Katalog podatności CVE

Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów używała niekompletnych kontroli containment w systemie plików, co pozwalało na dostęp do plików w katalogach sąsiednich, jeśli ścieżka miała wspólny prefiks. Zdalny atakujący mógł tworzyć i uzyskiwać dostęp do miniatur z plików obrazów w sąsiednim katalogu, potencjalnie ujawniając staging, kopie zapasowe lub inne wewnętrzne strony.

System egzaminacyjny XueZhiSi Open Source Exam System w wersji 3.9.0 i wcześniejszych ma podatność na eskalację uprawnień w interfejsie nauczyciela POST /api/teacher/user/page/list. Parametr role w UserPageRequestVM jest w pełni kontrolowany przez osobę wysyłającą żądanie.

Smarty to silnik szablonów dla PHP. Przed wersjami 4.5.7 i 5.8.2, obsługa {fetch} używała Security::isTrustedUri() tylko do walidacji początkowego adresu URL, a PHP domyślnie podążał za przekierowaniami HTTP. Atakujący z otwartym przekierowaniem na zaufanym hoście mógł przekierować żądanie do wewnętrznego punktu końcowego, omijając listę dozwolonych URI i wykonując SSRF.

backpack/crud to pakiet Laravel do tworzenia paneli administracyjnych. Od wersji 6.0.0 do 6.8.14 i 7.0.37, metody SingleBase64Image::uploadFiles i uploadRepeatableFiles akceptują dowolne data URI zaczynające się od data:image bez walidacji typu MIME lub zawartości. Uwierzytelniony administrator może przechowywać dowolne pliki pod nazwą bez rozszerzenia, co może prowadzić do przechowywanego XSS lub innych niepożądanych zachowań.

Wallos to samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.1, endpoint currency/update_exchange.php ładuje globalnie pierwsze poświadczenie Fixer/API Layer zamiast poświadczenia uwierzytelnionego użytkownika. Zwykły uwierzytelniony użytkownik bez własnego klucza może wywołać odświeżenie kursów walut używając poświadczeń innego użytkownika.

Wallos to samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.1, uwierzytelniony użytkownik może edytować swoją nieaktywną subskrypcję i ustawić replacement_subscription_id na ID subskrypcji należącej do innego użytkownika. Logika statystyk później odwołuje się do obcego ID bez zakresu user_id, co pozwala atakującemu wywnioskować miesięczny koszt subskrypcji ofiary.

TechStore 1.0 jest podatny na Cross Site Scripting (XSS). W contact_display aplikacja odzwierciedla parametr id bezpośrednio w renderowanej stronie, co umożliwia wykonanie dostarczonego przez atakującego JavaScriptu w przeglądarce użytkownika.

Wykryto podatność w sdcb chats do wersji 1.12.0. Dotyczy funkcji McpController w pliku src/BE/web/Controllers/Users/Mcps/McpController.cs, w komponencie fetch-tools Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto słabość w caoqianming django-vue-admin 1.0. Podatność dotyczy nieznanego kodu w pliku /api/file/. Manipulacja argumentem file_id prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

Wykryto lukę bezpieczeństwa w Doccano Open Source Annotation Tools do wersji 1.8.5. Dotyczy funkcji LabelList w pliku /v1/projects/1/category-types, w komponencie Bulk-Delete Endpoint. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto podatność w Doccano Open Source Annotation Tools do wersji 1.8.5. Dotyczy funkcji ExampleDetail w pliku /v1/projects/1/examples/, w komponencie Project Example Detail Endpoint. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Złośliwa strona internetowa może zatrzymać nawigację między źródłami w oknie popup po zatwierdzeniu, powodując wyświetlenie w pasku adresu docelowego źródła, podczas gdy nadal renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w Firefox for iOS 155.0.

Xibo to platforma cyfrowych tablic ogłoszeniowych z systemem zarządzania treścią. Przed wersją 4.4.3 brak autoryzacji w Module::settingsForm pozwala na podgląd (bez zmiany) ustawień modułu zastrzeżonych dla super administratora oraz ujawnienie pełnej encji modułu. Wykorzystanie podatności jest możliwe przez autoryzowanego użytkownika z dostępem do funkcji Module View, która standardowo nie jest przyznawana nie-administratorom. Użytkownicy powinni zaktualizować do wersji 4.4.3, która naprawia ten problem. Aktualizacja do wersji z poprawką jest konieczna. Użytkownicy, którzy nie mogą zaktualizować, powinni odebrać takie uprawnienia użytkownikom, którym nie ufają.

Nieprawidłowa kontrola dostępu w funkcji CloudSrvVersionCheck w TOTOLINK T6 4.1.5cu.748_B20211015 umożliwia nieuwierzytelnionym atakującym wyzwalanie sprawdzania aktualizacji w chmurze poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji clearTracerouteLog w TOTOLINK T6 4.1.5cu.748_B20211015 umożliwia nieuwierzytelnionym atakującym usunięcie logów traceroute poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji delWiFiScheduleCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na usuwanie wpisów harmonogramu Wi-Fi poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

W podsystemie IPv6 stosu Zephyr (subsys/net/ip/ipv6_nbr.c) funkcja net_ipv6_send_ns() przydziela pakiet sieciowy dla Neighbor Solicitation. Gdy jest wywoływana z pakietem danych oczekującym na nierozwiązanego sąsiada i kolejka oczekujących jest już niepusta, funkcja dodaje pakiet danych i wraca wcześniej, bez wysłania NS przez net_send_data() ani zwolnienia go przez net_pkt_unref(). Nowo przydzielony pakiet NS i jego bufory TX są trzymane tylko przez zmienną lokalną i wyciekają trwale, nigdy nie wracając do CONFIG_NET_PKT_TX_COUNT / CONFIG_NET_BUF_TX_COUNT.

W FLVMeta do wersji 1.2.2 wykryto podatność w funkcji amf_object_get w pliku src/amf.c podczas parsowania obiektów AMF. Manipulacja prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W FLVMeta do wersji 1.2.2 wykryto podatność w funkcji amf_string_new w pliku src/amf.c podczas przetwarzania ciągów AMF. Manipulacja argumentem length prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W dibo-software diboot 3.8.0 wykryto podatność w nieznanej części pliku /api/iam/tenant/resource w komponencie Tenant Resource Assignment Handler. Manipulacja argumentem tenantId prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.