Katalog podatności CVE

Znaleziono błąd w O2OA do wersji 10.0.1-ce. Dotyczy to funkcji ActionUploadExcelWithUrl w pliku /x_general_assemble_control/jaxrs/excel/upload/with/url komponentu General Module. Wykonanie manipulacji argumentem fileUrl może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale jeszcze nie odpowiedział.

Newell Brands DYMO ID 1.5.1.71 rozwiązuje katalog wtyczek Modules względem katalogu roboczego procesu. Atakujący mógłby umieścić plik zadania wraz ze złośliwymi modułami/DLL, który ustawia katalog roboczy procesu na folder pliku zadania, gdy ofiara kliknie ten plik, co skutkuje wykonaniem kodu na poziomie uprawnień ofiary.

Newell Brands DYMO ID 1.5.1.71 parsuje pliki zadań za pomocą XmlDocument.Load() bez wyłączania przetwarzania DTD. Widok PC Job Files automatycznie parsuje każde rozpoznane rozszerzenie pliku zadania podczas przeglądania folderów. Spreparowany plik na dowolnym przeglądanym udziale sieciowym może wykonać SSRF, przechwycić poświadczenia NTLMv2, odczytać lokalne pliki lub spowodować awarię procesu. Naprawiono w wersji 1.6.0.

Wtyczka WordPress Simple Event Planner zawiera podatność deserializacji niezaufanych danych, która pozwala na wstrzyknięcie obiektów. Problem występuje w wersjach od nieznanej do 1.5.7.

Feehi CMS 2.1.1 zawiera podatność Server-Side Request Forgery (SSRF) w punkcie końcowym UEditor catchimage. Walidacja prywatnych adresów IP nie blokuje adresów loopback ani link-local, co pozwala atakującemu na skłonienie serwera do sondowania wewnętrznych usług HTTP poprzez różnice w odpowiedziach.

Feehi CMS 2.1.1 jest podatny na Directory Traversal. Uwierzytelniony użytkownik backendu z uprawnieniem do edycji artykułów może usuwać dowolne pliki, do których proces PHP ma prawo zapisu. Metadane obrazu artykułu są używane do konstruowania ścieżki w systemie plików i przekazywane do funkcji unlink() bez walidacji ścieżki ani katalogu.

Feehi CMS 2.1.1 jest podatny na nieprawidłową kontrolę dostępu. Niskouprzywilejowany administrator backendu z uprawnieniem do aktualizacji administratora może zmienić hasło wbudowanego konta superadministratora. Serwer nie wymusza ochrony tego konta, a scenariusz aktualizacji nie wymaga podania starego hasła.

Ash przechowuje atrybuty typu :atom jako ciągi znaków i porównuje je jako ciągi. Gdy taki atrybut jest używany w filtrze, wartość porównania jest przekształcana przez Ash.Type.Atom. Ponieważ typ nie definiował wywołania zwrotnego coerce/2, przekształcenie spadało do domyślnego (cast_input/2), które wywołuje String.to_atom/1, gdy atrybut jest skonfigurowany z ograniczeniem unsafe_to_atom?: true. Filtrowanie takiego atrybutu za pomocą ciągów kontrolowanych przez atakującego powodowało internowanie nowego, trwałego atomu dla każdej odrębnej wartości. Atomy nigdy nie są usuwane przez garbage collector, a BEAM ogranicza tabelę atomów, więc aktor mogący dostarczać wartości filtrów dla publicznego, filtrowalnego atrybutu :atom zadeklarowanego z unsafe_to_atom?: true może wyczerpać tabelę atomów i spowodować awarię węzła (odmowa usługi). AshPaperTrail jest godnym uwagi przykładem: jego zasoby wersji domyślnie udostępniają publiczny, filtrowalny atrybut atomowy version_action_name z unsafe_to_atom?: true. Poprawka dodaje coerce/2 do Ash.Type.Atom, które nigdy nie internowuje atomów — wartość porównania pozostaje ciągiem, ponieważ typ jest przechowywany i porównywany jako ciąg. Ustawianie atrybutu z danych wejściowych akcji (cast_input/2, które nadal respektuje unsafe_to_atom?) pozostaje bez zmian. Problem dotyczy ash: od 3.5.1 przed 3.34.3.

Wtyczka WordPress Sunshine Photo Cart zawiera podatność deserializacji niezaufanych danych, która pozwala na wstrzyknięcie obiektów. Problem występuje w wersjach od nieznanej do 3.7.1.

Problem w Mercusys AC12 V2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez interfejs szeregowy UART na płytce drukowanej (PCB).

Problem w Mercusys AC12 V2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez wbudowany na stałe 512-bitowy klucz prywatny RSA.

Problem w Mercusys AC12 V2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez przechowywanie informacji w postaci zwykłego tekstu.

Znaleziono błąd w Maestro. Jego punkty końcowe API REST do zapisu zostały zarejestrowane bez odpowiedniego oprogramowania pośredniczącego do uwierzytelniania. Pozwala to zdalnemu atakującemu na wykonywanie nieautoryzowanych operacji zapisu, takich jak tworzenie, modyfikowanie lub usuwanie konsumentów i pakietów zasobów. Może to prowadzić do problemów z integralnością danych lub denial of service (DoS).

W produkcie maestro znaleziono podatność na wstrzykiwanie SQL w parametrze `orderBy` w punktach końcowych listy API REST. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do ślepego, odczytowego wydobycia danych z bazy danych.

W brokerze gRPC produktu maestro znaleziono podatność umożliwiającą zdalnemu atakującemu z ważnym certyfikatem klienta obejście uwierzytelnienia. Dzięki temu atakujący może subskrybować strumienie zdarzeń innych konsumentów, co prowadzi do nieautoryzowanego ujawnienia informacji, lub publikować sfałszowany status agenta, co może naruszyć integralność danych.

Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniach systemu operacyjnego w kompozytowej akcji GitHub integrate-platform-docs w Chainguard Academy (edu) od commita 7375a80caabcc31c33ec90f29687ed78c13d16ff do commita fb0efb2537d326ab18c07d620875b8ed2a4b39f3 pozwala aktorowi kontrolującemu wejścia project_id lub storage_bucket na wykonanie dowolnych poleceń powłoki na runnerze GitHub Actions, ponieważ wejścia są interpolowane bezpośrednio do poleceń Bash gcloud storage cp w kilku krokach poprzez wyrażenia ${{ inputs.* }}. Jedyny caller w repozytorium przekazywał sekrety repozytorium i działał tylko na zaufanych wyzwalaczach, więc nie było znane, aby niezaufane dane wejściowe docierały do podatnych kroków.

Użycie zmiennej $scheme po stronie backendu w przekierowaniu katalogu z ukośnikiem na końcu w nginx.conf Chainguard Academy (edu) od commita 0b75ff98057f69b044a3e7194e428066ac5ad0d4 do commita 93dc0e50739c225f5aee2e803800a47fc0feb906 pozwala atakującemu sieciowemu na ścieżce odczytać lub zmodyfikować treść dokumentacji dostarczanej ofierze poprzez żądanie HTTPS dla ścieżki katalogu bez ukośnika, ponieważ TLS kończy się na load balancerze przed Nginx, a wynikowa odpowiedź 301 przekierowuje klienta na adres http:// w postaci jawnej. Przeglądarki z listą preload HSTS nie są zagrożone, ponieważ domena najwyższego poziomu .dev jest preloadowana; klienci, którzy nie wymuszają HSTS, tacy jak klienci HTTP wiersza poleceń i skrypty podążające za przekierowaniami, są zagrożeni.

Penpot to platforma do projektowania i prototypowania o otwartym kodzie źródłowym. Przed wersją 2.18.0, RPC get-page akceptuje obiekt uprawnień linku udostępniającego z pełnym dostępem do odczytu, ale nie weryfikuje, czy wybrane przez wywołującego page-id należy do zestawu autoryzowanych stron linku. Atakujący z ważnym linkiem udostępniającym i własną uwierzytelnioną sesją Penpot może pobrać pełne dane kształtów i projektu innej strony w tym samym pliku, jeśli zna jej identyfikator, ponieważ get-page wymaga uwierzytelnienia. Powiązany RPC get-file-fragment również pozwala na dostęp przez link udostępniający bez mapowania fragmentów do autoryzowanych stron. Problem naprawiono w wersji 2.18.0.

Penpot to platforma do projektowania i prototypowania o otwartym kodzie źródłowym. Przed wersją 2.18.0, assemble-chunks pobiera sesję przesyłania tylko na podstawie jej identyfikatora sesji, podczas gdy upload-chunk poprawnie ogranicza wyszukiwanie do uwierzytelnionego profilu. Uwierzytelniony użytkownik, który zdobędzie identyfikator UUID aktywnej, zakończonej sesji przesyłania innego użytkownika, może złożyć fragmenty ofiary do własnego pliku, czcionki zespołu lub importu projektu, ujawniając przesłane bajty i usuwając oczekującą sesję ofiary. Problem naprawiono w wersji 2.18.0.

Penpot to platforma do projektowania i prototypowania o otwartym kodzie źródłowym. Przed wersją 2.18.0, uwierzytelnieni użytkownicy z uprawnieniami do edycji plików mogą przesyłać media SVG, których skrypty, atrybuty obsługi zdarzeń i elementy foreignObject są przechowywane bez sanityzacji i serwowane jako image/svg+xml z pochodzenia Penpot. Ofiara, która przejdzie na adres URL zasobu, wykonuje kontrolowany przez atakującego JavaScript w tym pochodzeniu, co pozwala na żądania i dostęp do danych z uprawnieniami sesji ofiary w Penpot. Problem naprawiono w wersji 2.18.0.