Katalog podatności CVE

Podatność na ujawnienie wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania OAuth2 i integracji Google OAuth w Apache CloudStack. Dotyczy wersji od 4.19.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na niewłaściwe zarządzanie uprawnieniami w wtyczce uwierzytelniania dwuskładnikowego w Apache CloudStack, umożliwiająca obejście procesu wyłączania uwierzytelniania dwuskładnikowego. Dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na ujawnienie wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania LDAP w Apache CloudStack podczas wyświetlania listy dostawców LDAP. Konfiguracje LDAP mogą być wyświetlane przez każdego uwierzytelnionego użytkownika z dostępem do API listLdapConfigurations, które jest domyślnie dostępne dla wszystkich ról. Dotyczy wersji od 4.2.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na przechowywanie wrażliwych informacji w postaci jawnego tekstu w Apache CloudStack w związku z przechowywaniem zadań asynchronicznych (AsyncJob) w bazie danych. Dotyczy wersji od 4.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność ujawnienia wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania OAuth w Apache CloudStack podczas wyświetlania listy dostawców OAuth. Problem dotyczy wersji od 4.19.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Brak autoryzacji i ujawnienie wrażliwych informacji w interfejsach API związanych z danymi użytkownika (userdata) w Apache CloudStack. Kilka API, w tym deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine i updateVirtualMachine, ma brakujące lub niewystarczające walidacje kontroli dostępu, co może pozwolić na dostęp między dzierżawcami/kontami do zasobów userdata innych dzierżawców. Problem dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0. API deleteCniConfiguration, wprowadzone w 4.21.0.0, również wykazuje podobne zachowanie.

Podatność SSRF przez rozwiązywanie adresów URL Metalink oraz zdalne wykonanie kodu (RCE) na hiperwizorze KVM. Uwierzytelniony dzierżawca może zarejestrować szablon wskazujący na plik metalink kontrolowany przez atakującego, zawierający wewnętrzne cele. Secondary Storage VM pobierze dane i zapisze je jako plik szablonu, który może być później pobrany przez normalne API. Ponadto, uwierzytelniony dzierżawca z domyślną rolą User może wykonać dowolne polecenia powłoki jako root na hoście KVM, na którym działają maszyny wirtualne innych dzierżawców. Problem dotyczy wersji od 4.14.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność wstrzykiwania poleceń systemu operacyjnego (OS Command Injection) w wtyczce dostawcy kopii zapasowych NAS w Apache CloudStack. API addBackupRepository (dostępne od 4.20.0.0) i updateBackupRepository (wprowadzone w 4.22.0.0) akceptują nieoczyszczone opcje poleceń dla repozytorium kopii zapasowych. Złośliwe konto operatora może wykorzystać to do wstrzyknięcia dowolnych poleceń, które wykonują się na hoście KVM, gdy jakiekolwiek konto wykona przywracanie kopii zapasowej. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność typu Execution after redirect (EAR) w panelu administracyjnym ArchitectPanel Web Admin Panel firmy FuyaWeb Internet and Informatics Services umożliwia obejście uwierzytelniania. Problem dotyczy wersji do 28072026.

Wtyczka AI Engine dla WordPressa przed wersją 3.6.1 nie weryfikuje, czy żądający użytkownik jest autoryzowany do działania na docelowym koncie przed wykonaniem uprzywilejowanych operacji zarządzania użytkownikami, co pozwala użytkownikom z rolą Administratora w podstronie Multisite na przejęcie dowolnego konta w sieci, w tym konta Administratora Sieci.

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa przed wersją 1.3.9.9 nie waliduje końcowej nazwy przesłanego pliku po usunięciu z niej znaków, co pozwala nieuwierzytelnionym użytkownikom obejść ograniczenia typów plików i wykonać dowolny kod na serwerze.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.

W Rocket.Chat przed wersjami 8.8.0, 8.7.1, 8.6.2, 8.5.3, 8.4.6, 8.3.8, 8.2.8, 8.1.8 i 7.10.15 endpoint REST POST /api/v1/livechat/visitor przyjmuje nieuwierzytelnione i niezdezynfekowane pole name dla odwiedzających Livechat. Ta nazwa jest przechowywana i renderowana przez dangerouslySetInnerHTML w panelu Omnichannel Queue, co umożliwia wstrzyknięcie klikalnego linku HTML do DOM agenta.

Oprogramowanie uruchamiane przez nieuprzywilejowanego użytkownika może wykonywać nieprawidłowe wywołania systemowe GPU, przekazując nieprawidłowy rozmiar strony log2 podczas alokacji stron fizycznych, co prowadzi do odczytu i/lub zapisu poza zakresem z powodu niewłaściwej walidacji. Może to spowodować traktowanie stron 4K jako stron wyższego rzędu i dostęp do pamięci poza limitem 4K.

Oprogramowanie jądra działające w maszynie wirtualnej (Guest VM) może wysyłać nieprawidłowe polecenia do oprogramowania układowego GPU, co powoduje zapis danych poza wirtualizowaną pamięcią GPU gościa. Może to prowadzić do dostępów do pamięci poza zakresem i eskalacji uprawnień.

Wtyczka WPForms Pro dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w polach tekstowych (Single Line Text i Paragraph Text) we wszystkich wersjach do 2.0.0.2 włącznie. Problem wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Niezautoryzowany atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Exploit wykorzystuje rozszerzenie listy dozwolonych znaczników przez plugin (wp_kses_allowed_html), które pozwala na iframe z atrybutem data-src, co umożliwia przetrwanie URI javascript: i późniejsze przekształcenie w atrybut src przez skrypt view-entry.min.js.

W komponencie clusterclaims-controller w multicluster engine (MCE) znaleziono błąd. Użytkownik z uprawnieniami do tworzenia i usuwania zasobów ClusterClaim może manipulować polem `spec.namespace`, co pozwala na usunięcie dowolnego ManagedCluster, w tym local-cluster huba lub klastrów innych dzierżawców, z powodu braku kontroli własności. Luka może prowadzić do odmowy usługi poprzez nieautoryzowane usuwanie ManagedClusters.

Brak uwierzytelnienia dla krytycznej funkcji w punkcie końcowym API upload w Datiphy Data Management Center od wersji v8.3.0 do v8.5.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na przesyłanie dowolnych plików do skonfigurowanego katalogu upload na serwerze.

Nieprawidłowa walidacja wejścia i ujawnianie wrażliwych informacji przez zapytania danych w Genians Genian NAC V4.0, V5.0 oraz Genian ZTNA V6.0 umożliwiają wstrzyknięcie SQL i obejście uwierzytelnienia. Luka dotyczy określonych wersji przed wskazanymi poprawkami.

Podatność Server-Side Request Forgery (SSRF) w PTC Windchill PDMLink i PTC FlexPLM może być wykorzystana poprzez deserializację niezaufanych danych.