Katalog podatności CVE

YesWiki przed wersją 4.7.0 zawiera podatność na wstrzyknięcie SQL w pliku despam.php, gdzie parametr from jest escapowany, ale umieszczany w niecytowanej pozycji INTERVAL. Uwierzytelnieni administratorzy mogą wstrzykiwać SQL poprzez parametr POST from, aby wykonywać ślepe odczyty bazy danych, w tym hashy haseł użytkowników.

YesWiki przed wersją 4.7.0 zawiera podatność typu server-side request forgery w funkcji Bazar CSV import copyUrlToLocalFile(), która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych żądań wychodzących poprzez dostarczanie spreparowanych URLi w polach pliku CSV lub obrazu. Atakujący mogą obejść sprawdzanie rozszerzenia za pomocą sufiksu query-string lub przekierowań, aby pobrać dane uwierzytelniające z metadanych chmury, usług wewnętrznych lub plików lokalnych poprzez file://, a odpowiedzi są przechowywane w publicznie dostępnym katalogu files/.

YesWiki przed wersją 4.7.0 zawiera podatność typu server-side request forgery w DuplicationManager::downloadFile(), która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych żądań wychodzących poprzez tablicę files. Atakujący mogą wysyłać żądania POST z file:// lub wewnętrznymi URLami do /api/pages/{tag}/duplicate, przechowując pliki lokalne, metadane chmury lub dane uwierzytelniające bazy danych w publicznie dostępnym katalogu files/.

YesWiki od wersji 4.6.2 przed 4.7.0 nie posiada ochrony przed powtórzeniem w HttpSignatureService::verifySignature(), która nigdy nie waliduje nagłówka Date ani nie śledzi widzianych podpisów. Atakujący, którzy przechwycą podpisane żądanie do punktu końcowego /api/forms/{formId}/actor/inbox, mogą je później powtórzyć, aby ponownie wykonać akcje Delete, Update, Follow lub Undo.

YesWiki przed wersją 4.7.0 zawiera podatność typu stored cross-site scripting w pliku handlers/page/referrers_sites.php, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez spreparowane nagłówki Referer. Atakujący mogą wysłać nazwę hosta Referer zawierającą metaznaki HTML, które są renderowane bez escapowania, wykonując JavaScript dla każdego odwiedzającego stronę referrer-sites w celu wykonania uwierzytelnionych akcji w tej samej domenie.

YesWiki przed wersją 4.7.0 zawiera podatność typu reflected cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie JavaScript poprzez dostarczanie parametrów zapytania pasujących do brakujących nazw pól Bazar. Atakujący mogą tworzyć linki, w których BazarField::getValue() używa nieoczyszczonych wartości $_REQUEST renderowanych przez szablony Twig |raw, wykonując uwierzytelnione akcje w tej samej domenie w sesjach ofiar.

YesWiki przed wersją 4.7.0 zawiera podatność typu path traversal w BazarListeAction, która pozwala nieuwierzytelnionym atakującym na wybór dowolnych szablonów w przestrzeni nazw Twig @bazar poprzez parametr GET template. Atakujący mogą dołączać spreparowane wartości szablonów do stron zawierających akcję bazarliste, aby wymusić nieoczekiwane układy, powodując defacement strony dla odwiedzających podążających za spreparowanym linkiem.

YesWiki przed wersją 4.7.0 zawiera obejście read-ACL w AclService::updateRequestWithACL, które interpoluje nazwy użytkowników do wzorców SQL LIKE bez escapowania znaków wieloznacznych _ i %. Samodzielnie zarejestrowani atakujący mogą używać nazw użytkowników takich jak ___ lub %%% , które nadmiernie dopasowują tokeny ACL, odczytując strony i wpisy Bazar zastrzeżone dla innych użytkowników lub grup poprzez publiczne API listy Bazar.

YesWiki od wersji 4.6.0 przed 4.7.0 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na przeglądanie złożonych zapytań SQL poprzez dodanie parametru showreq. Atakujący mogą dołączyć showreq do publicznych żądań API listy Bazar, aby uzyskać nazwy tabel, ścieżki przechowywania JSON, logikę filtrów ACL i sortowanie, co pomaga w ukierunkowanym wstrzykiwaniu SQL.

OpenPanel przed wersją 3.0.0 zawiera podatność polegającą na braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do panelu Bull Board serwowanego na porcie HTTP workera. Atakujący mogą odpytywać /api/queues i wywoływać mutujące API Bull Board, aby dodawać, ponawiać lub czyścić zadania oraz odczytywać dane kolejek, metryki i stan magazynu danych.

OpenPanel przed wersją 3.0.0 zawiera podatność na nieprawidłowe escapowanie w sankey.service.ts, która pozwala uwierzytelnionym członkom projektu na łamanie literałów tekstowych ClickHouse poprzez podanie backslashy w nazwach zdarzeń. Atakujący z dostępem do odczytu mogą wysyłać spreparowane wartości events[].name do procedury chart.sankey, powodując błędy parsowania ClickHouse, które wyłączają endpoint wykresu Sankey projektu.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która zapisuje adresy URL połączeń z bazą danych i dane szablonów e-mail do logów standardowego wyjścia. Użytkownicy z dostępem do logów mogą uzyskać poświadczenia do bazy danych z logów startowych migracji oraz tokeny resetowania hasła rejestrowane, gdy SMTP_HOST i RESEND_API_KEY nie są ustawione.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w ConversionService.getConversion, która pozwala członkom z dostępem do odczytu projektu oraz posiadaczom linków udostępniających na wstrzyknięcie SQL ClickHouse poprzez nieescapowane nazwy zdarzeń i daty. Atakujący mogą wyłamać się z literałów tekstowych w nazwach serii lub wartościach startDate/endDate za pomocą OR 1=1, aby zneutralizować ograniczenie project_id i odczytać dane analityczne innych dzierżawców.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w profileColumnAccess w cohort.service.ts, która pozwala członkom z dostępem do odczytu projektu na wstrzyknięcie SQL poprzez podanie nieescapowanych nazw kolumn filtrów profilu. Atakujący mogą przesłać filtr cohort.preview, którego nazwa zawiera podzapytanie wstawione do klauzul argMax, cityHash64 lub porównania, aby odczytać dane ClickHouse innych dzierżawców.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt adnotacji dowolnego projektu poprzez wywołanie publicznej procedury tRPC reference.getChartReferences. Atakujący mogą wysyłać żądania z odgadywalnymi identyfikatorami projektów opartymi na slugach, aby zrzucić tytuły, opisy i daty adnotacji między dzierżawcami, takie jak notatki o wydaniach i znaczniki wdrożeń.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w procedurze tRPC event.bots, która pozwala nieuwierzytelnionym atakującym na odczyt zdarzeń botów poprzez sprawdzenie jedynie istnienia wiersza shareOverview. Atakujący mogą wysyłać anonimowe żądania z projectId, aby uzyskać nazwy, typy i ścieżki zdarzeń botów dla prywatnych lub chronionych hasłem projektów, ujawniając wewnętrzne trasy.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom na obejście ograniczeń dzierżawcy poprzez wstrzyknięcie nieescapowanych nazw filtrów profilu do podzapytania JOIN. Atakujący mogą podać spreparowaną nazwę filtra z komentarzem na końcu, aby obejść klauzulę WHERE project_id i odczytać zdarzenia ze wszystkich projektów.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w mutacji tRPC onboarding.project, która pozwala członkom organizacji niebędącym administratorami na tworzenie projektów i generowanie poświadczeń do wstrzykiwania danych typu write, omijając politykę tylko dla administratorów. Atakujący mogą wielokrotnie wywoływać endpoint z sesją członka, aby uzyskać sekrety w postaci jawnej, wstrzykiwać fałszywe zdarzenia analityczne, zatruwać metryki biznesowe i zużywać budżet organizacji.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z poziomem odczytu na uzyskanie hashy argon2id poświadczeń do wstrzykiwania danych poprzez zapytanie tRPC client.list. Atakujący mogą zażądać client.list z identyfikatorem projektu i otrzymać pełne wiersze Client, w tym kolumnę secret, co umożliwia offline weryfikację ujawnionych sekretów bez śladów audytu.

DOMPurify od wersji 3.4.4 przed 3.4.17 zawiera obejście SAFE_FOR_TEMPLATES, które pozwala atakującym zachować wyrażenia szablonów w dołączonych shadow rootach podczas korzystania z trybów RETURN_DOM, RETURN_DOM_FRAGMENT lub IN_PLACE. Atakujący mogą podzielić wyrażenia na węzły tekstowe oddzielone niedozwolonymi elementami, które łączą się po usunięciu i są oceniane przez downstreamowe silniki szablonów, prowadząc do cross-site scripting.