host jest przenoszony przez normalize, equal i resolve. Dotyczy to wersji fast-uri 2.4.5, 3.1.6 i 4.1.3; naprawiono w 2.4.6, 3.1.7 i 4.1.4, gdzie parse() zgłasza nieprawidłowy host dla każdego hosta zawierającego nawias, ale niebędącego poprawnym literałem IPv6.

Windows ML CLI przed wersją 0.4.0 udostępnia komendy przez lokalne API HTTP bez uwierzytelnienia i z konfiguracją allow_origins jako wildcard. Złośliwa strona może wysyłać żądania do /v1/cli/build lub /v1/cli/config z parametrem trust_remote_code=true, co prowadzi do importu kodu Python z repozytorium kontrolowanego przez atakującego i wykonania dowolnego kodu jako użytkownik serwera.

fast-uri serializuje komponent portu URI bez walidacji. Przy ponownym składaniu authority, userinfo i host są escapowane, ale port jest dołączany dosłownie, więc wartość portu niebędąca ciągiem cyfr może wstrzyknąć separatory authority, co prowadzi do przekierowania na host kontrolowany przez atakującego. Dotyczy to wersji przed 2.4.6, od 3.0.0 przed 3.1.7 i od 4.0.0 przed 4.1.4.

UnoPim przed wersją 2.1.5 zawiera podatność uwierzytelnionego przesyłania plików, która pozwala administratorom przesyłać dowolne pliki PHP przez endpoint przesyłania obrazów TinyMCE z powodu braku walidacji rozszerzenia i typu MIME. Atakujący może przesłać webshell PHP do publicznego dysku i wykonać dowolne polecenia systemowe na serwerze.

Wcześniej kanał zarejestrowany w chanList multipleksera nie był użyteczny, dopóki nie został ustanowiony. Złośliwy peer mógł zalać kanał żądaniami przychodzącymi, powodując zakleszczenie całego połączenia. Teraz dodano atomowy stan ustanowienia, ustawiany, gdy kanał staje się użyteczny. Do tego czasu handlePacket odrzuca każdy pakiet inny niż potwierdzenie otwarcia lub błąd, bez blokowania i bez zrywania połączenia.

Po ustanowieniu kanału złośliwy peer mógł wysyłać spreparowane wiadomości powodujące zakleszczenie całego połączenia. Obecnie obsługiwane są wszystkie wiadomości kanału RFC 4254, a żądania globalne są obsługiwane jawnie. Wszystkie inne wiadomości są traktowane jako błąd protokołu i połączenie jest zrywane zamiast buforowania i blokowania.

Przepełnienie sterty w module SMM może pozwolić atakującemu, który ma dostęp do drugiej podatności umożliwiającej zapis do pamięci SPI flash, na potencjalne wykonanie dowolnego kodu.

Niewystarczająca weryfikacja autentyczności danych w AGESA™ może pozwolić atakującemu na aktualizację danych w pamięci SPI ROM, co może prowadzić do odmowy usługi lub eskalacji uprawnień.

Wykryto podatność w tsi-coop tsi-dpdp-cms do wersji 0.5.0. Dotyczy nieznanego kodu, a manipulacja prowadzi do egzekwowania bezpieczeństwa po stronie klienta zamiast serwera. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystywany. Aktualizacja do wersji 0.5.1 rozwiązuje problem.

HTTPX2 przed wersją 2.12.0 w pełni dekompresuje każdy skompresowany fragment sieciowy (gzip, deflate, br, zstd) przed przekazaniem ograniczonych porcji do aplikacji. Fragment 64 KiB może rozwinąć się do około 64 MiB w jednej alokacji, co może spowodować poważne obciążenie pamięci lub zakończenie procesu z powodu braku pamięci, nawet gdy aplikacja strumieniuje odpowiedź. Problem naprawiono w wersji 2.12.0.