Katalog podatności CVE

W projekcie invariant-systems-ai aiir do wersji 1.7.0 wykryto podatność w nieznanej funkcji komponentu Policy Gate Handler. Manipulacja danymi może prowadzić do nieprawidłowej weryfikacji podpisu kryptograficznego, a atak można przeprowadzić zdalnie. Projekt nie jest już rozwijany, a repozytorium GitHub nie jest dostępne.

YesWiki przed wersją 4.6.7 zawiera podatność XSS w akcji Bazar valeur, która pozwala edytorom stron na wstrzyknięcie skryptu poprzez renderowanie nieescapowanego HTML pobranego ze zdalnego URL. Atakujący mogą wskazać tools/bazar/actions/valeur.php na kontrolowany serwer zwracający znacznik BAZ_fiche_titre z obsługą img onerror, wykonując skrypt w przeglądarce każdego widza.

WWBN AVideo do wersji 29.2.0 zawiera podatność stored cross-site scripting, która pozwala użytkownikom z uprawnieniami do przesyłania plików na wstrzyknięcie skryptu poprzez ustawienie złośliwego adresu URL trailera wideo. Wartość jest renderowana bez escapowania w szablonach YouPHPFlix2 i playlistach kanałów, co pozwala atakującym na wyjście poza atrybuty onclick lub src iframe i wykonanie JavaScript w przeglądarkach ofiar.

WWBN AVideo 12.4 do 29.2.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom przesyłającym pliki na wstrzyknięcie HTML poprzez wysyłanie podwójnie zakodowanych encji w tytułach wideo. Ponieważ funkcja safeString() usuwa tagi przed dekodowaniem encji i jest uruchamiana dwukrotnie przez setTitle() i save(), atakujący mogą przechowywać znaczniki, które wykonują się na stronach trendów, galerii, osadzania i playlist.

Podatność w farvisun Mindio Magic MCP (mindio-magic-mcp) do wersji 0.5.6 polega na umieszczeniu poufnych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.

ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.

Zitadel przed wersją 4.16.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która umożliwia atakującym zmuszenie serwera do wysyłania żądań do wewnętrznych zasobów poprzez weryfikację domen organizacji. Pobieranie wyzwania używa domyślnego http.Get zamiast chronionego klienta, więc atakujący mogą rejestrować domeny przekierowujące na adresy loopback, wewnętrzne lub metadane chmury, aby skanować porty i mapować sieć wewnętrzną.

ZITADEL 4.x przed 4.17.1 nie sprawdza stanu nieaktywności organizacji podczas uwierzytelniania Login V2, weryfikując tylko status indywidualnego użytkownika. Użytkownicy zdezaktywowanej organizacji, którzy posiadają ważne poświadczenia, istniejącą sesję lub token odświeżania, mogą nadal logować się, tworzyć sesje oraz uzyskiwać lub odświeżać tokeny.

ZITADEL 3.x przed 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanych interfejsach Login V1 i Login V2, które akceptuje rejestrację passkey lub innych uwierzytelniaczy w sesjach typu identify-only, przed weryfikacją jakiegokolwiek czynnika podstawowego. Nieuwierzytelnieni atakujący znający tylko login ofiary mogą zarejestrować uwierzytelniacz kontrolowany przez atakującego i zalogować się jako ten użytkownik, omijając istniejące hasła i MFA.

ZITADEL przed 4.17.1 zawiera podatność obejścia uwierzytelniania w Login V2, która pozwala nieuwierzytelnionym atakującym na przejęcie kont poprzez uzyskanie kodów OTP za pomocą typu dostarczania returnCode. Atakujący znający login ofiary z włączonymi OTP-Email i OTP-SMS mogą odczytać oba kody z odpowiedzi akcji serwera, aby uzyskać sesje uwierzytelnione MFA, w tym przejęcie administratora.

ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera brak uwierzytelniania w hostowanym interfejsie Login V1, którego procedury rejestracji i inicjalizacji drugiego czynnika działają na sesji identify-only przed weryfikacją jakiegokolwiek czynnika podstawowego. Atakujący znający tylko login ofiary mogą zarejestrować kontrolowane przez siebie czynniki TOTP, OTP-SMS, OTP-Email lub U2F, nadpisać zweryfikowany numer telefonu oraz enumerować użytkowników poprzez rozbieżne błędy.

ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.

ZITADEL 4.x przed 4.17.3 oraz 3.x do 3.4.15 chroni tokeny intencji IdP nieuwierzytelnionym, modyfikowalnym szyfrowaniem, co pozwala uwierzytelnionym użytkownikom manipulować własnym tokenem, aby został on zaakceptowany dla intencji logowania zewnętrznego innego użytkownika. Atakujący, który przewidzi identyfikator intencji ofiary w locie i wygra wyścig czasowy, może wywołać /v2/idp_intents lub /v2/sessions, aby ukraść tokeny IdP ofiary lub przejąć jej sesję.

ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.

ZITADEL w wersjach od 3.0.0 do 3.4.15 oraz 4.x przed 4.17.3 zawiera błąd nieprawidłowej autoryzacji w User Service API, który weryfikuje uprawnienie user.read względem organizacji wywołującego, a nie organizacji będącej właścicielem docelowego użytkownika. Uwierzytelniony członek z uprawnieniem user.read w zakresie organizacji może odpytać GET /v2/users/{userId}/authentication_methods, aby poznać typy metod uwierzytelniania zarejestrowanych przez użytkowników z innych organizacji.

SiYuan przed wersją 3.8.5 zawiera podatność ujawnienia informacji, która pozwala czytelnikom w trybie publikacji poznać identyfikatory bloków backlinków i liczby odwołań z dokumentów chronionych hasłem i wyłączonych z publikacji poprzez odpytywanie opublikowanego dokumentu. Atakujący mogą wysyłać żądania POST do /api/block/getDocInfo lub getDocsInfo dla identyfikatora opublikowanego dokumentu, aby uzyskać refIDs i refCount ukrytych bloków referencyjnych, omijając granicę poufności publikacji.

W aplikacji RainyGao DocSys do wersji 2.02.85 wykryto podatność SQL injection w funkcji BaseController.createDBForMysql w pliku BaseController.java (komponent Database Management). Manipulacja argumentem url pozwala na wstrzyknięcie kodu SQL. Exploit jest publicznie dostępny, a atak można przeprowadzić zdalnie.

W RainyGao DocSys do wersji 2.02.85 wykryto podatność path traversal w funkcji DocController.doGetTmp w pliku /Doc/doGetTmpFile.do (komponent Document Controller). Manipulacja argumentami path/fileName pozwala na nieautoryzowany dostęp do plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

W YzmCMS do wersji 7.6 zidentyfikowano słabość w funkcji Password w pliku /common/function/system.func.php komponentu MD5 Handler. Manipulacja argumentem pass może prowadzić do utworzenia hasha hasła z niewystarczającym nakładem obliczeniowym. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania. Exploit został publicznie udostępniony i może być użyty do ataków.

W mooSocial do wersji 3.2.4 wykryto lukę bezpieczeństwa polegającą na wstrzyknięciu SQL poprzez manipulację argumentem rating w pliku /stores/all-products. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.