Katalog podatności CVE

W systemie dameng100 muucmf w wersji 1.9.5.20260309 zidentyfikowano lukę w funkcji getListByPage w pliku /index/Search/index.html. Manipulacja argumentem keyword może prowadzić do ataku typu SQL injection, który może być przeprowadzony zdalnie.

Wykryto podatność w H3C Magic B0 do wersji 100R002, która dotyczy funkcji Edit_BasicSSID w pliku /goform/aspForm. Manipulacja argumentem param prowadzi do przepełnienia bufora, co może być wykorzystane zdalnie.

Użytkownicy interfejsu użytkownika lub API z uprawnieniami do materializacji zasobów mogli uruchamiać DAGi, do których nie mieli dostępu. Problem ten występuje w wersjach wcześniejszych niż 3.2.0.

W przypadku błędów SQL, wyjątek/ślad stosu błędów był ujawniany w API, nawet jeśli opcja 'api/expose_stack_traces' była ustawiona na false. Może to prowadzić do ujawnienia dodatkowych informacji potencjalnemu atakującemu.

Dokumentacja Airflow zawiera przykład użycia BashOperator, który sugeruje sposób przekazywania dag_run.conf, co może prowadzić do wykorzystania niesanitarnych danych wejściowych od użytkownika do eskalacji uprawnień użytkownika interfejsu UI, umożliwiając wykonanie kodu na pracowniku. Użytkownicy powinni sprawdzić, czy ich własne DAGi nie przyjęły tej niepoprawnej porady.

Autorzy Dagów, którzy normalnie nie powinni mieć możliwości wykonywania kodu w kontekście serwera WWW, mogą stworzyć ładunek XCom, który spowoduje wykonanie dowolnego kodu przez serwer. Ponieważ autorzy Dagów są już wysoko zaufani, powaga tego problemu jest niska.

Wtyczka CMP – Coming Soon & Maintenance od NiteoThemes dla WordPressa jest podatna na nieautoryzowane przesyłanie plików oraz zdalne wykonywanie kodu we wszystkich wersjach do i włącznie z 4.1.16. Problem wynika z niewłaściwej weryfikacji uprawnień oraz braku odpowiedniej walidacji przesyłanych plików.

editorconfig-core-c do wersji 0.12.10 ma przepełnienie bufora na stosie w funkcji ec_glob(), które pozwala atakującemu na awarię aplikacji używającej libeditorconfig poprzez spreparowaną strukturę katalogów i plik .editorconfig. Jest to niekompletna poprawka CVE-2023-0341; bufor pcre_str był chroniony, ale sąsiedni bufor l_pattern[8194] nie.

Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach przed 2.21.6 występuje luka, która pozwala uwierzytelnionym użytkownikom na przesyłanie dowolnych plików HTML, SVG lub innych typów plików wykonywalnych na serwer, poprzez fałszowanie nagłówka `Content-Type`. To umożliwia ataki typu Stored Cross-Site Scripting (XSS).

Emissary to oparty na P2P silnik workflow, który w wersjach 8.42.0 i wcześniejszych jest podatny na wstrzykiwanie poleceń systemowych w metodzie Executrix.getCommand(). Problem wynika z interpolacji ścieżek do plików tymczasowych w poleceniu powłoki /bin/sh -c bez odpowiedniego walidowania lub eskapowania danych wejściowych.

Movary to aplikacja webowa do śledzenia i oceniania filmów. W wersjach przed 0.71.1, uwierzytelniony użytkownik mógł uzyskać dostęp do punktów końcowych zarządzania użytkownikami `/settings/users`, co pozwalało na enumerację wszystkich użytkowników oraz tworzenie nowych kont administratorów.

SecureDrop Client to aplikacja desktopowa dla dziennikarzy, która umożliwia bezpieczną komunikację ze źródłami i obsługę zgłoszeń. W wersjach 0.17.4 i poniżej, skompromitowany SecureDrop Server może uzyskać wykonanie kodu na maszynie wirtualnej Klienta poprzez wykorzystanie niewłaściwej walidacji nazw plików podczas ekstrakcji archiwów gzip, co pozwala na nadpisywanie krytycznych plików, takich jak baza danych SQLite.

ChurchCRM to system zarządzania kościołem typu open-source. W wersjach przed 7.2.0, punkt końcowy usuwania rekordów rodzinnych (SelectDelete.php) umożliwia trwałe usunięcie rekordów rodzinnych oraz wszystkich powiązanych danych za pomocą zwykłego żądania GET bez walidacji tokenu CSRF.

ChurchCRM przed wersją 7.2.0 ma podatność SQL Injection w funkcji FinancialService::getMemberByScanString() z powodu niesanityzowanego parametru $routeAndAccount sklejanego z surowym SQL. Problem został naprawiony w wersji 7.2.0.

ChurchCRM przed wersją 7.2.0 ma podatność związaną z brakiem autoryzacji na poziomie obiektów w punkcie końcowym GET /api/person/{personId}. Każdy uwierzytelniony użytkownik z uprawnieniami EditSelf może wyliczać i czytać rekordy innych członków, ujawniając wrażliwe dane osobowe, takie jak imiona, adresy, numery telefonów i adresy e-mail.

Movary to samodzielnie hostowana aplikacja webowa do śledzenia i oceniania filmów. Przed wersją 0.71.1, zwykły uwierzytelniony użytkownik mógł podnieść swoje uprawnienia do administratora, wysyłając `isAdmin=true` do `PUT /settings/users/{userId}` dla swojego identyfikatora użytkownika.

Movary to samodzielnie hostowana aplikacja webowa do śledzenia i oceniania filmów. W wersjach przed 0.71.1, uwierzytelniony użytkownik mógł wywołać żądania serwera do dowolnych wewnętrznych celów poprzez `POST /settings/jellyfin/server-url-verify`, co prowadzi do możliwości nadużyć związanych z SSRF.

SP1 to maszyna wirtualna zero-knowledge, która potwierdza poprawne wykonanie programów skompilowanych dla architektury RISC-V. W wersjach 6.0.0 do 6.0.2 występuje podatność na poprawność w weryfikatorze rekurencyjnych shardów, co pozwala złośliwemu proverowi skonstruować rekurencyjny dowód z dowodu shard, który zostałby odrzucony przez natywny weryfikator.

Wtyczka Easy Appointments dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 3.12.21 poprzez punkt końcowy REST API `/wp-json/wp/v2/eablocks/ea_appointments/`. Problem wynika z braku wymagań dotyczących uwierzytelnienia, co pozwala na dostęp do danych klientów bez autoryzacji.

Aplikacja monetr do budżetowania wydatków cyklicznych w wersjach 1.12.3 i poniżej ma problem z publicznym punktem końcowym webhooka Stripe, który buforuje cały body żądania w pamięci przed walidacją podpisu Stripe. Zdalny, nieautoryzowany atakujący może wysłać zbyt duże ładunki POST, co prowadzi do niekontrolowanego wzrostu pamięci i może spowodować odmowę usługi.