Katalog podatności CVE

Concrete CMS poniżej 9.5.0 jest podatne na zmianę hasła bez ponownej autoryzacji oraz obejście wzmocnienia sesji. Kontroler edycji profilu użytkownika przekazuje cały surowy POST do UserInfo::update() bez białej listy pól, co umożliwia zmianę hasła bez podania bieżącego hasła oraz pozwala zarejestrowanym użytkownikom wyłączyć przypinanie IP na użytkownika w walidatorze sesji, które ma wykrywać przejęcie sesji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na Reflected XSS w Legacy Pagination poprzez wstrzyknięcie atrybutu HTML. Funkcja paginacji wstawia pole $URL bezpośrednio do atrybutu href, co pozwala uwierzytelnionemu administratorowi lub przeglądającemu raporty na wykonanie kodu JavaScript po kliknięciu spreparowanego linku.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieuwierzytelnione ujawnienie metadanych strony na każdej stronie z skonfigurowanym szablonem podsumowania, ujawniając istnienie prywatnych, roboczych i ograniczonych stron oraz wyciek tytułu, ścieżki, opisu i informacji o autorze.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/get_rating' potwierdza istnienie i zwraca ocenę dla dowolnej wiadomości na podstawie jej ID.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/message_page' zwraca pełną treść dowolnej wiadomości konwersacji. Nieuwierzytelniony atakujący może wyliczyć wszystkie wiadomości, w tym z ograniczonych stron, obszarów tylko dla członków i kolejki moderacji. Ujawniane są również załączniki plików z URL-ami do pobrania.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/message_detail' zwraca pełną treść dowolnej wiadomości konwersacji. Nieuwierzytelniony atakujący może wyliczyć wszystkie wiadomości, w tym z ograniczonych stron, obszarów tylko dla członków i kolejki moderacji. Ujawniane są również załączniki plików z URL-ami do pobrania.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR połączony z brakiem bramki uwierzytelniania. Endpoint '/ccm/system/dialogs/file/usage/{fID}' akceptuje identyfikator pliku w URL i zwraca dane o strukturze wewnętrznej witryny (ID stron, wersje, ścieżki URL) każdemu, kto wyśle żądanie GET.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na trwałe XSS poprzez stronę z linkiem zewnętrznym (cvName), ponieważ funkcja updateCollectionAliasExternal nie przeprowadza sanityzacji danych. Złośliwy edytor może wstrzyknąć kod JavaScript.

Concrete CMS w wersji 9.5.0 i niższych zawiera blok RSS Displayer, który akceptuje adres URL kanału od dowolnego edytora strony i pobiera go po stronie serwera bez walidacji. Umożliwia to obejście mechanizmów przekierowań do wewnętrznych zasobów.

W Concrete CMS 9.5.0 i wcześniejszych, obsługa kodu autoryzacyjnego OAuth 2.0 pomija status konta. Użytkownik z uIsActive=0 (zawieszony, zbanowany, zwolniony pracownik) może nadal uwierzytelniać się przez OAuth i otrzymywać ważne tokeny API.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w kontrolerach AddMessage i UpdateMessage przez parametr attachments[]. Brakuje w nich sprawdzania uprawnień do plików (canViewFile()), co pozwala użytkownikowi mogącemu publikować w dowolnej konwersacji na odwoływanie się do dowolnego pliku w menedżerze plików CMS po jego identyfikatorze, omijając system uprawnień.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieautoryzowane usuwanie plików z powodu odwróconej walidacji tokena CSRF w kontrolerze DeleteFile. Token CSRF jest odrzucany, gdy jest poprawny, a akceptowany, gdy jest nieprawidłowy, co umożliwia ataki CSRF na użytkowników z uprawnieniami do edycji wiadomości konwersacji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w bloku Express Entry Detail za pomocą parametru exEntryID. To IDOR prowadzi do nieautoryzowanego dostępu do wszystkich zgłoszeń formularzy Express.

W Concrete CMS w wersji 9.5.0 i starszych, metoda submit_password() w pliku concrete/controllers/single_page/download_file.php umożliwia nieautoryzowany dostęp do plików. Obejście sprawdzenia uprawnień view_file pozwala na pobieranie plików bez hasła oraz plików chronionych hasłem przez każdego użytkownika znającego hasło, niezależnie od posiadanych uprawnień.

Catalyst::Plugin::Authentication dla Perla w wersjach do 0.10024 jest podatny na ataki timingowe. Te wersje używają wbudowanego porównania eq w Perlu. Różnice w czasie mogą być wykorzystane do odgadnięcia hasha lub hasła.

Simple Hierarchical Select (SHS) dla Drupal 7 w wersjach od 7.x-1.0 do 7.x-1.10 zawiera podatność na Cross-Site Scripting (XSS) z powodu nieprawidłowego kodowania tekstu pochodzącego z terminów taksonomii. Dotknięte ścieżki to shs_field_formatter_view i shs_term_get_children. Złośliwe nazwy terminów taksonomii mogą być renderowane niebezpiecznie w zależności od kontekstu wyjścia.

W module Term Reference Tree dla Drupala 7 występują dwa wektory XSS (przechowywane) w potoku renderowania widgetu/formattera. Wektor A: gdy włączony jest moduł Token i skonfigurowane są szablony wyświetlania tokenów, dane wyjściowe tokenów kontrolowane przez atakującego (np. opis terminu) są renderowane bez odpowiedniego oczyszczania. Wektor B: etykiety terminów taksonomii nie są odpowiednio oczyszczane przed renderowaniem w widżecie, co pozwala użytkownikowi z uprawnieniami do tworzenia/edycji terminów na wstrzyknięcie skryptów. Podatność dotyczy wersji 7.x-1.x do 7.x-1.11 włącznie.

Webmin przed wersją 2.641 zawiera podatność na przechowywany XSS w polu opisu szablonu e-mail w module System and Server Status. Niskouprzywilejowani uwierzytelnieni atakujący mogą wykonać dowolny JavaScript w kontekście przeglądarki administratorów poprzez wstrzyknięcie nieoczyszczonych danych wejściowych przechowywanych w save_tmpl.cgi i renderowanych bez escapowania w list_tmpls.cgi.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na obejście autoryzacji w bloku kalendarza. Funkcja action_get_events nie sprawdza uprawnienia canView na kalendarzu, co prowadzi do ujawnienia szczegółów ograniczonych wydarzeń.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na ominięcie autoryzacji w oknie dialogowym zdarzeń kalendarza. Pozwala to na ujawnienie danych między kalendarzami, gdzie publiczny blok kalendarza może być użyty jako punkt dostępu do prywatnych danych kalendarza.