Katalog podatności CVE

wger przed wersją 2.5 nie waliduje maksymalnego czasu trwania zakresów dat rutyn, co pozwala uwierzytelnionym użytkownikom tworzyć rutyny obejmujące dowolnie długie okresy. Atakujący mogą wywołać obliczenia date_sequence za pomocą punktów końcowych szczegółów rutyny, zmuszając serwer do iteracji tysięcy razy na żądanie i wyczerpując wątki robocze, co prowadzi do odmowy usługi dla legalnych użytkowników.

wger w wersjach do master zawiera niekompletne obejście autoryzacji w wger/core/views/user.py, gdzie trzy widoki zachowują oryginalne sprawdzanie zakresu siłowni przy użyciu surowego porównania liczb całkowitych zamiast pomocnika is_same_gym(), co pozwala personelowi siłowni z gym=None na usuwanie, dezaktywację lub aktywację dowolnego innego użytkownika z gym=None. Atakujący z uprawnieniami gym.manage_gym i przynależnością gym=None mogą trwale usuwać konta użytkowników, blokować użytkowników poprzez dezaktywację lub cofać defensywne dezaktywacje, wykorzystując przypadek brzegowy porównania None != None.

Pakiet npm h3 w wersjach do 2.0.1-rc.14 zawiera podatność na traversal ścieżek w funkcji serveStatic(). W środowisku Node.js event.url.pathname nie jest normalizowany, więc zakodowane procentowo segmenty kropek (%2e%2e) są przekazywane do decodeURI() i dekodowane do sekwencji ../ bez sanityzacji. Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane żądania do punktów końcowych obsługiwanych przez serveStatic(), aby odczytać dowolne pliki poza zamierzonym katalogiem statycznym. Poprawiono w wersjach 1.15.6 i 2.0.1-rc.15.

Wersje h3 przed 1.15.9 nie sanityzują znaków powrotu karetki w polach danych i komentarzy EventStream, co pozwala atakującym na wstrzykiwanie dowolnych zdarzeń SSE poprzez umieszczenie niesanityzowanych powrotów karetki. Atakujący mogą wstrzykiwać dyrektywy typu zdarzenia, dzielić pojedyncze wywołania push na wiele zdarzeń parsowanych przez przeglądarkę lub uciekać z pól komentarzy, aby wstrzykiwać dane, omijając wcześniejszą poprawkę CVE, która dotyczyła tylko wstrzykiwania znaków nowej linii.

Wersje h3 przed 1.15.9 zawierają podatność na traversal ścieżek w narzędziu serveStatic. Błąd podwójnego dekodowania pozwala, aby ścieżka żądania zawierająca podwójnie zakodowane sekwencje kropek (np. %252e%252e) została zdekodowana do %2e%2e, co przeżywa funkcję resolveDotSegments(), ponieważ ta funkcja sprawdza tylko dosłowne znaki '.'. Gdy wynikowy identyfikator zasobu jest rozwiązywany przez backendy oparte na URL (CDN, S3, magazyn obiektów), %2e%2e jest interpretowane jako '..' zgodnie z RFC 3986, umożliwiając traversal ścieżek do odczytu dowolnych plików z backendu.

Podatność znaleziona w Open5GS 2.7.7/2.8.0 dotyczy nieznanego kodu komponentu AMF/MME. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Identyfikator poprawki to 9468de94caed2fc940f4a23cbf734651896d0fde. Aby naprawić ten problem, zaleca się wdrożenie poprawki.

Wersje h3 przed 2.0.1-rc.18 zawierają podatność na otwarte przekierowanie w narzędziu redirectBack(), które nie sanityzuje ścieżek względnych protokołu w ścieżce nagłówka Referer. Atakujący mogą skonstruować URL o tym samym pochodzeniu z segmentem ścieżki z podwójnym ukośnikiem, który przechodzi walidację pochodzenia, ale generuje nagłówek Location interpretowany przez przeglądarki jako przekierowanie względne protokołu do zewnętrznej domeny.

PocketMine-MP przed wersją 4.12.3 nie ogranicza nieuwierzytelnionych sesji, co pozwala atakującym na wyczerpanie slotów graczy poprzez tworzenie sesji bez wysyłania LoginPacket. Atakujący mogą zalać serwer nieuwierzytelnionymi połączeniami, które zajmują sloty maksymalnej liczby graczy, uniemożliwiając prawdziwym graczom dołączenie.

Wersje PocketMine-MP przed 3.18.1 nie walidują wartości NaN lub INF w polach pozycji i rotacji w MovePlayerPacket. Złośliwi klienci mogą wysyłać spreparowane pakiety ruchu z nieprawidłowymi wartościami zmiennoprzecinkowymi, aby doprowadzić do awarii serwera poprzez nieobsłużone operacje matematyczne lub uniemożliwić klientom renderowanie innych graczy.

Wersje PocketMine-MP przed 3.15.4 zawierają podatność na odmowę usługi w metodzie findResultItem() komponentu InventoryTransaction. Złośliwi klienci mogą wysyłać specjalnie spreparowane InventoryTransactionPackets z wieloma sprzecznymi ścieżkami, co powoduje wykładniczą złożoność przetwarzania i zamraża serwer.

Wtyczka Redirection for Contact Form 7 dla WordPressa od wersji 2.2.7 przed 3.2.11 nie zapobiega wykonywaniu shortcode'ów w przesłanych wartościach formularza, gdy podstawia je do ustawień akcji i przetwarza te ustawienia pod kątem shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie i odczytywanie ich wyników.

Wtyczka Ninja Forms dla WordPressa od wersji 3.14.10 przed 3.15.2 nie zapobiega wykonywaniu shortcode'ów w wartościach pochodzących z żądań, gdy podstawia je do treści, które później przetwarza pod kątem shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie.

Wtyczka JetFormBuilder dla WordPressa przed wersją 3.6.5.2 nie waliduje ani nie usuwa znaków nowej linii z wartości adresów pochodzących z pól formularza przed dodaniem ich do nagłówków wysyłanych e-maili, co pozwala nieuwierzytelnionym użytkownikom na wstrzykiwanie dowolnych nagłówków e-mail, dodawanie ukrytych odbiorców i fałszowanie nadawcy. Wykorzystanie wymaga, aby witryna była skonfigurowana do pobierania jednego z adresów wiadomości z pola formularza.

Wtyczka JetFormBuilder dla WordPressa przed wersją 3.6.5.2 nie sanityzuje parametru żądania przed wyrenderowaniem go jako treści wiadomości, co pozwala nieuwierzytelnionym użytkownikom na wykonanie dowolnych shortcode'ów zarejestrowanych na stronie na dowolnej stronie wyświetlającej formularz. Escaping jest stosowany do tej treści przed późniejszym przejściem ekspansji shortcode'ów, a nie po nim, więc można go ominąć.

Podatność w diem-project diem do wersji 5.1.3 dotyczy nieznanego kodu w pliku dmFrontPlugin/modules/dmWidget/lib/BasedmWidgetActions.class.php komponentu dmWidget. Manipulacja argumentem widget_id prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny. Łata o nazwie 116974edfb9a5b8bd69cb13586dc62bcdbb485ad powinna zostać zastosowana.

Podatność w diem-project diem do wersji 5.1.3 dotyczy funkcji executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu dmConsole. Manipulacja argumentem dm_command prowadzi do cross-site request forgery (CSRF). Atak może być zainicjowany zdalnie, exploit został publicznie ujawniony. Projekt został poinformowany, ale nie odpowiedział.

Wada w code-projects Daily Expense Manager 1.0 dotyczy nieznanej funkcji w pliku /Daily-Expense-Manager/exp_ak.sql komponentu Database Backup Handler. Wykonanie manipulacji prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, exploit został opublikowany.

Podatność w DefaultFuction CRM 1.0.0 dotyczy nieznanej funkcji w pliku /modules/customers/delete.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, exploit jest publiczny.

Podatność w DefaultFuction CRM 1.0.0 dotyczy nieznanej funkcji w pliku /modules/orders/delete.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, exploit został publicznie ujawniony.

Wtyczka B2BKing — Ultimate WooCommerce B2B and Wholesale Plugin przed wersją 5.2.40 nie weryfikuje, czy rola wybrana podczas rejestracji jest faktycznie oferowana w formularzu rejestracyjnym, co pozwala nieuwierzytelnionym użytkownikom na przypisanie sobie do ograniczonych grup klientów B2B oraz na pominięcie ręcznego procesu zatwierdzania konta podczas samorejestracji.