Katalog podatności CVE

W platformie Raisecom Communication Command and Dispatch Management Platform do wersji 7.6.5 stwierdzono podatność na wstrzyknięcie SQL w pliku /app/users/getpwd.php. Manipulacja argumentem sip prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W systemie DTStack Taier 1.4.0 stwierdzono podatność na przechodzenie po ścieżkach (path traversal) w funkcji Paths.ge w pliku FileChunkController.java w komponencie Chunk-Check Endpoint. Manipulacja argumentem Name umożliwia dostęp do plików poza dozwolonym katalogiem. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W systemie dromara lamp-cloud do wersji 5.10.0 stwierdzono podatność na przechodzenie po ścieżkach (path traversal) w pliku FileChunkController.java w komponencie chunk-check endpoint. Manipulacja argumentem Name prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie Dromara lamp-cloud do wersji 5.10.0 stwierdzono podatność na przechodzenie po ścieżkach (path traversal) w pliku FileAnyoneController.java w komponencie File-Upload Controller. Manipulacja argumentami bucket/bizType prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W Model Context Protocol mcp-rdf-explorer 1.0.0 w funkcji explore_url pliku src/mcp-rdf-explorer/server.py występuje podatność na podrabianie żądań po stronie serwera (SSRF) poprzez manipulację argumentem url. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Producent nie odpowiedział na zgłoszenie.

OpenChoreo przed wersjami 1.1.6 i 1.2.3 autoryzuje operacje component:exec i wirelogs:view przy użyciu parametru projektu dostarczonego przez wywołującego zamiast właściwego właściciela projektu z komponentu. Pozwala to użytkownikowi z uprawnieniami ograniczonymi do projektu na wykonywanie poleceń i odczyt logów w komponentach należących do innych projektów w tej samej przestrzeni nazw.

OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.0-rc.2 ma podatność w szablonach Workflow Plane, gdzie parametry kontrolowane przez programistę są interpolowane do kodu powłoki wykonywanego przez sh -c zamiast przekazywane przez container.env. Umożliwia to wykonanie dowolnych komend w podach workflow, a dotknięte szablony Podman nie miały hostUsers: false.

OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.1 ma podatność w backendzie Backstage, gdzie twardo zakodowano wyłączenie domyślnej polityki uwierzytelniania i zezwolono na dostęp gości poza środowiskiem deweloperskim. Skutkuje to brakiem uwierzytelnienia dla /api/*, umożliwiając nieuwierzytelniony odczyt katalogów, logów scaffolder oraz tworzenie lub usuwanie lokalizacji katalogów.

FreePBX od wersji 17.0.5.34 do 17.0.11 ma podatność w punkcie końcowym AJAX publicKeySave w Backup.class.php, który akceptuje klucz SSH administratora i dodaje go do authorized_keys bez wiarygodnego egzekwowania ograniczeń. Klucz daje trwały dostęp do powłoki z możliwością wykonywania dowolnych komend, dostępu do danych FreePBX i połączeń, modyfikacji plików systemowych i zakłócania usług.

FreePBX od wersji 17.0.1 do 17.0.7 ma podatność w module Music on Hold, która pozwala na niebezpieczne opcje wiersza poleceń dla /usr/bin/mpg123 i innych dozwolonych odtwarzaczy. Administrator może użyć opcji zapisujących pliki, otwierających kanały kontrolne lub tworzących pliki połączeń Asterisk, co prowadzi do wykonania dowolnych komend jako użytkownik asterisk.

FreePBX przed wersjami 16.0.6 i 17.0.5.4 ma podatność w module Text-To-Speech, która pozwala administratorowi zapisać nazwę miejsca docelowego TTS, która jest kodowana HTML, dekodowana podczas generowania dialplanu, przekazywana jako argument AGI i używana do budowy nazw plików w agi-bin/propolys-tts.agi. Nazwa docelowa trafia do surowego wykonania poleceń powłoki, umożliwiając wykonanie dowolnych komend systemowych jako użytkownik asterisk.

Trigger.dev od wersji 4.4.2 do 4.5.0 ma podatność w trasach presign pakietów, gdzie nazwa pliku kontrolowana przez wywołującego jest przekazywana do generowania presigned URL, umożliwiając trawersację katalogów i dostęp do payloadów zadań innych organizacji. Klucz API projektu może odczytać lub nadpisać dane innych organizacji w środowiskach self-hosted.

Trigger.dev od wersji 4.4.2 do 4.5.0-rc.5 ma podatność w Aws4FetchClient.buildUrl() i presign(), gdzie klucze pakietów kontrolowane przez użytkownika są przypisywane do URL.pathname, a trasa akceptuje parametry bez odrzucania segmentów kropek i bez walidacji własności zasobów. Normalizacja ścieżki WHATWG usuwa segmenty .. przed podpisaniem, umożliwiając uzyskanie presigned URL dla kluczy innego dzierżawcy i odczyt lub nadpisanie payloadów zadań.

JupyterLab od wersji 3.3.0 do 4.5.10 i 4.6.2 ma podatność w ustawieniach notebooka, gdzie ustawienia sideBySideLeftMarginOverride i sideBySideRightMarginOverride nie są poprawnie walidowane przed wstawieniem do stylu. Spreparowany plik overrides.json może zawierać instrukcje wykonywane jako kod, a zaimportowanie go lub automatyczne zastosowanie przez atakującego może prowadzić do wykonania kodu z uprawnieniami użytkownika.

Budibase przed wersją 3.39.18 zawiera podatność na wstrzyknięcie SQL w integracji MySQL, gdzie nazwa tabeli nie jest poprawnie escapowana w zapytaniu DESCRIBE. Atakujący może utworzyć tabelę z nazwą zawierającą backtick i dodatkowe zapytanie, które zostanie wykonane podczas skanowania schematu przez administratora. Problem naprawiono w wersji 3.39.18.

Budibase przed wersją 3.39.24 zawiera podatność w punkcie końcowym POST /api/public/v1/roles/assign, gdzie brakuje walidacji appBuilder.appId lub role.appId. Użytkownik z uprawnieniami buildera w jednej aplikacji może przypisać sobie uprawnienia buildera lub dowolną rolę w innej aplikacji, uzyskując dostęp do jej danych, konfiguracji źródeł danych i automatyzacji. Problem naprawiono w wersji 3.39.24.

Budibase przed wersją 3.40.0 nie maskuje poświadczeń źródeł danych przechowywanych w polach typu STRING, co pozwala uwierzytelnionym użytkownikom na odczytanie w postaci jawnej ciągów połączeń MongoDB i kluczy prywatnych Firebase. Atakujący z uprawnieniami odczytu tabel mogą pobrać konfiguracje źródeł danych przez API, uzyskując dostęp do poświadczeń baz danych i kluczy kont usług.

Budibase przed wersją 3.40.0 zawiera podatność w punkcie końcowym PUT /api/global/users/tenant/owner (changeTenantOwnerEmail), która pozwala każdemu uwierzytelnionemu użytkownikowi, nawet z najniższymi uprawnieniami BASIC, na zmianę adresu e-mail właściciela konta na adres kontrolowany przez atakującego. Atakujący może następnie użyć publicznego mechanizmu resetowania hasła, aby przejąć konto administratora, uzyskując pełny dostęp administracyjny.

Budibase przed wersją 3.40.0 zawiera podatności typu Server-Side Request Forgery (SSRF) w imporcie zapytań OpenAPI i wykonywaniu zapytań REST, które pozwalają uwierzytelnionym użytkownikom z uprawnieniami buildera na obejście ochrony DNS pinning poprzez ataki DNS rebinding. Atakujący mogą skonfigurować nazwy hostów, które podczas walidacji rozwiązują się na adresy publiczne, ale podczas rzeczywistego połączenia na adresy pętli zwrotnej lub prywatne, umożliwiając dostęp do zablokowanych wewnętrznych usług HTTP.

Budibase przed wersją 3.40.0 zawiera podatność na wstrzyknięcie SQL w łączniku Oracle, w wyszukiwaniu wierszy po zapisie, gdzie nazwy tabel nie są poprawnie escapowane. Atakujący z uprawnieniami zapisu na tabeli z cudzysłowem w nazwie może wstrzyknąć SQL, który wykona się jako użytkownik bazy danych, umożliwiając odczyt lub modyfikację dowolnych danych.