Katalog podatności CVE

Brak autoryzacji w HCL BigFix WebUI umożliwia uwierzytelnionemu użytkownikowi bez odpowiednich uprawnień dostęp do poufnych informacji środowiskowych poprzez bezpośrednie użycie adresu URL nieautoryzowanej strony.

W HCL BigFix WebUI występuje podatność na nieprawidłową autoryzację, która umożliwia uwierzytelnionemu użytkownikowi bez uprawnień Master Operator dostęp do wewnętrznych danych (nazwy witryn, wersje, zmienne konfiguracyjne) poprzez niechronione endpointy pozbawione odpowiednich nagłówków bezpieczeństwa.

Gibbon przed wersją 30.0.01 zawiera podatność typu path traversal, która może prowadzić do ataku DoS poprzez próbę ekstrakcji plików PHP. Nieudana ekstrakcja .zip powoduje usunięcie pliku i stan DoS. Wymagane są uprawnienia nauczyciela lub wyższe.

Argo Workflows w wersjach od 4.0.0 do przed 4.0.5 rejestruje w postaci jawnego tekstu wszystkie poświadczenia repozytoriów artefaktów (klucze dostępu S3, klucze tajne, klucze konta usługi GCS, klucze konta Azure, hasła Git itp.) podczas operacji na artefaktach. Każdy użytkownik mający dostęp do odczytu logów podów workflow może wyodrębnić te poświadczenia. Problem został naprawiony w wersji 4.0.5.

Argo Workflows w wersjach od 4.0.0 do 4.0.5 ma podatność na dereferencję wskaźnika null w funkcji rbacAuthorization() w pliku server/auth/gatekeeper.go. Powoduje to panikę (odmowę usługi) dla użytkowników SSO, których dane pasują do reguły RBAC na poziomie przestrzeni nazw, ale nie do reguły SSO-namespace, gdy włączona jest opcja SSO_DELEGATE_RBAC_TO_NAMESPACE=true.

Kirby CMS przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień użytkownika przy tworzeniu, zastępowaniu i usuwaniu awatarów. Każdy użytkownik może modyfikować awatary innych, nawet bez odpowiednich uprawnień.

W Kirby (system zarządzania treścią) w wersjach przed 4.9.0 i 5.4.0, uprawnienia `pages.access/list` i `files.access/list` nie są konsekwentnie sprawdzane w Panelu i REST API.

Kirby przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień przy odczycie informacji o witrynie, użytkownikach i rolach, co pozwala nieautoryzowanym użytkownikom na dostęp do tych danych.

Kirby to system zarządzania treścią open-source. Przed wersjami 4.9.0 i 5.4.0 punkt końcowy API systemu ujawniał dane licencji i zainstalowaną wersję uwierzytelnionym użytkownikom. Problem został naprawiony w wersjach 4.9.0 i 5.4.0.

Wtyczka LatePoint dla WordPressa do wersji 5.5.0 włącznie jest podatna na przejęcie konta poprzez słaby mechanizm odzyskiwania hasła w niezautoryzowanym przepływie rezerwacji gościa. Funkcja save_connected_wordpress_user() propaguje adres e-mail klienta LatePoint do powiązanego konta WordPress bez weryfikacji własności, a przepływ rezerwacji gościa umożliwia nadpisanie istniejącego adresu e-mail klienta przez scalanie oparte na telefonie bez uwierzytelniania.

PgBouncer przed wersją 1.25.2 nie przeprowadzał odpowiedniej kontroli autoryzacji dla polecenia administracyjnego KILL_CLIENT. Każdy użytkownik z dostępem do konsoli administracyjnej mógł je wykonać, zamiast tylko użytkownicy z listy admin_users.

W PgBouncer przed wersją 1.25.2 istnieje możliwość wywołania awarii poprzez odwołanie do pustego wskaźnika. Dzieje się tak, gdy serwer wyśle odpowiedź błędu bez pola SQLSTATE.

W edytorze Vim przed wersją 9.2.0450 występuje przepełnienie sterty w funkcji read_compound() w pliku src/spellfile.c podczas ładowania spreparowanego pliku słownika (.spl) z aktywnym kodowaniem UTF-8. Pole długości w sekcji związków pliku słownika powoduje przepełnienie 32-bitowego mnożenia liczb całkowitych ze znakiem, co prowadzi do alokacji małego bufora dla pętli zapisu wykonującej wiele iteracji, przepełniając stertę. Ponieważ opcję 'spelllang' można ustawić z modeliny, modelina w pliku tekstowym może wywołać ładowanie pliku słownika, jeśli złośliwy plik .spl został umieszczony w runtimepath.

W Vim przed wersją 9.2.0435 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w uzupełnianiu linii poleceń :find. Gdy opcja path zawiera polecenia shell w apostrofach odwróconych, są one wykonywane podczas uzupełniania nazw plików. Ponieważ opcja path nie ma flagi P_SECURE, może być ustawiona z modeline, co pozwala atakującemu na wykonanie dowolnych poleceń po otwarciu pliku i wywołaniu uzupełniania :find.

FastGPT przed wersją 4.14.17 ma niespójną ochronę SSRF w obsłudze URL-i narzędzi MCP. Endpointy podglądu/wykonania MCP odrzucają wewnętrzne URL-e, ale endpointy tworzenia/aktualizacji MCP mogą zapisać wewnętrzny URL, który później jest używany bez ponownej walidacji.

Podatność IDOR w AnythingLLM przed wersją 1.12.1 umożliwia uwierzytelnionemu użytkownikowi dostęp do odpowiedzi asystenta innego użytkownika w formie audio. Endpoint GET /api/workspace/:slug/tts/:chatId nie sprawdza własności czatu, tylko członkostwa w przestrzeni roboczej.

Grimmory, samodzielnie hostowana biblioteka cyfrowa, przed wersją 2.3.1 zawiera podatność na trwałe cross-site scripting (XSS) w czytniku EPUB opartym na przeglądarce. Pozwala to atakującemu na osadzenie dowolnego JavaScript w spreparowanym pliku EPUB. Gdy ofiara otworzy książkę, skrypt wykonuje się w jej przeglądarce z pełnym dostępem do kontekstu sesji aplikacji Grimmory. Może to umożliwić kradzież tokena sesji i przejęcie konta, w tym dostęp administracyjny, jeśli administrator otworzy zainfekowaną książkę. Podatność została załatana w wersji 2.3.1.

Kargo przed wersjami 1.7.10, 1.8.13, 1.9.8 i 1.10.2 jest podatny na otwarte przekierowanie w przepływie logowania OIDC przez parametr 'redirectTo' w interfejsie użytkownika.

Postiz to narzędzie do planowania postów w mediach społecznościowych oparte na AI. W wersjach od 2.16.6 do 2.21.6 zabezpieczenia SSRF mają podatność TOCTOU: funkcja isSafePublicHttpsUrl() rozwiązuje DNS w celu walidacji IP, ale późniejsze wywołania fetch() rozwiązują DNS niezależnie. Atakujący kontrolujący serwer DNS może wykorzystać tę lukę przez DNS rebinding, przekierowując żądania do wewnętrznych adresów sieciowych. Problem został naprawiony w wersji 2.21.7.

FastGPT w wersjach do 4.14.11 jest podatny na atak DNS rebinding (TOCTOU) w funkcji isInternalAddress(). Funkcja sprawdza adres IP przed żądaniem HTTP, ale nowa rozdzielczość DNS podczas żądania może zwrócić inny adres, omijając walidację. Brak publicznie dostępnych poprawek.