Katalog podatności CVE

Objenesis przed wersją 3.6 zawiera lukę typu type confusion, która pozwala kodowi z jednego class loadera podstawiać obiekty do innego, wykorzystując buforowanie instancjatorów oparte na nazwie klasy. Gdy współdzielona instancja ObjenesisStd buforuje instancjatory według clazz.getName() w ObjenesisBase.getInstantiatorOf(), klasy o tej samej nazwie kolidują, powodując zwracanie przez newInstance() obiektów niewłaściwej klasy i błędy ClassCastException.

W Kameleo do wersji 5.0.1.26 zidentyfikowano słabość w nieznanej części pliku /profiles komponentu Local API. Manipulacja powoduje ujawnienie informacji, a atak można przeprowadzić zdalnie.

W Kameleo do wersji 5.3.1 odkryto lukę w funkcji CookieController.ListCookies w pliku client-engine-application/w.cs komponentu Cookie Controller. Manipulacja argumentem guid prowadzi do ujawnienia informacji, a atak można wykonać zdalnie.

W Kameleo do wersji 5.0.1.26 wykryto lukę w funkcji InternalController.TestProxy w pliku client-engine-application/f.cs komponentu Proxy Validation. Manipulacja argumentami host/port może prowadzić do podatności server-side request forgery, a atak można zainicjować zdalnie.

W AllenAI AllenNLP do wersji 2.10.1 występuje luka w funkcji Registrable.resolve_class_name w pliku allennlp/common/registrable.py komponentu Registrable Configuration Machinery. Manipulacja argumentem Type prowadzi do wstrzyknięcia kodu, a atak można zainicjować zdalnie; exploit został publicznie ujawniony.

W JIZHICMS do wersji 2.5.6 wykryto lukę w funkcji Pay w pliku app/home/c/OrderController.php komponentu Front-end Order Handler. Manipulacja argumentem orderno prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie; exploit został publicznie ujawniony.

RosarioSIS przed wersją 12.9.2 zawiera lukę reflected cross-site scripting w modules/Food_Service/MenuReports.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać atrybuty przez nieescapowane parametry menu_id i modname. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku Modules.php, w którym menu_id w cudzysłowie wstrzykuje obsługę onmouseover, kradnąc tokeny sesji i CSRF.

MacCMS v10 do wersji 2026.1000.4056 zawiera lukę mass assignment w index/Comment::saveData(), która pozwala nieuwierzytelnionym atakującym ustawiać dowolne kolumny mac_comment, w tym user_id. Atakujący mogą przesyłać anonimowe komentarze ze spreparowanym parametrem user_id, przypisując je dowolnemu zarejestrowanemu członkowi i podszywając się pod niego.

Webasyst Framework do wersji 4.4.0 zawiera podatność na dowolne odczytanie plików w waArchiveTar::writeItem(), która tworzy dowiązania symboliczne z archiwów motywów bez walidacji celów tych dowiązań. Uwierzytelnieni użytkownicy z uprawnieniami do zarządzania motywami mogą przesłać motywy zawierające dowiązania do wa-config/db.php lub /etc/passwd i odczytać je poprzez publiczną ścieżkę motywu.

Webasyst Framework do wersji 4.4.0 zawiera podatność na przechowywany cross-site scripting w aplikacji Photos, która pozwala uwierzytelnionym użytkownikom backendu wstrzyknąć JavaScript poprzez parametr url albumu. Atakujący z uprawnieniami do edycji albumów mogą zapisać wartość url, która wydostaje się z nieescapowanego atrybutu w DialogAlbumSettings.html, wykonując JavaScript w sesjach backendowych administratorów.

Webasyst Framework do wersji 4.4.0 zawiera podatność na cross-site request forgery w aplikacji Photos, która pozwala zdalnym atakującym wykonywać akcje backendowe, ponieważ aplikacja nie włącza opcjonalnego sprawdzania CSRF frameworka. Atakujący mogą zwabić zalogowanych użytkowników Photos na złośliwą stronę, która wysyła sfałszowane żądania POST do photo/delete, album/save, photo/manageAccessSave lub photo/saveField, usuwając zdjęcia i zmieniając prawa dostępu.

Podatność na konflikt interpretacji w hackney_url w benoitc hackney pozwala na Server Side Request Forgery poprzez procentowo zakodowany dosłowny adres IPv6 w nawiasach lub dosłowny adres IP z końcową kropką. Host taki jak %5B%3A%3Affff%3A127%2E0%2E0%2E1%5D (dekodujący się do [::ffff:127.0.0.1]) lub 127.0.0.1. nie jest adresem IP dla listy dozwolonych wywołującego zbudowanej na uri_string:parse/1 i inet:parse_address/1, podczas gdy hackney łączy się z adresem, który oznacza. To samo dotyczy celu Location, gdy następuje przekierowanie.

W publicznym punkcie końcowym przesyłania formularzy (/form/submit) Mautic istnieje podatność na otwarte przekierowanie. Po przesłaniu formularza aplikacja przekierowuje odwiedzającego na adres zwrotny dostarczony wraz z przesłaniem, bez weryfikacji, czy wskazuje on na instancję Mautic lub inny zaufany host. Nieuwierzytelniony atakujący może to wykorzystać, aby wysłać odwiedzających z legalnej domeny Mautic na dowolną zewnętrzną stronę internetową, na przykład na strony phishingowe imitujące oryginalną stronę docelową lub na strony dostarczające złośliwe oprogramowanie. Dotyczy to każdej instancji Mautic z opublikowanym formularzem. Wykorzystanie wymaga, aby ofiara przesłała formularz przygotowany przez atakującego.

W API statystyk Mautic (/api/stats/{table}) istnieje podatność na złamanie kontroli dostępu. Punkt końcowy nie wymuszał uprawnień dla kilku wewnętrznych tabel: zamierzona restrykcja tylko dla administratora nigdy nie została zastosowana, a tabele bez jawnego mapowania uprawnień były domyślnie czytelne. W rezultacie każdy uwierzytelniony użytkownik API, w tym taki, którego rola nie przyznaje żadnych uprawnień, mógł odczytać dane z tych tabel, w tym dziennik audytu aplikacji z akcjami wykonywanymi przez wszystkich użytkowników i szczegółami zmian, które mogą zawierać dane osobowe kontaktów, przechowywane adresy IP odwiedzających i ich dane geolokalizacyjne oraz śledzone adresy URL przekierowań i ich mapowania kanałów.

W API zasobów Mautic istnieje podatność na path traversal. Podczas tworzenia lokalnego zasobu przez API dostarczona ścieżka pliku nie jest ograniczona do katalogu przesyłania zasobów. Uwierzytelniony użytkownik API z uprawnieniem do tworzenia zasobów może zarejestrować dowolny plik czytelny dla procesu serwera WWW jako zasób Mautic. Po opublikowaniu zasobu jego publiczny adres URL do pobrania udostępnia zawartość tego pliku bez uwierzytelnienia. Pozwala to atakującemu na odczyt dowolnych plików z serwera, w tym plików konfiguracyjnych Mautic zawierających hasło do bazy danych, klucz tajny i dane uwierzytelniające poczty (SMTP), a także plików systemowych i wszelkich innych plików czytelnych dla użytkownika serwera WWW. Ujawnione dane uwierzytelniające mogą być użyte do dostępu do bazy danych lub innych połączonych usług, a każdy, kto zna publiczny adres URL zasobu, może pobrać zawartość pliku.

Podatność na niespójną interpretację żądań HTTP ('HTTP Request/Response Smuggling') w czytniku treści chunked HTTP/1.1 w mtrudel bandit pozwala nieuwierzytelnionemu zdalnemu atakującemu na przemycenie drugiego żądania obok front-endowego proxy poprzez rozszerzenie chunka zawierające samo LF. Czytnik chunked w lib/bandit/http1/socket.ex traktuje linię rozmiaru chunka jako wszystko do pierwszego CRLF i odrzuca wszystko po ; bez sprawdzania zgodności z gramatyką chunk-ext RFC 9112, więc samo LF, samo CR i inne bajty kontrolne przechodzą. Proxy, które kończy linię rozmiaru na samym LF, odczytuje 2;\nxx\r\n40\r\n... jako jedno żądanie, którego drugi chunk zawiera GET /admin, podczas gdy Bandit kończy treść wcześniej i wysyła GET /admin jako osobne żądanie potokowe. Wdrożenia bez takiego proxy przed Bandit nie są dotknięte.

Podatność na niewystarczającą ochronę danych uwierzytelniających w hackney w benoitc hackney pozwala serwerowi przekierowującemu uzyskać dane uwierzytelniające basic_auth i cookie żądania poprzez przekierowanie na ten sam host na inny schemat lub port. Przy włączonym follow_redirect hackney:follow_redirect/10 w src/hackney.erl ponownie wysyła żądanie do celu Location po hackney:maybe_strip_auth_on_redirect/3, które porównywało tylko nazwę hosta bieżącego i przekierowującego URL. Przekierowanie z https na http na tym samym hoście ponownie wysyłało nagłówki Authorization i Cookie w postaci jawnej, gdzie atakujący na ścieżce może je odczytać, a przekierowanie na inny port na tym samym hoście przekazywało je innej usłudze. location_trusted przekazuje dane uwierzytelniające do dowolnego celu zgodnie z projektem i pozostaje bez zmian.

Podatność na egzekwowanie zabezpieczeń po stronie klienta zamiast serwera w obsłudze połączeń WebSocket w mtrudel bandit pozwala zdalnemu klientowi na dalsze uruchamianie kodu obsługi WebSock po zatrzymaniu połączenia przez serwer, poprzez ramki danych wysyłane po zignorowaniu ramki Close serwera. Gdy callback WebSock zwraca {:stop, ...}, Bandit.WebSocket.Connection wywołuje terminate/2, wysyła Close i zamyka stronę zapisu, ale utrzymuje proces połączenia w stanie :closing. handle_frame/3 i handle_info/3 nigdy nie sprawdzają tego stanu, więc późniejsze ramki nadal docierają do handle_in/2, a późniejsze wiadomości do handle_info/2, ze stanem z krotki stop, dopóki klient nie wyśle Close, TCP nie zostanie zerwane lub nie upłynie limit czasu bezczynności. Klient odrzucony w init/1 po nieudanym sprawdzeniu tokena mógłby nadal wykonać akcję tylko dla administratora.

W HaschekSolutions PictShare do wersji 3.7.1 wykryto podatność w funkcji architect w pliku src/inc/core.php w komponencie File Upload. Manipulacja powoduje warunek wyścigu (race condition), a atak można zainicjować zdalnie. Złożoność ataku oceniono jako wysoką, a wykorzystanie jako trudne; exploit został opublikowany i może być użyty.

W libimobiledevice do wersji 1.4.0 wykryto podatność w funkcji webinspector_receive_with_timeout w pliku src/webinspector.c w komponencie Web Inspector. Manipulacja prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow), a atak można przeprowadzić zdalnie. Exploit jest publiczny i może być użyty; dostawca nie odpowiedział na zgłoszenie.