Katalog podatności CVE

Podatność na eskalację uprawnień w komponencie DOM: Networking. Została naprawiona w Firefox 154, Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.

Problem z izolacją witryn w komponencie Graphics: CanvasWebGL przeglądarki Firefox i klienta poczty Thunderbird. Podatność została naprawiona w Firefox 154, Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.

Podczas instalacji agenta Zabbix na systemie Windows do niestandardowego katalogu instalacyjnego, instalator nie weryfikował, czy wybrany katalog ma bezpieczne uprawnienia dostępu. Jeśli katalog docelowy pozwalał nieautoryzowanym użytkownikom na modyfikację zawartości, atakujący mógł umieścić złośliwą bibliotekę DLL, która mogła zostać później załadowana przez aplikację, co prowadzi do przechwycenia DLL (DLL sideloading). Instalator został wzmocniony, aby wykrywać potencjalnie niebezpieczne katalogi instalacyjne i wymaga teraz wyraźnego potwierdzenia użytkownika przed kontynuacją instalacji w takich lokalizacjach.

DataEase to narzędzie do wizualizacji i analizy danych typu open source. Wersje przed 2.10.23 mają podatność na path traversal. Przyczyną jest to, że na systemie Windows separator plików to '\', a serwer filtruje tylko znak '/' podczas skracania ciągów. Luka została naprawiona w wersji 2.10.23. Brak znanych obejść.

Nieuwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji popup.testtriggerexpr, co prowadzi do potencjalnej odmowy usługi.

ArcadeDB przed wersją 26.8.1 nie sanityzuje nazw baz danych w poleceniach create database i drop database w punkcie końcowym POST /api/v1/server, co pozwala uwierzytelnionym użytkownikom root na zapisywanie i usuwanie dowolnych plików poza skonfigurowanym katalogiem baz danych. Atakujący mogą podać nazwy baz danych zawierające sekwencje ../, aby tworzyć bazy danych w dowolnych ścieżkach systemu plików lub rekurencyjnie usuwać katalogi, do których serwer ma dostęp.

Wtyczka Gremlin wire-protocol w ArcadeDB (com.arcadedb:arcadedb-gremlin) w wersjach <= 26.7.3 wymusza uwierzytelnianie (SASL PLAIN), ale nie przeprowadza autoryzacji: nie sprawdza uprawnień dostępu do bazy danych (canAccessToDatabase) i nie wiąże uwierzytelnionego podmiotu z silnikiem. W rezultacie każdy ważny poświadczenie serwera — nawet takie przyznane dla zero lub jednej niepowiązanej bazy — może czytać, zapisywać i usuwać dane w dowolnej bazie na serwerze, wybierając docelową bazę przez alias źródła przejścia, całkowicie omijając ACL silnika per-type/read-only/UPDATE_SCHEMA. Problem naprawiono w wersji 26.8.1.

ArcadeDB przed wersją 26.8.1 (dotknięte wersje <= 26.7.3) zawiera brak autoryzacji w instrukcji SQL DELETE FUNCTION. DeleteFunctionStatement.executeSimple wyrejestrowuje i trwale usuwa funkcję serwerową bez żadnego sprawdzenia checkPermissionsOnDatabase (UPDATE_SCHEMA). Każdy użytkownik z dostępem do bazy danych może wykonać DELETE FUNCTION przez API poleceń (POST /api/v1/command/{db}), aby trwale usunąć dowolną zarejestrowaną funkcję serwerową, w tym logikę istotną dla bezpieczeństwa, wpływając na integralność i dostępność.

ArcadeDB przed wersją 26.8.1 zawiera podatność na fałszowanie żądań po stronie serwera w poleceniu IMPORT DATABASE, gdzie walidator bezpieczeństwa rozwiązuje i sprawdza nazwy hostów, ale późniejsze połączenie ponownie rozwiązuje surowy URL i podąża za przekierowaniami. Uwierzytelnieni atakujący mogą ominąć walidator za pomocą ponownego wiązania DNS lub przekierowań HTTP, aby uzyskać dostęp do punktów końcowych metadanych chmury, usług wewnętrznych lub czytać dowolne pliki lokalne w domyślnych instalacjach.

ArcadeDB przed wersją 26.8.1 zawiera podatność na dowolny odczyt plików w klauzuli OpenCypher LOAD CSV FROM, która pozwala uwierzytelnionym użytkownikom na odczyt lokalnych plików. Atakujący z uprawnieniami do zapytań odczytu mogą użyć protokołu file:// w instrukcjach LOAD CSV, aby uzyskać dostęp do dowolnych plików z uprawnieniami procesu serwera, eksfiltrując wrażliwe dane bezpośrednio w odpowiedziach na zapytania.

ArcadeDB przed wersją 26.8.1 zawiera podatność na dowolny odczyt plików w egzekwowaniu listy dozwolonych piaskownicy JavaScript GraalVM, która używa nieuciekających wyrażeń regularnych do walidacji nazw pakietów. Atakujący z uprawnieniami do tworzenia wyzwalaczy mogą użyć Java.type(), aby uzyskać dostęp do klas java.util.zip.ZipFile lub java.util.jar.JarFile i czytać dowolne pliki na systemie jako proces serwera ArcadeDB.

Wtyczka Grav API (getgrav/grav-plugin-api, dołączona do stosu admin-next/API Grav) przed wersją 1.0.14 nie egzekwuje wymogu autoryzacji w MenubarController::executeAction(). Podczas gdy punkt końcowy GET /menubar/items poprawnie filtruje elementy paska menu przez userPassesAuthorize(), punkt końcowy POST /api/v1/menubar/actions/{plugin}/{action} sprawdza tylko podstawowe uprawnienie api.access i nigdy nie ocenia pola authorize, które wtyczka zarejestrowała dla tej akcji. Każdy uwierzytelniony wywołujący z api.access może zatem bezpośrednio wywołać uprzywilejowaną akcję paska menu, omijając zamierzoną autoryzację. Żadna wtyczka dołączona do rdzenia Grav nie rejestruje obecnie uprzywilejowanego handlera authorize, więc na standardowej instalacji wpływ jest utajony; wada dotyczy każdej wtyczki pierwszej lub trzeciej strony polegającej na udokumentowanej semantyce authorize.

Grav przed wersją 2.0.15 zawiera podatność na trwały cross-site scripting w renderowaniu mediów audio i wideo przez metodę sourceParsedownElement. Fragment URL mediów jest konkatenowany bez ucieczki do elementów źródłowych rawHtml, co pozwala atakującym na wstrzyknięcie dowolnego HTML i JavaScript, który wykonuje się w sesjach przeglądających.

grav-plugin-api (getgrav/grav-plugin-api) w wersjach >= 1.0.0-beta.10 i <= 1.0.14 zawiera podatność na przechodzenie po ścieżkach w metodzie PagesController::batchCopy(). Niekompletna poprawka dla GHSA-qjq4-jp55-4mx2 pozostawiła niesprawdzony parametr 'suffix' kontrolowany przez użytkownika (przez POST /api/v1/pages/batch). Uwierzytelniony użytkownik z uprawnieniem api.pages.write (poziom edytora, nie super-admin) może podać sekwencje przechodzenia po ścieżkach (np. /../../../) w parametrze suffix, aby uciec z zamierzonego katalogu user/pages/ i zapisać treść strony oraz media strony kontrolowane przez atakującego w dowolnych lokalizacjach systemu plików zapisywalnych przez proces serwera WWW. Podatność naprawiono w wersji 1.0.15.

Wtyczka grav-plugin-api przed wersją 1.0.15 nie waliduje zawartości Twig w punkcie końcowym translate(), co pozwala atakującym z uprawnieniami api.pages.write na utrwalanie stron z włączonym process.twig. Atakujący mogą przesłać spreparowane parametry header i content, aby wykonać ładunki wstrzyknięcia szablonów po stronie serwera, które są oceniane podczas renderowania.

Grav przed wersją 2.0.15 zawiera podatność na trwały cross-site scripting w funkcji detectXss(), gdzie niesparowane cudzysłowy w niecytowanych wartościach atrybutów omijają wykrywanie procedur obsługi zdarzeń. Uwierzytelnieni edytorzy mogą wstrzyknąć procedury obsługi zdarzeń, takie jak onerror=, które przechodzą walidację i wykonują się w przeglądarkach odwiedzających podczas renderowania treści strony.

Grav przed wersją 2.0.15 zawiera podatność na dowolny zapis plików w walidacji dynamicznych danych Blueprint, która używa niekompletnej listy blokowanych zamiast pozytywnej listy dozwolonych. Atakujący z uprawnieniami do edycji stron lub konfiguracji blueprint mogą wywołać funkcję error_log za pomocą dyrektywy data, aby dodać ładunki PHP do plików dostępnych z sieci, osiągając zdalne wykonanie kodu.

SiYuan przed wersją v3.7.4 zawiera podatność na nieprawidłową autoryzację w ośmiu punktach końcowych trybu publikacji, które filtrują wyniki za pomocą listy widoczności zamiast listy wyłączonych. Anonimowi odwiedzający mogą odkrywać i czytać treści z dokumentów oznaczonych jako zabronione do publikacji, uzyskując dostęp do punktów końcowych wyszukiwania, linków zwrotnych, treści zasobów, zapisanych kryteriów, ostatnich dokumentów, grafu i tagów.

SiYuan przed wersją v3.7.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji isPrivateIP w kernel/util/net.go, używanej przez SSRFSafeDialer do egzekwowania ochrony SSRF w trybie SafeMode. Funkcja sprawdza tylko adresy loopback, link-local unicast, prywatne i nieokreślone, ale nie rozpoznaje adresów przejściowych IPv6 (NAT64 64:ff9b::/96, 6to4 2002::/16, Teredo 2001::/32), które zawierają prywatne cele IPv4. Gdy tryb SafeMode jest włączony, uwierzytelniony atakujący może ominąć zabezpieczenie SSRF za pomocą sieciowego proxy, proxy WebSocket lub proxy SSE, podając URL, którego nazwa hosta rozwiązuje się na taki adres przejściowy, docierając do usług wewnętrznych i punktów końcowych metadanych chmury (np. 169.254.169.254). Ponieważ proxy zwraca pełną treść odpowiedzi, jest to pełny odczyt SSRF, który może być użyty do kradzieży poświadczeń instancji, dostępu do usług wewnętrznych i skanowania portów wewnętrznej infrastruktury.

SiYuan przed wersją v3.7.4 nie ma kontroli autoryzacji w 17 punktach końcowych metadanych/treści bloków w kernel/api/block.go (w tym getRefText, checkBlockExist i getBlockBreadcrumb). Te procedury obsługi są chronione tylko podstawowym uwierzytelnieniem (model.CheckAuth) i nie mają filtrowania dostępu do publikacji, co pozwala anonimowym czytelnikom trybu publikacji na ujawnianie prywatnych treści bloków, metadanych strukturalnych i informacji o istnieniu dowolnych identyfikatorów bloków w całym obszarze roboczym.