Katalog podatności CVE

Podatność CSRF w SEIKO EPSON Web Config. Jeśli użytkownik odwiedzi złośliwą stronę będąc zalogowanym do Web Config, mogą zostać wykonane niechciane operacje.

W MicroRealEstate wykryto podatność polegającą na uszkodzonej kontroli dostępu na poziomie obiektu w API szablonów. Umożliwia ona atakującym pobieranie szablonów dokumentów używanych przez inne organizacje bez autoryzacji.

Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.1 nieprawidłowo weryfikuje źródło ścieżki obrazu profilowego dostarczonego przez użytkownika przed przeniesieniem pliku. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym przenoszenie dowolnych plików w katalogu uploads WordPressa do własnej ścieżki obrazu profilowego.

Podatność nieprawidłowego przypisania uprawnień (CWE-266) w Command Centre Server umożliwia uwierzytelnionemu operatorowi z ograniczonymi uprawnieniami wykonanie operacji, do których normalnie nie byłby upoważniony. Problem dotyczy wersji 9.50 przed MR1, 9.40 przed MR3, 9.30 przed MR5, 9.20 przed MR7 oraz wszystkich wersji 9.10.

Coolify przed wersją 4.0.0-beta.474 zawiera podatność polegającą na tym, że walidacja punktu końcowego S3 sprawdza tylko format URL, a funkcja testConnection() wysyła żądanie po stronie serwera do skonfigurowanego punktu końcowego. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania pamięcią masową zmuszenie Coolify do żądania wewnętrznych lub metadanych URL-i.

W Coolify przed wersją 4.0.0-beta.471, oprogramowanie pośredniczące TrustProxies ufa wszystkim proxy, akceptując nagłówek X-Forwarded-Host z dowolnego źródła. TrustHosts ma cykliczną zależność buforowania, która uniemożliwia walidację hostów. Nieuwierzytelniony atakujący może wywołać reset hasła i przechwycić link z fałszywą domeną, kradnąc token i przejmując konto.

Podatność w Coolify przed wersją 4.0.0-beta.471 pozwala uwierzytelnionemu użytkownikowi na skonfigurowanie źródła GitHub App z polem api_url, które jest używane jako bazowy URL do żądań HTTP po stronie serwera bez blokowania adresów prywatnych lub punktów końcowych metadanych chmury. Umożliwia to wykonywanie żądań do wewnętrznych usług lub metadanych chmury.

Wtyczka Exclusive Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr tytułu posta we wszystkich wersjach do 2.7.9.8 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.

W FOSSBilling w wersjach od 0.5.3 do 0.7.2, endpoint API `serviceapikey/get_info` dla gości jest dostępny bez uwierzytelniania. Każdy posiadacz ważnego klucza API może odczytać wszystkie niestandardowe parametry konfiguracyjne (`custom_*`) przechowywane w rekordzie bazy danych klucza.

Złośliwa strona internetowa może przerwać oczekującą nawigację, dodając do kolejki synchroniczne okno dialogowe JavaScript, co powoduje wyświetlenie docelowego pochodzenia w pasku adresu przeglądarki, podczas gdy renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w przeglądarce Firefox dla systemu iOS w wersji 152.3.

W kliencie Minosoft dla Minecraft Java Edition, w funkcji szyfrowania CryptManager, wektor inicjalizacyjny (IV) AES jest ustawiany na wartość klucza tajnego zamiast na losową wartość. Ta podatność umożliwia ataki z wyborem szyfrogramu/tekstu jawnego, co może prowadzić do odzyskania klucza tajnego przez atakującego.

W FOSSBilling w wersjach od 0.5.6 do 0.7.2, gdy włączone jest ustawienie „Wymagaj potwierdzenia e-mail”, zalogowany klient z niepotwierdzonym adresem e-mail może uzyskać dostęp do wszystkich stron strefy klienta, takich jak saldo portfela czy historia transakcji. Ograniczenia po stronie API działają poprawnie, ale po stronie stron są zbyt liberalne, przepuszczając każde żądanie zaczynające się od „/client”.

FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność na trwałe skrypty między witrynami (XSS) w widokach historii e-maili widocznych dla klientów. Treść HTML e-maili jest renderowana w szablonie JavaScript bez odpowiedniego kodowania, co pozwala atakującemu z dostępem administracyjnym na wstrzyknięcie złośliwego kodu JavaScript.

W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.

W systemie FOSSBilling przed wersją 0.8.0 występuje warunek wyścigu w procesie realizacji koszyka, który umożliwia uwierzytelnionemu klientowi wielokrotne użycie kodu promocyjnego pomimo ustawionego limitu. Wysyłając równoczesne żądania finalizacji zamówienia, klient może uzyskać nieograniczoną liczbę zamówień z rabatem lub za darmo.

W systemie FOSSBilling przed wersją 0.8.0 wykryto podatność na masowe przypisanie w punkcie końcowym samorejestracji klienta. Niezautoryzowany atakujący może podczas rejestracji przypisać się do dowolnej grupy klientów, co umożliwia wykorzystanie kodów promocyjnych ograniczonych do danej grupy i uzyskanie nieautoryzowanych rabatów.

W Coolify przed wersją 4.0.0-beta.474 endpoint POST /api/feedback nie wymaga uwierzytelnienia, nie ma ograniczeń szybkości ani walidacji danych wejściowych. Pozwala to na przesyłanie dowolnej treści bezpośrednio do webhooka Discord, co umożliwia spam, wstrzykiwanie treści i nadużycie webhooka.

Ajenti do wersji 2.2.13 zawiera podatność na clickjacking w interfejsie logowania i administracyjnym. Brak nagłówków X-Frame-Options i Content-Security-Policy frame-ancestors w odpowiedziach HTTP umożliwia osadzenie strony w ramce iframe.

W bibliotece mrubyc do wersji 3.4.1 włącznie wykryto odczyt poza dozwolonym zakresem pamięci podczas wyszukiwania brakującej metody wbudowanej w funkcji mrbc_find_method().