Katalog podatności CVE

W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanym przetwarzaniu pliku /api/ZRQos/set_online_client. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Nginx Proxy Manager do wersji 2.16.0 nie ogranicza pola advanced_config wyłącznie do administratorów, co pozwala użytkownikom bez uprawnień administracyjnych, ale z uprawnieniami do zarządzania, wstrzykiwać dowolne dyrektywy nginx. Atakujący mogą wstrzyknąć złośliwą konfigurację nginx, taką jak dyrektywy alias, aby udostępniać dowolne pliki lub kontrolować routing dla przypisanych im hostów.

Nginx Proxy Manager do wersji 2.16.0 nie stosuje ograniczania szybkości na punktach końcowych uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na nieograniczone zgadywanie haseł dla dowolnego konta. Atakujący mogą brute-force'ować dane logowania przez POST /api/tokens, a następnie zgadywać kody TOTP przez POST /api/tokens/2fa, aby uzyskać pełny dostęp sesyjny i kontrolę administracyjną.

httpdbg w wersjach przed 2.2.1 nie weryfikuje schematów URL w zapisanych adresach żądań HTTP wyświetlanych jako klikalne linki w interfejsie webowym. Atakujący kontrolujący ruch rejestrowany przez httpdbg może dostarczyć adresy URL ze schematem javascript:, które po kliknięciu wykonują złośliwe skrypty w kontekście aplikacji, umożliwiając dostęp do przechwyconych danych żądań i odpowiedzi, w tym nagłówków i tokenów.

Dozzle w wersjach przed 11.1.2 nie sanityzuje nazw wyświetlanych kontenerów podczas tworzenia nazw wpisów archiwum ZIP w punkcie końcowym pobierania logów. Atakujący mogący nadawać etykiety kontenerom może użyć sekwencji przejścia ścieżki, aby zapisać pliki poza katalogiem rozpakowania, gdy użytkownicy pobierają i rozpakowują logi.

Podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanego kodu w pliku /api/ZRQos/set_online_client. Manipulacja argumentem ip prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wada w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanej części pliku /api/ZRnetwork/firstSetup_wifi. Manipulacja argumentem login_pwd prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.

Wykryto podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0, dotyczącą nieznanej funkcjonalności pliku /api/ZRnetwork/firstLogin. Manipulacja argumentem firstLogin prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

ZoneMinder w wersjach przed 1.38.4 nie stosuje ograniczeń dostępu dla poszczególnych monitorów w punkcie końcowym indeksu FramesController. Uwierzytelnieni użytkownicy z uprawnieniem do przeglądania zdarzeń mogą wywołać API ramek, aby wyświetlić rekordy ramek z monitorów, do których dostęp jest zabroniony, ujawniając metadane zdarzeń i ramek poza granicami monitorów.

ZoneMinder w wersjach przed 1.38.4 zawiera podatności przepełnienia bufora statycznego w funkcji RemoteCameraHttp::GetResponse(), które pozwalają złośliwym kamerom HTTP lub atakującym przechwytującym ruch na przepełnienie buforów o stałym rozmiarze poprzez wysyłanie zbyt dużych nagłówków odpowiedzi. Atakujący mogą wysyłać spreparowane odpowiedzi HTTP z nadmiernie długimi komunikatami statusu, nagłówkami Connection, wartościami Content-Type lub granicami multipart, aby uszkodzić stan parsera i spowodować awarię procesu przechwytywania lub uszkodzenie pamięci.

Nest to framework do budowania skalowalnych aplikacji serwerowych Node.js. W wersjach przed 11.2.4 i 12.0.2 pojedyncza wiadomość z głęboko zagnieżdżonym obiektem w swoim wzorcu może zakończyć działanie mikrousługi NestJS korzystającej z transportu TCP lub RabbitMQ. Metody ServerTCP#handleMessage i ServerRMQ#handleMessage przekazują kontrolowany przez klienta wzorzec niebędący ciągiem znaków do JSON.stringify w celu wyznaczenia klucza wyszukiwania handlera; wystarczająco głębokie zagnieżdżenie powoduje wyjątek RangeError: Maximum call stack size exceeded, a nieobsłużone odrzucenie obietnicy kończy proces Node.js zgodnie z domyślnym zachowaniem. Atakujący, który może dotrzeć do portu TCP lub opublikować w konsumowanej kolejce lub wymianie RabbitMQ, może na żądanie spowodować awarię usługi; inne transporty nie są dotknięte, ponieważ ich wzorce przychodzą jako ciągi znaków. Problem został naprawiony w wersjach 11.2.4 i 12.0.2.

W FastStone Image Viewer do wersji 8.3 wykryto podatność w nieznanej funkcji komponentu PCX Decoder. Manipulacja powoduje odczyt poza zakresem. Atak może być zainicjowany zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W FastStone Image Viewer do wersji 8.3 znaleziono podatność mającą wpływ na nieznaną funkcję pliku FSViewer.exe komponentu TGA Image Handler. Manipulacja powoduje odczyt poza zakresem. Atak może być przeprowadzony zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W FastStone Image Viewer do wersji 8.3 znaleziono podatność w nieznanej funkcji komponentu 1bpp RLE Decoder. Manipulacja prowadzi do zapisu poza zakresem. Atak może być zainicjowany zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W FastStone Image Viewer do wersji 8.3 znaleziono wadę. Dotyczy ona nieznanej funkcji komponentu TGA Image Handler. Wykonanie manipulacji może prowadzić do zapisu poza zakresem. Możliwe jest zdalne przeprowadzenie ataku. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Wykryto lukę w zabezpieczeniach w Netcore POWER13 2.0.240730.162638. Problem dotyczy funkcji routerd.passwd_set w pliku /ubus. Manipulacja prowadzi do słabego odzyskiwania hasła. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Cotonti do wersji 1.0.0 zawiera podatność cross-site request forgery w pliku admin.users.php, która pozwala atakującym usuwać grupy użytkowników bez weryfikacji tokena. Atakujący mogą tworzyć złośliwe linki lub strony, które nakłaniają uwierzytelnionych administratorów do usunięcia niestandardowych grup i powiązanych uprawnień poprzez wykorzystanie sesji administratora.

W wersjach SiYuan przed v3.8.4 endpoint getCurrentAttrViewImages nie egzekwuje sprawdzania uprawnień publikacji, co pozwala czytelnikom publikacji pobierać ścieżki do zasobów obrazów z nieautoryzowanych baz danych. Atakujący może wywołać ten endpoint z identyfikatorem nierenderowanej bazy uzyskanym przez powiązane endpointy, aby wyciec ścieżki i nazwy plików obrazów z odłączonych wierszy, które endpoint renderujący by odrzucił.

SiYuan w wersjach przed v3.8.4 nieprawidłowo waliduje instrukcje SQL w blokach osadzających zapytania SQL wykonywanych na siyuan.db. Atakujący mogą tworzyć złośliwe dokumenty .sy z instrukcjami SQL innymi niż tylko do odczytu, które są wykonywane automatycznie podczas indeksowania w tle, renderowania lub operacji eksportu bez uwierzytelniania.

Wersje ZoneMinder od 1.37.0 do 1.38.0 zawierają podatność path traversal w widoku plików, która pozwala uwierzytelnionym użytkownikom odczytywać dowolne pliki. Parametr path nie jest prawidłowo walidowany przed przekazaniem do output_file, co umożliwia atakującym z uprawnieniem Events view dostęp do wrażliwych plików, takich jak pliki konfiguracyjne zawierające poświadczenia do bazy danych.