Katalog podatności CVE

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpoint relacji problemów przyjmuje UUID problemów w treści żądania bez walidacji, czy należą one do przestrzeni roboczej wywołującego. Uwierzytelniony użytkownik może tworzyć relacje łączące jego własne problemy z problemami w dowolnej innej przestrzeni roboczej, co prowadzi do wycieku metadanych problemów przez zdarzenia aktywności. Problem naprawiono w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpoint aktualizacji projektu autoryzuje wywołującego na podstawie sluga przestrzeni roboczej w URL, ale ładuje docelowy projekt globalnie po UUID bez powiązania z tą przestrzenią roboczą. Administrator jednej przestrzeni roboczej może modyfikować projekt w innej przestrzeni roboczej, jeśli zna UUID projektu ofiary. Narusza to izolację dzierżawców i pozwala na nieautoryzowane zmiany metadanych i konfiguracji projektu między przestrzeniami roboczymi. Problem naprawiono w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.4.0 endpointy GET /api/workspaces/{slug}/cycles/ (WorkspaceCyclesEndpoint) i GET /api/workspaces/{slug}/modules/ (WorkspaceModulesEndpoint) zwracają rekordy ze wszystkich projektów w przestrzeni roboczej bez sprawdzania, czy wywołujący należy do każdego projektu. Każdy uwierzytelniony członek przestrzeni roboczej, w tym Gość z dostępem tylko do jednego projektu, może wyliczyć nazwy, opisy, daty sprintów, liczby problemów, migawki postępu, zewnętrzne identyfikatory integracji, powiązane URL-e i listy członków dla cykli i modułów w prywatnych projektach. Sąsiednie endpointy WorkspaceLabelsEndpoint i WorkspaceStatesEndpoint stosują odpowiedni filtr, co czyni endpointy cykli i modułów niespójnymi. Problem naprawiono w wersji 1.4.0.

Przed wersją 1.4.0 narzędzia Plane, endpoint GET /api/v1/workspaces/{slug}/projects/{project_id}/members/ ujawnia pełną listę członków projektu, w tym adresy e-mail, imiona i nazwiska, awatary i role. Kontrola dostępu ProjectMemberPermission sprawdza tylko, czy użytkownik jest aktywnym członkiem dowolnego projektu w workspace, ale nie wiąże tego z konkretnym project_id. W rezultacie każdy uwierzytelniony użytkownik należący do jednego projektu, w tym Gość, może odczytać listę członków innego prywatnego projektu w tym samym workspace.

Przed wersją 1.4.0 narzędzia Plane, uprawnienie WorkspaceOwnerPermission nie wymaga, aby użytkownik miał ustawione is_active=True podczas sprawdzania, czy jest właścicielem workspace. Dezaktywowany użytkownik może pozostać autoryzowany jako właściciel workspace i zachować dostęp na poziomie właściciela.

Przed wersją 1.4.0 narzędzia Plane, endpoint GET /api/assets/v2/workspaces/{workspace_slug}/download/{asset_id}/ umożliwia pobieranie plików przypisanych do projektów bez sprawdzania dostępu do projektu, do którego należą. Uwierzytelniony użytkownik z tego samego workspace, niebędący członkiem tajnego projektu, znając UUID zasobu, może otrzymać przekierowanie 302 do podpisanego URL-a pobierania. Dotyczy to typów ISSUE_ATTACHMENT, COMMENT_DESCRIPTION, PAGE_DESCRIPTION i PROJECT_COVER.

Przed wersją 1.4.0 narzędzia Plane, nieuwierzytelniony endpoint publicznych zgłoszeń przyjmuje parametry group_by i sub_group_by bez listy dozwolonych wartości i przekazuje je do paginatorów, gdzie są używane jako nazwy pól ORM. Atakujący może podać dowolne ścieżki pól, co powoduje nieobsłużone błędy FieldError lub KeyError i odpowiedź HTTP 500, lub może wykorzystać to jako wyrocznię do ślepej eksploracji relacyjnych ścieżek. Poprawka z wcześniejszej wersji nie objęła tych parametrów.

Przed wersją 1.4.0 narzędzia Plane, członek projektu z rolą 15 może wysłać żądanie PATCH do endpointu aktualizacji członków projektu i zmienić rolę innego użytkownika. Logika aktualizacji roli blokuje tylko nową rolę wyższą niż rola żądającego, więc przypisanie równej roli Member omija walidację i awansuje Gościa projektu z rolą 5 do roli Member bez zgody administratora projektu.

Przed wersją 1.4.0 narzędzia Plane, endpoint modułów przyjmuje identyfikatory UUID zgłoszeń w ścieżce URL bez walidacji, czy należą one do workspace wywołującego. Uwierzytelniony użytkownik może linkować zgłoszenia z dowolnego workspace do modułów w swoim własnym workspace.

Przed wersją 1.4.0 narzędzia Plane, endpoint GET /api/users/api-tokens/ pozwala uwierzytelnionemu użytkownikowi pobierać rekordy tokenów API, a PATCH /api/users/api-tokens/{token_id}/ pozwala modyfikować pole allowed_rate_limit bez walidacji po stronie serwera. Użytkownik może dowolnie podnieść limit i ominąć limity API, co umożliwia wysoką liczbę automatycznych żądań i potencjalne wyczerpanie zasobów.

Rozszerzenie Joomla TF Content w wersjach 2.9.0 - 2.9.4 udostępnia zadanie `records.custom_action` bez uwierzytelnienia, kontroli ACL, CSRF, wyzwalacza zadań, powiązania z treścią lub tokena cron. Gość może podać numeryczny ID dowolnego opublikowanego zadania TF Content i wymusić natychmiastowe wykonanie skonfigurowanego executora.

Rozszerzenie Joomla Event Gallery w wersji < 6.6.0 zawiera podatność na SSRF w selektorze Google Photos na stronie przesyłania plików. Selektor pobiera miniatury wybranych obrazów przez serwer, używając tokena OAuth konta Google Photos. Zadanie pobiera adres z żądania bez sprawdzenia i nie wymaga tokena formularza. Przygotowana strona na innym serwisie może sprawić, że serwer wyśle token dostępu konta na dowolny adres lub pobierze adresy wewnątrz sieci serwera w imieniu zalogowanego administratora.

Biblioteka adm-zip przed wersją 0.6.1 stosuje uniksowe bity uprawnień z wpisu ZIP bezpośrednio do rozpakowanego pliku przez fs.chmodSync(), gdy keepOriginalPermission=true jest przekazane do extractAllTo()/extractEntryTo() — i nigdy nie filtruje bitów setuid/setgid/sticky. Złośliwy ZIP może utworzyć plik wykonywalny z mode 04755, co przy rozpakowywaniu jako root prowadzi do wykonania kodu atakującego z uprawnieniami roota.

ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na iniekcję SQL w punkcie końcowym user-list GET /admin/User/getUsers poprzez parametr gid.

ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na Directory Traversal. Endpoint uploadu plików POST /admin/Index/upload w ApiAdmin przyjmuje rozszerzenie przesłanego pliku bez żadnej walidacji (brak białej listy, czarnej listy ani sprawdzania zawartości), a funkcja move_uploaded_file() umieszcza plik w katalogu public/upload/Ymd/ dostępnym przez WWW. Każdy zalogowany administrator może przesłać plik .php i uzyskać do niego bezpośredni dostęp przez HTTP, osiągając zdalne wykonanie kodu na serwerze.

GouGuOA w wersji 6.0.5 i wcześniejszych jest podatny na iniekcję SQL w /home/message/rubbish poprzez parametr keywords.

WookTeam w wersji 1.6.6 i wcześniejszych jest podatny na RCE w interfejsie eksportu zadań projektu /api/project/task/export. Parametr data jest dekodowany base64 i przekazywany bezpośrednio do funkcji string2array() w app/Module/Base.php, która wykonuje eval("\$array = $data;") zawsze, gdy zdekodowany ciąg zaczyna się od array. Atakujący może wstrzyknąć dowolny kod PHP do wywołania eval i osiągnąć RCE.

Problem w dormakaba evolo Service (wszystkie wersje) umożliwia zdalnemu atakującemu wykonanie dowolnego kodu jako SYSTEM za pośrednictwem komponentu .NET.

Wtyczka LearnPress dla WordPressa do wersji 4.4.9.1 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym instruktorom wstrzykiwać skrypty przez pola wskazówki i wyjaśnienia w quizach. Atakujący z rolą Instruktora mogą wysyłać niezdezynfekowane payloady przez handler AJAX update_question, które wykonują się w sesji każdego studenta rozwiązującego quiz.

W TallCMS do wersji 4.8.0 wykryto podatność w komponencie PluginManager, w pliku ThemeManager.php. Poprzez manipulację danymi wejściowymi możliwa jest zdalna iniekcja kodu. Exploit został publicznie ujawniony i może być wykorzystany.