Katalog podatności CVE

Penpot to platforma do projektowania i prototypowania o otwartym kodzie źródłowym. Przed wersją 2.18.0, nieuwierzytelniony RPC get-view-only-bundle zwraca wszystkie wiersze linków udostępniających dla pliku, nawet gdy wywołujący uwierzytelnił się tylko jednym linkiem o ograniczonym zakresie. Posiadacz restrykcyjnego linku może uzyskać sekretne identyfikatory innych linków, zakresy stron, uprawnienia do komentarzy i uprawnienia do inspekcji, a następnie odtworzyć bardziej permisywny token, aby uzyskać dostęp do danych stron, które nie były uwzględnione w oryginalnym udostępnieniu. Problem naprawiono w wersji 2.18.0.

W Penpot przed wersją 2.18.0 procedura delete-share-link weryfikuje jedynie uprawnienia edycji pliku nadrzędnego, nie sprawdzając, czy wywołujący utworzył dany link ani czy ma uprawnienia właściciela lub administratora. Każdy edytor pliku znający UUID linku udostępniania może usunąć linki utworzone przez innych użytkowników i odebrać dostęp zewnętrznym recenzentom.

Penpot przed wersją 2.18.0 w eksporcie SVG umieszcza wartość koloru wypełnienia kontrolowanego przez atakującego obiektu tekstowego w ciągu polecenia ppmcolormask i wykonuje go przez child_process.exec. Użytkownik, który może edytować plik, może przechowywać metaznaki powłoki w kolorze wypełnienia i wywołać eksport SVG, powodując wykonanie poleceń z uprawnieniami usługi eksportera. Ten sam eksport może być wywołany przez ważny publiczny link do złośliwego pliku.

W Penpot przed wersją 2.18.0 wylogowanie usuwa jedynie cookie z tokenem uwierzytelniającym w przeglądarce, nie unieważniając odpowiadającej sesji po stronie serwera. Wcześniej przechwycony token sesji pozostaje ważny po wylogowaniu ofiary i pozwala na dalsze uwierzytelnione żądania z jej uprawnieniami aż do naturalnego wygaśnięcia.

W Penpot przed wersją 2.18.0 funkcja app.util.ssrf/blocked-address? opiera się na predykatach Java InetAddress, które nie klasyfikują adresów NAT64, 6to4 ani Teredo, a dodatkowe sprawdzenia CIDR stosuje tylko do adresów IPv4. Użytkownik kontrolujący URL importu mediów lub administrator kontrolujący URL webhooka może podać adres przejściowy IPv6 osadzający docelowy adres IPv4 (metadane chmury, loopback, link-local, prywatny) i obejść ograniczenia SSRF.

W Penpot przed wersją 2.18.0 procedury create-team-invitations oraz ścieżka akceptacji zaproszenia pozwalają administratorowi zespołu niebędącemu właścicielem przypisać rolę właściciela, ponieważ role zaproszeń są zapisywane i stosowane bez sprawdzenia limitu roli używanego w update-team-member-role. Administrator może zaprosić inne konto jako właściciela, utworzyć wielu właścicieli i przejąć kontrolę zarezerwowaną dla właściciela.

W Penpot przed wersją 2.18.0 procedura delete-team-member pozwala administratorowi zespołu usunąć dowolnego członka poza sobą, ale nie chroni właściciela zespołu. Administrator niebędący właścicielem może usunąć członkostwo team-profile-rel właściciela i zablokować mu dostęp do zespołu oraz jego projektów, plików, czcionek i mediów.

W Penpot przed wersją 2.18.0 procedura chunked media upload sprawdza, czy indeks fragmentu mieści się w zakresie, ale nie odrzuca już zapisanego indeksu ani nie zastępuje poprzedniego obiektu. Uwierzytelniony użytkownik może wielokrotnie przesyłać ten sam prawidłowy indeks, powodując alokację kolejnych obiektów tymczasowych i zwiększenie zajętości pamięci ponad zadeklarowany rozmiar sesji.

W Penpot przed wersją 2.18.0 polecenia RPC get-comment-threads, get-comment-thread i get-comments używają check-comment-permissions!, ale nie stosują ograniczenia stron linku udostępniania. Posiadacz linku udostępniania ograniczonego do strony może pobrać wątki komentarzy i pełne treści komentarzy z innych stron tego samego pliku, w tym nazwiska, adresy e-mail, zdjęcia i identyfikatory stron.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 6.14.0 do 6.27.0 problem z walidacją danych wejściowych mógł pozwolić użytkownikom personelu na dostęp do lokalnych plików poza zamierzonymi katalogami przechowywania danych na serwerze. Problem został naprawiony w wersji 6.27.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 1.18.0 do 6.27.0 luka SSRF w funkcji webhooków pozwalała użytkownikom personelu na sondowanie wewnętrznych hostów z serwera Ghost. Problem został naprawiony w wersji 6.27.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 5.9.0 do 6.44.1 problem z walidacją danych wejściowych pozwalał członkom na dostęp do komentarzy, do których nie mieli uprawnień. Problem naprawiono w wersji 6.44.1.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 5.81.0 do 6.60.0 pracownicy z rolą Autora mogli usuwać wpisy i strony, których nie byli autorami. Problem naprawiono w wersji 6.60.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 6.22.1 do 6.64.0 Ghost ograniczał typ zawartości używany do serwowania przesłanych plików, aby zapobiec ich wykonywaniu przez przeglądarki. W witrynach korzystających z domyślnego lokalnego adaptera przechowywania to ograniczenie nie było stosowane, więc pliki przesłane przez dowolnego członka personelu były serwowane z typem zawartości wynikającym z rozszerzenia pliku. Mogło to być wykorzystane do hostowania skryptów w domenie witryny, potencjalnie prowadząc do kompromitacji sesji administracyjnych innych członków personelu.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 0.5.0 do 6.64.0 pracownicy z rolą Redaktora lub Super Redaktora mogli przypisywać własną rolę użytkownikom z rolą Autora i Współtwórcy, mimo braku uprawnień do przypisywania tej roli. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 6.10.3 do 6.64.0 podatność w sposobie ładowania plików tłumaczeń motywów pozwalała uwierzytelnionemu administratorowi na wykonanie dowolnego kodu na serwerze za pomocą spreparowanego motywu. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 1.20.0 do 6.64.0 podatność w sposobie ładowania plików tłumaczeń motywów umożliwiała uwierzytelnionemu Administratorowi odczyt plików JSON poza katalogiem aktywnego motywu, potencjalnie ujawniając sekrety konfiguracji serwera. Problem został naprawiony w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 4.39.0 do 6.64.0 użytkownicy personelu z uprawnieniem do przeglądania zaproszeń mogli poznać tajny token oczekujących zaproszeń, w tym zaproszeń dla ról o wyższych uprawnieniach. Mogło to pozwolić na podniesienie uprawnień poprzez przyjęcie oczekującego zaproszenia. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 0.7.2 do 6.64.0 każdy użytkownik na poziomie personelu mógł ustalić względną kolejność zahashowanych haseł innych użytkowników personelu. Nie ujawnia to bezpośrednio hashy haseł i nie zapewnia praktycznej ścieżki do odzyskania hasła. Problem został naprawiony w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 5.94.0 do 6.64.0 podczas tworzenia karty zakładki Ghost mógł zapisywać pliki inne niż obrazy pobrane z zewnętrznej witryny jako ikony lub miniatury zakładek. Pozwalało to każdemu użytkownikowi personelu, w tym współtwórcom, na hostowanie dowolnego kodu HTML w domenie serwisu, co mogło skutkować przejęciem sesji administracyjnych innych użytkowników personelu. Problem naprawiono w wersji 6.64.0.