Katalog podatności CVE

Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.

W bibliotece popt wykryto podatność polegającą na niedomiarze liczby całkowitej podczas formatowania tekstu pomocy dla tabel opcji szerszych niż szerokość terminala. Lokalny użytkownik, który może spowodować wydrukowanie pomocy w takich warunkach, może doprowadzić do awarii aplikacji lub braku wyświetlenia pomocy, co skutkuje odmową usługi.

Jenkins Webhook Secret Credentials Provider Plugin 16.v0cfa_f0215cf5 i wcześniejsze nie używa funkcji porównania w stałym czasie podczas sprawdzania, czy podany i oczekiwany token bearer webhooka są równe, co potencjalnie pozwala atakującym na użycie metod statystycznych do uzyskania prawidłowego tokena bearer webhooka.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie ogranicza typów obiektów, które mogą być tworzone w ramach konfiguracji strategii nazewnictwa projektów. Atakujący z uprawnieniem Overall/Manage może tworzyć dowolne typy związane z konfiguracją, w tym te przeznaczone tylko dla administratorów.

Electron to framework do tworzenia aplikacji desktopowych. Przed wersjami 39.8.8, 40.9.0, 41.2.1 i 42.0.0-beta.3 natywny popup autofill mógł być pozycjonowany przez iframe z innego pochodzenia poza granicami tego iframe, nad interfejsem strony osadzającej, co umożliwiało clickjacking lub podszywanie się pod zaufany interfejs. Aplikacje są dotknięte tylko wtedy, gdy osadzają niezaufane treści w iframe w oknach, które również wyświetlają zaufany interfejs. Aplikacje, które nie osadzają niezaufanych treści, nie są dotknięte.

Electron to framework do tworzenia aplikacji desktopowych. Przed wersjami 39.8.10, 40.9.0, 41.2.1 i 42.0.0-beta.3 dane ramek renderowania offscreen otrzymywane z procesu GPU nie były w pełni weryfikowane przez proces główny. Złamany proces GPU mógł spowodować odczyt poza zakresem pamięci przez proces główny podczas tworzenia obrazów zdarzeń malowania, ujawniając pamięć lub powodując awarię aplikacji.

IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych 26.0.0, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 007 oraz 24.0.0 do 24.0.0 Interim Fix 009 nie weryfikuje poprawnie, czy nazwa hosta pasuje do certyfikatu serwera, co potencjalnie pozwala na połączenia z serwerem kontrolowanym przez atakującego.

Kong Event Gateway w wersjach 1.0.0 do 1.1.1 oraz 1.2.0 nie wymusza rotacji kluczy przed osiągnięciem zalecanego limitu użycia dla kluczy szyfrowania AES-GCM z losowymi nonce, gdy włączona jest funkcja szyfrowania AWS IAM. Jeśli producent wysyła wiadomości ze stałą wysoką szybkością bez rotacji kluczy, która następuje tylko przy ponownym uruchomieniu instancji Kong Event Gateway, prawdopodobieństwo kolizji nonce staje się niezaniedbywalne. Autoryzowany konsument, który wykryje kolizję nonce, może odzyskać części plaintextu z dotkniętych wiadomości. Nowe wersje 1.1.2 i 1.2.1 wymuszają automatyczną rotację kluczy przed osiągnięciem zalecanego limitu.

Aplikacja ZTE Smart Life zawiera podatność na wstrzykiwanie SQL, która pozwala atakującym na wykonanie zapytań UNION SELECT w celu odczytania wrażliwych danych z bazy feedback.db, w tym kont użytkowników, numerów telefonów, treści opinii i ścieżek logów debugowania, co umożliwia kradzież lokalnych danych prywatnych.

Wtyczka DHL Shipping Germany dla WooCommerce przed wersją 4.0.1 nie chroni katalogu przechowywania etykiet wysyłkowych za pomocą kontroli dostępu niezależnej od serwera, polegając wyłącznie na pliku .htaccess Apache. Na serwerach nie honorujących .htaccess (np. nginx) nieuwierzytelniony odwiedzający może pobrać zapisane etykiety (zawierające imię i adres klienta), żądając przewidywalnych nazw plików.

Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.

Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).

W epsilla-cloud vectordb do wersji 0.3.18/df5a5f5afb85a2376a0f2f316c79dea9b2c6ac7a znaleziono podatność w funkcji SplitTokens/ShuntingYard w pliku engine/query/expr/expr.cpp komponentu Filter Parser. Manipulacja prowadzi do niewłaściwego sprawdzania nietypowych warunków. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.

Open WebUI w wersjach od 0.9.6 do 0.11.0 umożliwia uwierzytelnionemu użytkownikowi anulowanie zadań (np. generowania odpowiedzi modelu) innego użytkownika, znając jego identyfikator czatu. Dzieje się tak, ponieważ operacja usuwania czatu anuluje zadania przed sprawdzeniem uprawnień do usunięcia. Luka została naprawiona w wersji 0.11.0.

Podatność dotycząca tworzenia plików tymczasowych w wersji Linux Lenovo XClarity Essentials OneCLI 5.5.0 i niższych może pozwolić lokalnemu atakującemu o niskich uprawnieniach na nadpisanie lub obcięcie dowolnych plików lokalnych danymi generowanymi przez program, gdy OneCLI jest uruchamiany z podwyższonymi uprawnieniami.

W Systerel S2OPC do wersji 1.7.3 wykryto słabość w funkcji LockedStaMac_ProcessMsg_DeleteMonitoredItemsResponse w pliku src/ClientServer/frontend/client_wrapper/internal/state_machine.c komponentu DeleteMonitoredItemsRequest Handler. Manipulacja powoduje odczyt poza zakresem pamięci. Atak może być wykonany tylko lokalnie, a exploit został publicznie udostępniony.

Podatność Cross-Site Request Forgery w module Oidcc.Plug.AuthorizationCallback biblioteki oidcc_plug. Atakujący może sprawić, że przeglądarka ofiary zakończy przepływ autoryzacji, którego ofiara nie inicjowała, co prowadzi do zalogowania ofiary na konto atakującego.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nieprawidłowo weryfikuje autoryzację na modyfikowanym obiekcie przed aktualizacją metadanych typu szablonu, walidując parametr żądania inny niż ten używany w operacji zapisu. Pozwala to użytkownikom z uprawnieniami Współautora i wyżej na zmianę przypisania typu szablonu dla szablonów należących do innych użytkowników.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nie ogranicza prawidłowo, kto może modyfikować globalne dane projektowe witryny, oraz nie sanitizuje części tych danych przed ich wyświetleniem. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami Autora i wyżej przechowywanie dowolnego JavaScriptu, który jest następnie serwowany bez sanitizacji na stronach front-end i wykonuje się w przeglądarce każdego odwiedzającego, w tym administratorów.