Katalog podatności CVE

Plane przed wersją 1.4.0 w logowaniu przez kod magiczny używa sześciocyfrowego OTP z około 20 bitami entropii. Weryfikator nie ma licznika nieudanych prób na kod, a błędny kod nie zwiększa licznika, nie unieważnia wpisu Redis ani nie blokuje adresu e-mail. Weryfikator rozszerza django.views.View zamiast DRF APIView, więc limit AnonRateThrottle nie ma zastosowania. Stos middleware nie zawiera również ogranicznika szybkości na poziomie Django, takiego jak django-ratelimit, django-axes lub IP-throttling.

Przed wersją 1.4.0 narzędzia Plane, endpoint ProjectBulkAssetEndpoint.post nie ograniczał zapytań o zasoby do projektu z URL-a. Gość z rolą Workspace Guest mógł podać identyfikatory UUID zasobów z innego projektu w tym samym workspace i przypisać je do encji kontrolowanej przez atakującego, co umożliwiało przejęcie plików.

Przed wersją 1.4.0 narzędzia Plane, zadanie dostarczania webhooków nie ustawiało allow_redirects=False i nie walidowało celów przekierowań. Użytkownik z możliwością tworzenia workspace mógł zarejestrować webhook wskazujący na publiczny endpoint kontrolowany przez atakującego, który zwraca przekierowanie 302 do wewnętrznego adresu, co pozwalało na dostęp do wewnętrznych zasobów, w tym metadanych chmury.

Plane to narzędzie do zarządzania projektami o otwartym kodzie źródłowym. Przed wersją 1.4.0 endpoint ProjectJoinEndpoint w GET /api/workspaces/{slug}/projects/{project_id}/join/{pk}/ używa permission_classes = [AllowAny] i zwraca pełny rekord ProjectMemberInvite, w tym adres e-mail, token i rolę, nieuwierzytelnionym wywołującym. Odpowiadający endpoint POST sprawdza tylko, czy przesłany e-mail zgadza się z project_invite.email i nie weryfikuje tokena zaproszenia. Atakujący, który zna UUID zaproszenia, może odkryć zaproszony e-mail, zarejestrować konto z tym adresem i zaakceptować zaproszenie bez otrzymania oryginalnego zaproszenia. Problem został naprawiony w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami o otwartym kodzie źródłowym. Przed wersją 1.3.0 metoda ProjectMemberViewSet.partial_update pozwala każdemu członkowi projektu, w tym użytkownikowi z najniższą rolą GUEST, na modyfikację roli innego członka projektu. Kontrola autoryzacji zapobiega przypisaniu roli wyższej niż rola żądającego, ale nie zapobiega przypisaniu roli niższej lub równej, co pozwala Gościowi zdegradować Administratorów i Członków oraz pozbawić ich kontroli nad projektem. Podatność została naprawiona w wersji 1.3.0.

W systemie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 odkryto lukę bezpieczeństwa. Dotyczy ona funkcji mysqli_query w pliku cover.php w komponencie Patient Login Handler. Manipulacja argumentem uname/psw prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Produkt używa podejścia rolling releases, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.

W systemie onetwothreeneth HospitalManagementSystem do wersji 9ef91ed6007314b6473110ed699dff76d158f61d zidentyfikowano podatność. Dotyczy ona funkcji get w pliku print.php. Manipulacja argumentem transaction_id prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Produkt używa rolling release, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.

W CUPS wykryto błąd wstrzyknięcia argumentów. Gdy skonfigurowane są powiadomienia e-mail, scheduler CUPS przyjmuje żądania subskrypcji drukarki zawierające mailto notify-recipient-uri. Notyfikator mailto przekazuje adres odbiorcy do skonfigurowanego programu sendmail bez zapewnienia, że nie może być zinterpretowany jako opcje wiersza poleceń. Zdalny atakujący mogący połączyć się z usługą CUPS może podać spreparowaną wartość odbiorcy zaczynającą się od "-", aby wpłynąć na zachowanie sendmail.

W Apache Struts występuje podatność typu race condition związana z niewłaściwą synchronizacją współdzielonego zasobu. Gdy zlokalizowana wiadomość formatuje argument daty lub czasu, formater używany przez aplikację nie jest izolowany między równoczesnymi żądaniami, co może prowadzić do wycieku danych między użytkownikami lub błędów serwera.

Podatność w wtyczce REST Apache Struts polega na braku ograniczeń przy alokacji zasobów. Treść żądania jest wczytywana do pamięci bez limitu rozmiaru, więc pojedyncze żądanie może wyczerpać stertę Java i uniemożliwić obsługę innych użytkowników. Nie trzeba włączać żadnych dodatkowych ustawień, a problem dotyczy wyłącznie aplikacji korzystających z wtyczki REST.

Podatność w Apache Struts typu asymetryczne zużycie zasobów (amplifikacja). Gdy parametr żądania jest wiązany z właściwością BigDecimal i renderowany przez bibliotekę tagów Struts, framework może wygenerować odpowiedź znacznie większą niż żądanie. Umożliwia to nieuwierzytelnionemu atakującemu zdalnemu wyczerpanie CPU serwera i przepustowości sieci przy użyciu niewielkiego ruchu.

Podatność w Apache Struts typu wstrzyknięcie wyrażenia Expression Language (niewłaściwa neutralizacja elementów specjalnych). Jeśli aplikacja korzysta ze starszego mappera akcji RESTful, spreparowane żądanie może wstrzyknąć wyrażenie OGNL prowadzące do zdalnego wykonania kodu. Struts 7 jest podatny tylko przy wyłączonej liście dozwolonych OGNL, która domyślnie jest włączona.

Wtyczka WP BASE Booking (wp-base-booking-of-appointments-services-and-events) zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu SQL. Podatność dotyczy wersji do 6.4.0 włącznie.

Podatność deserializacji niezaufanych danych w wtyczce Product Feed PRO for WooCommerce (woo-product-feed-pro) firmy Rymera Web Co umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 13.5.7.

Podatność polegająca na wstawieniu wrażliwych informacji do wysyłanych danych w wtyczce Five Star Restaurant Reservations (restaurant-reservations) firmy Etoile Web Design Incorporated umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 2.7.24.

Wtyczka UsersWP dla WordPressa do wersji 1.2.74 zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Wtyczka WP User Manager dla WordPressa do wersji 2.9.20 zawiera podatność typu Improper Access Control, która pozwala na nadużycie uprawnień. Wynika to z nieprawidłowej kontroli dostępu.

Wtyczka Lookzy dla WordPressa do wersji 1.1.14 zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.

Wtyczka RepairBuddy dla WordPressa (computer-repair-shop) jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 4.1225.