Katalog podatności CVE

Wykryto podatność na ujawnienie informacji w Omada Controller. Endpoint API przeznaczony do inicjalizacji kontrolera pozostaje dostępny po zakończeniu inicjalizacji i może ujawniać informacje związane z kontem nieuwierzytelnionym zdalnym użytkownikom. Skuteczne wykorzystanie może pozwolić atakującemu na zdalne zapytanie do podatnego endpointu, co może ułatwić enumerację użytkowników i późniejsze ataki na konta administracyjne.

AshAi udostępnia operacje odczytu Ash dla wywołań narzędzi modeli językowych. Narzędzie odczytu akceptuje typ wyniku agregacji (min, max, sum, avg), który buduje tymczasową agregację Ash.Query.Aggregate na nazwanym polu i zwraca jego surową wartość. Polityki pól Ash usuwają zabronione pola z zwracanych rekordów (zastępując je %Ash.ForbiddenField{}), ale to usuwanie nie dotyczy wartości agregatów. Osoba wywołująca narzędzie może zatem odczytać pole, którego zabraniają polityki pól dla wywołującego aktora, żądając go jako agregatu; w szczególności min/max zwracają rzeczywistą wartość pola. Obejmuje to pola, które są public? true, ale ograniczone per-aktor przez politykę pól, takie jak wrażliwe dane PII. Istniejąca kontrola narzędzia wymagała tylko, aby pole było publiczne, co jest oddzielną osią od autoryzacji polityki pól per-aktor. Poprawka autoryzuje zagregowane pole względem polityk pól zasobu, więc agregowanie po polu, którego aktor nie może widzieć, jest odrzucane lub ograniczane do wierszy, gdzie jest widoczne. Problem dotyczy ash_ai: od 0.1.0 przed 1.0.3.

AshLua udostępnia operacje odczytu Ash dla skryptów Lua uruchamianych przez akcję eval. Wywołanie odczytu akceptuje operację (list, min, max, first, sum, avg), która buduje tymczasową agregację Ash.Query.Aggregate na nazwanym polu i zwraca jego surową wartość. Polityki pól Ash usuwają zabronione pola z zwracanych rekordów (zastępując je %Ash.ForbiddenField{}), ale to usuwanie nie dotyczy wartości agregatów. Skrypt może zatem odczytać pole, którego zabraniają polityki pól dla wywołującego aktora, żądając go jako agregatu zamiast jako pola. Obejmuje to pola, które są public? true, ale ograniczone per-aktor przez politykę pól, takie jak wrażliwe dane PII. Wcześniejsze zabezpieczenie egzekwowało tylko listę dozwolonych pól (widoczność pól), co jest oddzielną osią od autoryzacji polityki pól per-aktor. Poprawka autoryzuje zagregowane pole względem polityk pól zasobu, więc agregowanie po polu, którego aktor nie może widzieć, jest odrzucane lub ograniczane do wierszy, gdzie jest widoczne. Problem dotyczy ash_lua: od 0.1.0 przed 0.2.2.

W komponencie Column Management systemu ClassCMS 1CMS v5.6 występuje uwierzytelniona podatność na trwały cross-site scripting (XSS), która umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola tytułu.

Podatność na nieprawidłową kontrolę dostępu w Fortinet FortiManager (wersje 7.6.0-7.6.4, 7.4.0-7.4.10, 7.2 wszystkie) oraz FortiManager Cloud (wersje 7.6.2-7.6.4, 7.4.1-7.4.10, 7.2 wszystkie) może pozwolić administratorowi na ominięcie procesu zatwierdzania dla sesji przepływu pracy poprzez spreparowane żądania HTTP lub HTTPS.

Złośliwa strona internetowa może wielokrotnie wywoływać zewnętrzne schematy URL, powodując wyświetlanie monitów systemowych lub uruchamianie zewnętrznych aplikacji. Może to sprawić, że Firefox dla iOS będzie tymczasowo bezużyteczny, dopóki strona nie zostanie zamknięta. Luka została naprawiona w Firefox dla iOS 155.1.

Snipe-it przed wersją 8.7.0 nie egzekwuje autoryzacji podglądu zasobu w punkcie końcowym GET /hardware/{asset}/barcode. Uwierzytelnieni atakujący mogą iterować identyfikatory zasobów, aby pobierać kody kreskowe i enumerować tagi zasobów w różnych dzierżawcach, w tym zasoby miękkiego usunięcia i międzyfirmowe.

Snipe-it przed wersją 8.7.0 zawiera podatność na nieprawidłowe obliczenia w obsłudze żądań zamówień, która pozwala uwierzytelnionym użytkownikom na uszkodzenie licznika assets.requests_counter poprzez zduplikowane zgłoszenia i anulowania bez aktywnych żądań. Atakujący mogą wielokrotnie wywoływać punkty anulowania bez aktywnych żądań, aby doprowadzić licznik do wartości ujemnej, lub zgłaszać zduplikowane żądania zamówień, aby zawyżyć licznik, fałszując oczekujące zapotrzebowanie w kolejce administratora.

Snipe-it przed wersją 8.7.0 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w regule walidacji ExternalUrl, która nie wykrywa adresów przejściowych IPv6 kodujących prywatne cele IPv4. Atakujący z uprawnieniami super-administratora mogą skonfigurować adresy URL webhooków przy użyciu adresów przejściowych NAT64, 6to4 lub Teredo, aby ominąć zabezpieczenia SSRF i uzyskać dostęp do usług wewnętrznych lub punktów końcowych metadanych chmury.

Snipe-IT przed wersją 8.7.1 nie sprawdza długości pola notatki w punkcie końcowym POST /account/accept/{acceptance}, co pozwala uwierzytelnionym użytkownikom na przesyłanie nieograniczonych danych, które trafiają do synchronicznego renderowania CommonMark. Atakujący mogą przesyłać duże wartości notatek, aby wyczerpać CPU procesów PHP i spowodować odmowę usługi poprzez wyczerpanie zasobów w potoku parsowania markdown.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie posiada zabezpieczenia wymaganego dla działań administracyjnych w UsersController::actionActivateUser (akcja users/activate-user). Mimo że akcja wymaga uprawnienia administrateUsers, nie wywołuje requireAdmin(), gdy docelowy użytkownik jest administratorem, w przeciwieństwie do lustrzanej akcji actionDeactivateUser. W rezultacie uwierzytelniony użytkownik panelu sterowania, który nie jest administratorem, ale posiada uprawnienie administrateUsers, może aktywować oczekujące lub celowo dezaktywowane konto administratora, co może prowadzić do eskalacji uprawnień w połączeniu z resetowaniem hasła tego konta. Problem został naprawiony w Craft CMS 5.10.12.

AVideo do wersji 29.0 zawiera podatność na ujawnienie informacji w restreamsActive.json.php, która pozwala uwierzytelnionym streamerom na enumerację kluczy źródłowych strumieni i tożsamości wszystkich innych aktywnych restreamów streamerów. Punkt końcowy nie filtruje wyników według własności użytkownika, ujawniając wrażliwe dane transmisyjne i tożsamość streamerów we wszystkich kontach każdemu użytkownikowi z możliwością streamowania.

AVideo do commitu c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność na cross-site request forgery w plugin/YPTWallet/view/saveBalance.php, która pozwala atakującym na ustawianie dowolnych sald portfela, polegając wyłącznie na ciasteczkach sesji bez walidacji tokena. Atakujący mogą stworzyć złośliwą stronę, która po załadowaniu przez administratora wysyła żądanie POST w celu zmodyfikowania salda portfela dowolnego użytkownika na dowolną wartość.

WWBN AVideo do commitu c3edcc274c389816d434acadac07ee78eaf330c1 (master) zawiera podatność na cross-site request forgery w punkcie końcowym wtyczki CustomizeUser plugin/CustomizeUser/swapUser.json.php. Punkt końcowy pobiera users_id z $_REQUEST i wywołuje User::swapUser() bez wywoływania forbidIfNotPost() lub forbidIfInvalidToken(), a globalna kontrola autoCSRFGuard() działa tylko dla żądań POST do *.json.php, więc akcja jest osiągalna przez GET. Atakujący, który spowoduje, że przeglądarka uwierzytelnionego administratora wyśle żądanie GET z innego pochodzenia (na przykład przez tag <img> lub link), może zastąpić sesję administratora kontem niebędącym administratorem, powodując utratę dostępu administracyjnego do czasu anulowania zamiany; zamiana na inne konto administratora jest odrzucana, więc nie jest to eskalacja uprawnień. Odpowiedź JSON również ujawnia session_id. Wtyczka CustomizeUser jest domyślnie włączona, a w momencie publikacji nie było dostępnej poprawki.

W systemie L-ONE v1.0.0 odkryto wiele podatności na iniekcję SQL w komponencie /attachment/getBusinessUploadList poprzez parametry busid, id i taskid. Podatności te umożliwiają atakującym dostęp do wrażliwych informacji w bazie danych za pomocą spreparowanego zapytania SQL.

OpenBSD przed commitem 1ee99df zawiera podatność na odwrócone porównanie w funkcji ieee80211_michael_mic_failure() w sys/net80211/ieee80211_crypto_tkip.c, która pozwala nieuwierzytelnionym atakującym w zasięgu RF na wywołanie odmowy usługi poprzez wysłanie dwóch uszkodzonych ramek TKIP w odstępie większym niż 60 sekund. Atakujący mogą wykorzystać odwrócone okno sprawdzania licznika awarii MIC TKIP, aby deautoryzować wszystkie stacje TKIP i zablokować ponowną asocjację na okres do 90 sekund, podczas gdy awarie MIC w oknie, które powinny uruchomić środki zaradcze, są po cichu ignorowane, pozostawiając próby odzyskania klucza niewykrytymi.

Podatność typu Server-Side Request Forgery (SSRF) istnieje w wtyczce ONLYOFFICE ownCloud Integration w wersji 9.12. Endpoint /apps/onlyoffice/ajax/settings/address nie weryfikuje wystarczająco adresu URL serwera Document Server podanego przez użytkownika przed nawiązaniem połączeń wychodzących. Uwierzytelniony administrator może manipulować parametrem serwera dokumentów, powodując wysyłanie przez serwer ownCloud dowolnych żądań do miejsc kontrolowanych przez atakującego, w tym do localhost i hostów w sieci wewnętrznej. Umożliwia to rozpoznanie sieci wewnętrznej i skanowanie portów TCP na podstawie różnic w odpowiedziach serwera.

Podatność Use After Free w sterownikach jądra GPU Arm Ltd Bifrost, Valhall i Arm 5th Gen pozwala lokalnemu nieuprzywilejowanemu procesowi użytkownika na dostęp do już zwolnionej pamięci poprzez wykonywanie prawidłowych operacji przetwarzania pamięci GPU.

Podatność Use After Free w sterownikach jądra GPU Arm Ltd (Bifrost, Valhall, Arm 5th Gen) pozwala lokalnemu nieuprzywilejowanemu procesowi na dostęp do już zwolnionej pamięci poprzez prawidłowe operacje przetwarzania pamięci GPU.

Podatność Use After Free w sterownikach przestrzeni użytkownika GPU Arm Ltd (Valhall, Arm 5th Gen) pozwala nieuprzywilejowanemu procesowi na dostęp do już zwolnionej pamięci poprzez prawidłowe operacje GPU, w tym przez WebGL lub WebGPU.