Katalog podatności CVE

W SoupServer (libsoup) wykryto lukę. Gdy klient HTTP/1.x wysyła żądanie z nagłówkiem Expect: 100-continue i ciałem żądania, a SoupServer zwraca wczesną finalną odpowiedź (nie-1xx) przed odczytaniem ciała, serwer nie opróżnia zadeklarowanych bajtów ciała ani nie zamyka połączenia. W połączeniu keep-alive pozostałe bajty są interpretowane jako kolejne żądanie HTTP.

Wtyczka Ultimate Maps firmy Supsystic w wersjach do 1.5.5 zawiera podatność typu Broken Access Control, która nie wymaga uwierzytelnienia. Nieuwierzytelniony atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu.

Podatność PHP Object Injection w wtyczce Extra Product Options For WooCommerce | Custom Product Addons and Fields w wersjach do 3.3.8. Wymaga uprawnień shop managera.

Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w wtyczce JetFormBuilder w wersjach do 3.6.5.4. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

Podatność PHP Object Injection w wtyczce Photo Gallery by 10Web w wersjach do 1.8.46. Wymaga uprawnień kontrybutora.

Podatność Cross Site Scripting (XSS) w wtyczce Branda w wersjach do 3.4.32. Wymaga uprawnień subskrybenta.

Wtyczka Optimole do WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.2.14 włącznie.

Podatność na wstrzyknięcie obiektów PHP (PHP Object Injection) w wtyczce Nested Pages w wersjach do 3.3.2. Umożliwia atakującemu wstrzyknięcie złośliwych obiektów PHP.

Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w wtyczce Post and Page Builder by BoldGrid w wersjach do 1.27.14. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

W kamerach PTZOptics oraz narzędziu Firmware Upgrade Tool brakuje uwierzytelniania dla krytycznej funkcji aktualizacji oprogramowania. Nieuwierzytelniony użytkownik może zainstalować zmodyfikowane oprogramowanie na urządzeniu bez poświadczeń administratora. Podatność dotyczy wielu modeli kamer i wszystkich wersji narzędzia do aktualizacji.

W Tugtainer przed wersją 1.30.6 uwierzytelniony użytkownik może spowodować, że serwer backend wyśle zewnętrzne żądania HTTP na dowolne adresy URL podane przez użytkownika za pośrednictwem punktu końcowego testowania powiadomień. Punkt /settings/test_notification przyjmuje pole urls i przekazuje je bezpośrednio do Apprise bez ograniczeń protokołów, nazw hostów, adresów localhost, prywatnych zakresów IP ani adresów metadanych chmury. Może to być wykorzystane jako uwierzytelnione ślepe SSRF.

W Tugtainer Agent przed wersją 1.30.4, gdy AGENT_SECRET nie jest skonfigurowany, dostęp do API zarządzania Dockerem jest możliwy bez uwierzytelnienia. Funkcja weryfikacji podpisu w agent/auth.py zwraca sukces, jeśli Config.AGENT_SECRET jest pusty, co powoduje, że chronione API stają się dostępne bez uwierzytelnienia.

W Tugtainer przed wersją 1.30.3 uwierzytelnianie OIDC może być inicjowane nawet gdy OIDC_ENABLED=false. Punkt końcowy /auth/oidc/enabled poprawnie informuje, że OIDC jest wyłączone, ale bezpośrednie żądanie do /auth/oidc/login nadal uruchamia proces logowania OIDC, zwraca HTTP 302, ustawia ciasteczko oidc_state i przekierowuje użytkownika do skonfigurowanego punktu autoryzacji OIDC. To omija wyłącznik OIDC.

CloudTAK w wersjach przed 13.10.0 zawiera podatność SSRF (Server-Side Request Forgery) w rodzinie tras ESRI (api/routes/esri.ts). Wszystkie te trasy przyjmują kontrolowany przez atakującego adres URL i wykonują na niego żądanie bez jakiejkolwiek walidacji, czy nie wskazuje on na adresy prywatne, loopback lub link-local. Każdy uwierzytelniony użytkownik może zmusić serwer CloudTAK do wysyłania żądań do wewnętrznych zasobów, a odpowiedzi są zwracane do atakującego.

W Soft Machine w wersjach 0.2.247 i wcześniejszych dwie funkcje pomocnicze w /app/server.js — verifyContainerAuth() i authenticateWorkspaceHttp() — akceptują globalny CONTAINER_SHARED_SECRET jako token bearer bez weryfikacji, do którego workspace należy wywołujący. Ponieważ ten sekret jest ustawiony identycznie na każdym kontenerze w aplikacji Fly i jest dostępny w środowisku procesów widocznym dla użytkownika, każdy najemca może użyć go do uwierzytelnienia w API workspace innego najemcy. Skutkuje to dostępem do operacji odczytu, zapisu i niszczącego przywracania między workspace'ami.

Soft Machine to środowisko deweloperskie oparte na maszynach wirtualnych. W wersjach 0.2.247 i wcześniejszych usługa HTTP nasłuchująca na 0.0.0.0:8080 wewnątrz maszyn sm-ws-* udostępnia endpointy (/health, /file/<path>, /archive/<dir>) bez uwierzytelniania i weryfikacji pochodzenia. Każdy host mogący połączyć się z TCP/8080 może odczytać dowolne pliki i pobrać całe drzewa projektów jako archiwa tar. W momencie publikacji nie są znane publiczne poprawki.

W Pythonie funkcja ssl.SSLContext.wrap_bio() nie wymagała, aby argument server_hostname był różny od None, gdy ustawiono ssl.SSLContext.check_hostname. Z powodu braku sprawdzenia parametru w SSLObject, jeśli server_hostname nie został podany, weryfikacja nazwy hosta była po cicho pomijana. Może to prowadzić do sytuacji, w której weryfikacja certyfikatu wydaje się działać przy check_hostname = True, mimo błędnej konfiguracji.

Zdalny, nieuwierzytelniony klient TLS może spowodować awarię serwera lub wywołanie przez zwolniony wskaźnik, jeśli jego sni_callback przypisze inny kontekst do SSLSocket.context (udokumentowany sposób wyboru certyfikatu per nazwa serwera) i nic innego nie utrzymuje oryginalnego ssl.SSLContext przy życiu. Typowe przypadki to serwery tworzące SSLContext na połączenie lub zastępujące go, gdy połączenia są otwarte; serwery, które opakowują nim gniazdo nasłuchujące, nie są dotknięte. Obejście: trzymaj referencję do każdego SSLContext, który ustawia sni_callback, przez cały czas życia serwera. Klienci TLS nie są dotknięci.

Podatność Stored XSS w rozszerzeniu WikiForum dla MediaWiki. Niewłaściwe neutralizowanie tagów HTML związanych ze skryptami pozwala na trwałe wstrzyknięcie skryptu. Dotyczy wersji master.

Podatność XSS w rozszerzeniu Collection (Book) dla MediaWiki. Niewłaściwe neutralizowanie tagów HTML pozwala na atak XSS wymierzony w elementy nieskryptowe. Dotyczy wersji 1.46, 1.45 i 1.43.