Katalog podatności CVE

Wstawienie wrażliwych informacji do wysyłanych danych w module DXPR Builder dla Drupala umożliwia wymuszone przeglądanie. Dotyczy wersji od 0.0.0 do 2.8.1.

Niewłaściwa neutralizacja danych wejściowych podczas generowania strony (Cross-site Scripting) w module Slick Carousel dla Drupala umożliwia trwały XSS. Dotyczy wersji od 0.0.0 do 2.1.0.

Nieprawidłowa autoryzacja w module Entity API dla Drupala umożliwia wymuszone przeglądanie. Dotyczy wersji od 0.0.0 do 1.8.0.

Podatność w parserze treści Link w Drupalu. Problem dotyczy wszystkich wersji parsera treści Link.

Podatność w Drupal Gammu SMS Daemon. Problem dotyczy wszystkich wersji Gammu SMS Daemon.

Podatność w Drupal Gammu SMS Daemon. Problem dotyczy wszystkich wersji Gammu SMS Daemon.

Podatność w Drupal Gammu SMS Daemon. Problem dotyczy wszystkich wersji Gammu SMS Daemon.

Podatność nieprawidłowej autoryzacji w module Diff w Drupalu umożliwia wymuszone przeglądanie (Forceful Browsing). Dotyczy wersji od 0.0.0 do 2.0.1 oraz od 2.1.0 do 2.1.1.

Podatność nieprawidłowej autoryzacji w module Quick Tabs w Drupalu umożliwia wymuszone przeglądanie (Forceful Browsing). Dotyczy wersji od 0.0.0 do 4.3.1.

Podatność nieprawidłowego obsługiwania wielkości liter w module External Authentication w Drupalu umożliwia eskalację uprawnień. Dotyczy wersji od 0.0.0 do 2.0.13.

Podatność Server-Side Request Forgery (SSRF) w module Entity Share Websub w Drupalu umożliwia wykonywanie żądań po stronie serwera. Dotyczy wersji od 0.0.0 do 1.1.2.

Podatność typu Stored XSS w module Drupal Entity Browser wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji od 0.0.0 do 2.16.0.

Podatność obejścia uwierzytelniania przy użyciu alternatywnej ścieżki lub kanału w module Disable Login Page w Drupalu umożliwia obejście funkcji. Dotyczy wersji od 0.0.0 do 1.1.4.

Wtyczka Rentsyst (rentsyst) autorstwa DimaFreund do wersji 2.1.5 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Kimai przed wersją 2.65.0 zawiera podatność obejścia autoryzacji w punkcie końcowym REST API do pobierania timesheetów, która nie egzekwuje kontroli dostępu do zespołów aktywności. Użytkownicy z uprawnieniem view_other_timesheet mogą wyświetlać timesheety używające aktywności ograniczonych do zespołów, do których nie należą, omijając zamierzoną izolację danych.

Kimai przed wersją 2.65.0 zawiera lukę w logice biznesowej i niewłaściwej autoryzacji w domyślnych endpointach tworzenia zespołów. Uwierzytelniony użytkownik z uprawnieniami do zarządzania projektami może utworzyć lub użyć klienta, projektu lub aktywności o nazwie istniejącego zespołu; ponieważ endpointy POST /api/customers/{id}/team, POST /api/projects/{id}/team i POST /api/activities/{id}/team ponownie wykorzystują istniejący zespół o tej samej nazwie i dodają bieżącego użytkownika jako teamlead bez weryfikacji uprawnień do zarządzania tym zespołem, atakujący uzyskuje nieautoryzowane uprawnienia teamlead (administracyjne) nad istniejącym zespołem. Naprawiono w wersji 2.65.0.

Kimai przed wersją 2.63.0 zawiera podatność nieprawidłowej autoryzacji w punktach końcowych dostępu do zespołów, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do edycji zespołów i dostępem tylko do odczytu na przyznanie dostępu zespołom do klientów, projektów lub aktywności. Atakujący mogą wykorzystać niewystarczające sprawdzanie uprawnień, wysyłając żądania POST do punktów końcowych dostępu do zespołów, aby modyfikować listy kontroli dostępu dla encji, których nie powinni móc modyfikować.

Kimai w wersjach od 2.61.0 do przed 2.63.0 nie wyłącza preferencji umowy o pracę dostępnych tylko dla administratorów dla użytkowników z niskimi uprawnieniami w punkcie końcowym PATCH /api/users/{id}/preferences. Chociaż interfejs webowy blokuje te pola umowy o pracę za uprawnieniem admina contract_other_profile, subskrybent WorkContractPreferenceSubscriber (wprowadzony w 2.61.0) rejestruje preferencje jako włączone bez sprawdzania uprawnień, więc uwierzytelniony zwykły użytkownik może użyć API do modyfikacji własnych danych umowy o pracę dostępnych tylko dla administratorów. Problem naprawiono w wersji 2.63.0 poprzez zastosowanie tego samego sprawdzenia uprawnień do punktu końcowego API.

Kimai przed wersją 2.65.0 nieprawidłowo weryfikuje uprawnienia podczas usuwania dostępu zespołu do działań, projektów i klientów przez API. Uwierzytelnieni użytkownicy z uprawnieniem edit_team mogą cofnąć dostęp zespołu bez wymaganego sprawdzenia permissions_activity, omijając kontrolę autoryzacji.

Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.