Katalog podatności CVE

Wtyczka @payloadcms/plugin-multi-tenant w wersjach przed 3.90.0 i canary przed 4.0.0-canary.34 domyślnie pozwala uwierzytelnionemu użytkownikowi przypisać własne konto do innych tenantów. Instalacje, które zastąpiły domyślne zachowanie zabezpieczonymi funkcjami tenants arrayFieldAccess.create i update, nie są podatne. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload CMS przed wersją 3.90.0 i wersje canary przed 4.0.0-canary.34 zawiera podatność, która pozwala atakującemu na modyfikację dokumentów kolekcji bez egzekwowania kontroli dostępu na poziomie kolekcji lub pola, gdy opcja orderable jest włączona. Problem został naprawiony w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload przed 3.90.0 i canary przed 4.0.0-canary.34, specjalnie spreparowane żądanie do publicznej operacji first-register może zdalnie wykonać kod, gdy włączone jest lokalne uwierzytelnianie i nie utworzono jeszcze pierwszego użytkownika. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Wtyczka @payloadcms/plugin-form-builder w wersjach przed 3.90.0 i canary przed 4.0.0-canary.34 zawiera podatność, która pozwala atakującemu na zdalne wykonanie kodu na serwerze poprzez spreparowane zgłoszenie formularza. Problem został naprawiony w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload przed 3.90.0 i 4.0.0-canary.34, atakujący z dostępem do odczytu i tworzenia lub aktualizacji kolekcji zawierającej pole json lub pole blocks z włączonym blocksAsJSON może wstrzyknąć SQL przez spreparowaną ścieżkę pola i operatory. Kolekcje bez tych pól oraz pola richText nie są podatne. Pakiety SQLite naprawiono w wersjach 3.90.0 i 4.0.0-canary.34, a Postgres w wersji 3.73.0.

W wersjach Payload przed 3.90.0 i canary przed 4.0.0-canary.34, serwer nie egzekwuje ograniczenia access.update na poziomie pola dla pola hasła w kolekcji uwierzytelniania. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, nieprawidłowo sformułowane żądanie multipart może spowodować bardzo długie przetwarzanie Content-Type multipart, prowadząc do niekontrolowanego zużycia zasobów. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, odpowiedzi na odświeżenie tokena i resetowanie hasła mogą niezależnie zwracać ukryte lub ograniczone odczytem pola, do których żądający użytkownik nie ma dostępu. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach przed 3.90.0 oraz w wersjach canary przed 4.0.0-canary.34 odpytywanie czytelnej kolekcji powiązanej relacją z inną kolekcją może ujawnić informacje o powiązanych dokumentach chronionych przez ograniczenia access.read.

Payload CMS w wersjach od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34 zawiera podatność w operacji duplikacji, która kopiuje wartości z dokumentu źródłowego nawet gdy pole jest ukryte lub reguły access.read/access.create odrzucają wartość dla wywołującego. Ustawienie disableDuplicate nie zapobiega temu obejściu kontroli dostępu. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W @payloadcms/plugin-ecommerce w wersjach przed 3.90.0 i canary przed 4.0.0-canary.34, użycie adaptera płatności Stripe może pozwolić na przetworzenie potwierdzenia zamówienia Stripe więcej niż raz w określonych warunkach. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, użytkownicy ze zwykłym dostępem do odczytu do innych dokumentów uwierzytelniania w kolekcji z włączonym useAPIKey mogą uzyskać aktywne klucze API i korzystać z uprawnień docelowych kont, dopóki te klucze nie zostaną obrócone lub wyłączone. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wtyczce @payloadcms/plugin-stripe w wersjach przed 3.90.0 oraz w wersjach canary przed 4.0.0-canary.34 uwierzytelniony użytkownik mający dostęp do włączonego opcjonalnego proxy REST Stripe może wykonywać niezamierzone operacje w Stripe.

W wersjach Payload od 3.0.0 przed 3.90.0 i canary przed 4.0.0-canary.34, użytkownik, który może zapytać kolekcję z polimorficznym joinem do wrażliwych pól, może wywnioskować ukryte lub ograniczone odczytem wartości, w tym tokeny resetowania hasła, przez filtry polimorficznego joina. Problem naprawiono w wersjach 3.90.0 i 4.0.0-canary.34.

Payload to bezgłowy system zarządzania treścią typu open source. W wersjach od 3.40.0 przed 3.88.0 oraz w wersjach canary przed 4.0.0-canary.27 atakujący może spreparować parametr adresu URL przekierowania, który po zakończeniu procesu uwierzytelniania kieruje użytkownika-gościa do niezaufanego miejsca docelowego.

MCP TypeScript SDK w wersjach od 1.12.0 przed 1.31.0 i 2.2.0 pozwala serwerowi MCP, do którego klient się podłącza, decydować, który serwer autoryzacji otrzyma poświadczenia OAuth klienta. Przechowywane i wstępnie zaopatrzone poświadczenia nie były powiązane z serwerem autoryzacji, do którego należą. Złośliwy lub skompromitowany serwer MCP może wskazać własny serwer autoryzacji w metadanych chronionego zasobu. Bez interakcji użytkownika klient wysyłałby temu serwerowi `refresh_token` i `client_secret` zapisane z wcześniejszego logowania (1.x) lub skonfigurowany `client_secret` lub podpisaną asercję z dołączonego nieinteraktywnego dostawcy (1.x i 2.x). Dotyczy to tylko aplikacji używających SDK jako klienta MCP przez HTTP z `authProvider`: własnym `OAuthClientProvider` lub dołączonym `ClientCredentialsProvider`, `PrivateKeyJwtProvider`, `StaticPrivateKeyJwtProvider` lub (2.x) `CrossAppAccessProvider` i które mogą łączyć się z serwerem MCP, któremu właściciele nie ufają w pełni, trzymając poświadczenia dla legalnego serwera autoryzacji. `@modelcontextprotocol/sdk` 1.31.0 (1.x) i `@modelcontextprotocol/client` 2.2.0 (2.x) łatają problem. Dostępny jest workaround dla tych, którzy nie mogą zaktualizować. 2.0.0 i 2.1.0 już akceptują `expectedIssuer`. W 1.x jedynym workaroundem jest łączenie klientów z włączonym OAuth tylko z zaufanymi serwerami MCP.

Wtyczka Crayons dla SPIP przed wersją 3.5.0 zawiera podatność braku autoryzacji, która pozwala nieuwierzytelnionym atakującym na modyfikację dowolnych pól edytowalnych obiektów poprzez pominięcie parametru secu_ w crayons_store.php. Atakujący może wykorzystać ten błąd do zapisania złośliwego pliku szkieletu .html, ujawnienia poufnych plików konfiguracyjnych z sekretem witryny i sfałszowania podpisanego kontekstu ajax w celu wykonania przesłanego szkieletu, osiągając wykonanie dowolnego kodu PHP jako użytkownik serwera WWW.

Urządzenia Dbit WIFI4 N300 w wersji 1.0.0 pozwalają administratorom (z lokalnej sieci Wi-Fi) na wykonywanie poleceń systemu operacyjnego poprzez przepełnienie bufora oparte na stosie w polu comment w /api/addStaticDHCP.

Urządzenia Dbit WIFI4 N300 w wersji 1.0.0 pozwalają na awarię interfejsu zarządzania poprzez żądanie (z lokalnej sieci Wi-Fi), które nie zawiera pola nazwy użytkownika lub hasła w /api/login. Dzieje się tak z powodu błędu w parserze JSON.

Dell Container Storage Modules w wersjach przed 1.18.0 zawiera podatność związaną z użyciem niewystarczająco losowych wartości. Nieuwierzytelniony atakujący z lokalnym dostępem może ją wykorzystać, prowadząc do manipulacji informacjami.