Katalog podatności CVE

Wtyczka zarządzania frontendem przypisywała nowo utworzone zdarzenie do rekordu organizatora przesyłającego użytkownika tylko wtedy, gdy żądanie nie dostarczyło własnego organizatora. Towarzysząca kontrola uprawnień potwierdzała tylko, że przesyłający użytkownik posiada jakąkolwiek rolę organizatora. Użytkownik z dostępem do zarządzania zdarzeniami frontendu mógł więc utworzyć zdarzenie przypisane do innego organizatora.

Przepływ edycji tematów na froncie nie weryfikuje po stronie serwera, czy odwiedzający jest właścicielem modyfikowanego tematu. Osoba znająca identyfikator tematu z publicznego forum może wysłać bezpośrednio zmodyfikowane żądanie aktualizacji i nadpisać jego treść bez potwierdzenia własności. Identyfikatory tematów są widoczne publicznie, a wykorzystanie nie wymaga uprzywilejowanego dostępu ani niestandardowej konfiguracji.

Funkcja samoobsługowej edycji firm na froncie opiera się na fladze widoczności na poziomie szablonu, aby ukryć formularz edycji dla rekordów firm, których odwiedzający nie posiada, ale operacja zapisu nie powtarza tego sprawdzenia własności po stronie serwera. Osoba znająca identyfikator rekordu firmy z publicznego katalogu może wysłać bezpośrednio zmodyfikowane żądanie aktualizacji i nadpisać dane bez potwierdzenia własności.

Rozszerzenie rozwiązuje docelowy rekord klubu na podstawie argumentu żądania dostarczonego przez użytkownika w akcjach edycji, aktualizacji i aktywacji na froncie, ale nie wykonuje żadnego sprawdzenia własności w żadnej z nich. Nieuwierzytelniony odwiedzający, znający UID rekordu klubu, może wysłać bezpośrednie żądanie do akcji aktualizacji lub aktywacji i nadpisać ten rekord lub opublikować rekord oczekujący na zatwierdzenie, bez posiadania go.

Rozszerzenie weryfikuje HMAC linku edycji pracownika na froncie tylko w akcji renderującej formularz edycji, a nie w akcji zapisującej zmianę. Nieuwierzytelniony odwiedzający, znający UID widocznego rekordu pracownika, może wysłać bezpośrednie żądanie POST do akcji aktualizacji i nadpisać ten rekord bez ważnego linku edycji lub jakiegokolwiek sprawdzenia własności.

Rozszerzenie nie przeprowadza prawidłowej sanityzacji danych wejściowych użytkownika przed użyciem ich w zapytaniu do bazy danych. W rezultacie użytkownik backendu o niskich uprawnieniach może wstrzyknąć dowolny SQL przez parametr URL w module backendu "Forms Export". Wykorzystanie wymaga użytkownika backendu o niskich uprawnieniach i dostępu do odczytu modułu backendu "Forms Export".

Widok szczegółów użytkownika w rozszerzeniu nie weryfikuje, czy żądany rekord użytkownika odpowiada skonfigurowanemu lub zalogowanemu celowi, co pozwala każdemu odwiedzającemu z dostępem do wtyczki Detail lub List na pobranie danych profilu innego użytkownika frontendu, w tym imienia, nazwiska, adresu e-mail, daty urodzenia i adresu, poprzez podanie dowolnego identyfikatora użytkownika.

Rozszerzenie nie wymaga dedykowanego tokena potwierdzenia administratora podczas przetwarzania żądania zatwierdzenia przez administratora, więc zwykły hash potwierdzenia użytkownika, uzyskiwalny przez każdego odwiedzającego za pomocą publicznej akcji ponownego wysyłania potwierdzenia, jest wystarczający do samodzielnego zatwierdzenia oczekującego konta wymagającego zatwierdzenia administratora.

Rozszerzenie przekazuje ciąg znaków tematu wiadomości e-mail konfigurowany przez edytora bezpośrednio do źródła szablonu Fluid bez ograniczeń. Użytkownik backendu z prawem edycji wtyczki wydarzeń lub modułu backendu może dostarczyć składnię ViewHelper Fluid w tym polu, aby ujawnić wrażliwe dane lub wykonać obiekty treści TypoScript. Wykorzystanie wymaga uwierzytelnionego konta backendu z prawem edycji wtyczki rejestracji wydarzeń lub modułu backendu.

Funkcja kontroli SMS w urządzeniach IE-SR-2TX-WL-4G może wymagać hasła dla poleceń SMS za pomocą ustawienia 'Enable Password Authorization'. Urządzenie zwiększa licznik ponownych prób przy każdym nieudanym podaniu hasła SMS; po 5 kolejnych nieudanych próbach autoryzacja hasłem SMS jest automatycznie wyłączana. Nieuwierzytelniony zdalny atakujący, który może wysyłać wiadomości SMS do urządzenia, może celowo to wywołać, wysyłając 5 lub więcej nieprawidłowych haseł, po czym kolejne polecenia SMS są wykonywane bez wymogu hasła, co może prowadzić do ograniczonej manipulacji konfiguracją, ograniczonego wycieku informacji i potencjalnej całkowitej utraty dostępności.

Indeksator rozszerzenia przekazywał każdą wartość pola zwróconą przez renderowanie obiektu treści przez funkcję PHP unserialize() podczas przesyłania danych wielowartościowych dla typów obiektów treści SOLR_CLASSIFICATION, SOLR_MULTIVALUE i SOLR_RELATION, zamiast bezpiecznego formatu. Jeśli treści generowane przez użytkownika zapisane w bazie danych TYPO3 mogą dotrzeć do indeksowanego pola, to ujawnia to powierzchnię PHP Object Injection.

Rozszerzenie wymusza puste ograniczenia frontend-group i subpage-inheritance na rekordach stron podczas podrzędnych żądań indeksatora, a ten sfałszowany stan został utrwalony we współdzielonej pamięci podręcznej rootline, co pozwala anonimowym odwiedzającym ominąć ograniczenia dostępu dziedziczone przez extendToSubpages na buforowanych stronach.

Wszystkie wersje FA-50 nie mają uwierzytelniania dla niektórych konfiguracji. Atakujący z dostępem do wewnętrznej sieci statku może manipulować ekranem ustawień produktu, aby zmienić niektóre parametry konfiguracji.

Podatność w bibliotece AshAuthentication umożliwia ponowne użycie jednorazowych tokenów JWT (np. tokenów logowania WebAuthn) jako pełnych poświadczeń API. Wynika to z braku weryfikacji celu tokenu (purpose) w ścieżce bezstanowej weryfikacji tokenów bearer.

Podatność polegająca na użyciu domyślnego hasła w Tuleap Enterprise Edition od wersji 17.0 do 17.5 może pozwolić atakującemu na uzyskanie dostępu do kont użytkowników utworzonych podczas importu XML.

Wtyczka Forminator Forms dla WordPressa jest podatna na odbity XSS (DOM-Based Reflected Cross-Site Scripting) przez parametr 'error_description' we wszystkich wersjach do 1.57.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wyzwalana tylko na stronach z formularzem Forminator skonfigurowanym do korzystania z API płatności Stripe Checkout Sessions, które stało się domyślne w wersji 1.56.0.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez pole Radio Field (Save and Continue Draft) we wszystkich wersjach do 1.57.0.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana, ponieważ punkt końcowy AJAX do zapisywania szkiców jest zarejestrowany jako nopriv, co pozwala nieuwierzytelnionym atakującym ominąć walidację opcji pola radio i utrwalić spreparowany payload, który po wyrenderowaniu na stronie administracyjnej Submissions jest automatycznie wykonywany przez bibliotekę Inputmask.

Wtyczka CM Map Locations dla WordPressa jest podatna na ograniczone dowolne przesyłanie plików we wszystkich wersjach do 2.1.8 włącznie, przez funkcję uploadMedia. Wynika to z niedostatecznej walidacji typów plików w handlerze przesyłania, który wykonuje niepełne filtrowanie rozszerzeń bez sprawdzania typów MIME lub weryfikacji uprawnień do przesyłania przed przekazaniem plików do move_uploaded_file(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym przesyłanie plików, które mogą być wykonywalne, co umożliwia zdalne wykonanie kodu. Wymagany nonce jest ujawniany każdemu zalogowanemu subskrybentowi przez obiekt JavaScript CMLOC_Editor_Images na stronie edytora lokalizacji.

SKYSEA Client View i SKYMEC IT Manager zawierają problem z nieprawidłowymi domyślnymi uprawnieniami. Jeśli ta podatność zostanie wykorzystana, atakujący, który może zalogować się do systemu Windows z zainstalowanym produktem, może wykonać dowolny kod z uprawnieniami SYSTEM.

W SKYSEA Client View i SKYMEC IT Manager istnieje podatność przepełnienia bufora na stosie. Jeśli ta podatność zostanie wykorzystana, atakujący, który może zalogować się do systemu Windows z zainstalowanym produktem, może być w stanie wykonać dowolny kod na innym systemie Windows, który ma zainstalowany produkt i może odbierać pakiety UDP z tego systemu.