Katalog podatności CVE

W funkcji adhoc_connect_server w pgAdmin 4 9.0-9.16, podczas klonowania serwera przez niebędącego właścicielem użytkownika, kopiowane są wszystkie kolumny, w tym dane uwierzytelniające (hasła) oraz flagi własności. Pozwala to atakującemu na przejęcie sklonowanego serwera i korzystanie z haseł bazy danych należących do innego użytkownika (np. administratora).

Wdrożenie szablonu Zulip jednym kliknięciem z VPS.org zawiera zakodowany na stałe klucz podpisywania aplikacji, domyślne hasło bazy danych („zulip”) oraz ustawienie DISABLE_HTTPS=True.

Wdrożenie szablonu Supabase jednym kliknięciem z VPS.org uruchamia instancję PostgreSQL nasłuchującą na wszystkich interfejsach (0.0.0.0:5432) z domyślnym hasłem bazy danych ustawionym na „postgres”. Ponieważ Docker instaluje własne reguły iptables, to narażenie omija standardową konfigurację zapory UFW hosta.

Podatność typu Code Injection w Logsign SIEM (przed wersją 6.4.115) pozwala na wstrzyknięcie kodu.

PHP Jabbers Car Rental Script przed wersją 4.1 zawiera podatność na wstrzykiwanie SQL w parametrach odpowiedzialnych za sortowanie, co pozwala nieuwierzytelnionemu atakującemu na wykonanie zapytań SQL.

DMS+ (Non-Mobile) od Rich Source zawiera podatność polegającą na użyciu zakodowanych na stałe poświadczeń. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać stały klucz API do przejęcia kontroli nad wszystkimi zainstalowanymi urządzeniami DMS+.

Wtyczka ShopMonitor.io dla WordPress przed wersją 1.2.0 nieprawidłowo ogranicza tryb testowy przekierowania e-maili, opierając się na nagłówkach żądania klienta. Niezalogowani atakujący mogą przekierować wychodzące e-maile, w tym e-mail resetowania hasła administratora, na kontrolowany adres i przejąć konto administratora.

Wtyczki Realtyna Organic IDX i WPL Real Estate dla WordPressa są podatne na dowolne przesyłanie plików we wszystkich wersjach do 5.2.0 włącznie. Brak walidacji typu pliku w funkcji upload, w połączeniu z publicznie dostępnym punktem końcowym I/O uwierzytelnianym wyłącznie statycznymi, domyślnymi poświadczeniami API, umożliwia nieuwierzytelnionym atakującym przesyłanie plików wykonywalnych, co może prowadzić do zdalnego wykonania kodu.

CodeIgniter przed wersją 4.7.4 zawiera podatność w regułach walidacji is_image i mime_in, które nie wymuszają bezpiecznego rozszerzenia pliku. Zdalny atakujący może przesłać plik wykonywalny, jeśli aplikacja zachowuje oryginalną nazwę pliku i przechowuje go w katalogu dostępnym z sieci, gdzie PHP może być wykonywane.

CodeIgniter od wersji 4.3.0 do 4.7.3 zawiera podatność w metodzie deleteBatch() Query Buildera, która podstawia wartości z warunków where() do wygenerowanego SQL bez uwzględniania flag ucieczki. Pozwala to na wstrzyknięcie SQL przez kontrolowane przez użytkownika wartości warunków.

Szczegóły podatności oraz instrukcje łagodzenia są obecnie ograniczone i zostaną opublikowane w późniejszym terminie.

W Google mcp-toolbox w wersjach v1.3.0 i v1.4.0, nieprawidłowa autoryzacja w punkcie końcowym bezpośredniego wywołania narzędzia HTTP API pozwala nieuwierzytelnionemu atakującemu na wywoływanie narzędzi chronionych funkcją scopeRequired przez legacy endpointy HTTP, gdy flaga --enable-api jest aktywna.

OpenClaw Dashboard zawiera podatność na trwałe XSS, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu JavaScript w sesji administratora poprzez wstrzyknięcie kodu HTML do wiadomości agenta przetwarzanych przez API sesji.

Wiele modeli routerów TR, WR i WR (m.in. TR1200, TR3000, WR300) zawiera podatność na wstrzykiwanie poleceń w interfejsie net.set_wan. Atakujący może wykonać dowolne polecenia jako root przez spreparowane wejście.

LazyOwn RedTeam/APT Framework zawiera domyślne poświadczenia C2 (LazyOwn/LazyOwn) w plikach konfiguracyjnych, które są używane do uwierzytelniania HTTP Basic, co pozwala każdemu atakującemu w sieci na dostęp do panelu C2 z uprawnieniami operatora.

LazyOwn RedTeam/APT Framework zawiera nieuwierzytelniony handler zdarzeń Socket.IO, który przekazuje dane wejściowe do funkcji wykonującej polecenia systemowe, co pozwala na zdalne wykonanie kodu bez uwierzytelnienia.

Nieprawidłowa kontrola dostępu w Azure Cosmos DB umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu.

OpenClaw Dashboard v3.0.0 zawiera podatność na trwałe XSS, która pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnego kodu HTML i JavaScript poprzez wysłanie spreparowanej nazwy użytkownika w żądaniu POST logowania, która jest zapisywana w dzienniku audytu i renderowana bez sanityzacji w panelu powiadomień administratora.

Outstatic CMS w wersji 2.1.9 i starszych zawiera zakodowany na stałe sekret podpisywania JWT. Gdy zmienna środowiskowa OST_TOKEN_SECRET nie jest ustawiona, aplikacja używa domyślnego sekretu widocznego publicznie w repozytorium kodu źródłowego.

Podatność w dnsmgr w wersji 2.15 i wcześniejszych umożliwia lokalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję ping w pliku CheckUils.php.