Katalog podatności CVE

crawlseo przed wersją 0.2.5 zawiera podatność polegającą na przechowywaniu danych w postaci jawnej, która pozwala atakującym z dostępem do odczytu bazy danych uzyskać tokeny dostępu i odświeżania Google OAuth przechowywane bez szyfrowania w kolumnie User.googleTokens. Atakujący mogą odczytać jawne, długotrwałe tokeny odświeżania z przejętej lub ujawnionej bazy Postgres, aby uzyskać nieograniczony, nieuwierzytelniony dostęp do danych Google Search Console wszystkich zarejestrowanych użytkowników.

W subhajitkhan online-clinic-management-system do wersji e9ee77a8827a1446220fa07ee693dc4d9a29a578 wykryto błąd w nieznanej funkcji pliku patappointtime.php w komponencie Appointment Booking. Manipulacja argumentami day/time/appdate powoduje niewłaściwą walidację danych wejściowych. Atak można zainicjować zdalnie, a exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie, ale nie odpowiedział.

W subhajitkhan online-clinic-management-system do wersji e9ee77a8827a1446220fa07ee693dc4d9a29a578 wykryto podatność w nieznanym przetwarzaniu pliku patappointtime.php w komponencie Booking Handler. Manipulacja prowadzi do wymuszenia określonego przepływu pracy. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być użyty. Poprawka jest oznaczona jako e9ee77a8827a1446220fa07ee693dc4d9a29a578; zaleca się jej wdrożenie. Projekt został poinformowany o problemie, ale nie odpowiedział.

W subhajitkhan online-clinic-management-system do wersji e9ee77a8827a1446220fa07ee693dc4d9a29a578 wykryto podatność w nieznanym kodzie pliku patientregistration.php. Manipulacja argumentami pat_pswd/doc_pswd prowadzi do braku szyfrowania danych wrażliwych. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być użyty. Projekt został poinformowany o problemie, ale nie odpowiedział.

Problem w Systrome Validation & Certification 1.0 pozwala atakującemu wywołać odmowę usługi poprzez parametr t w adresie URL komponentu qrcode_auth.html.

Mattermost w wersjach 11.7.x <= 11.7.11 nie waliduje elementów null podczas dekodowania warunków importu playbooków. Uwierzytelniony atakujący może wysłać spreparowane żądanie importu zawierające warunek null, co powoduje awarię wtyczki Playbooks w całej instancji.

Lotus do wersji 0.10.2 zawiera obejście autoryzacji w ChangeUserOrganizationView.post, które pozwala uwierzytelnionym użytkownikom dołączyć do dowolnej organizacji poprzez podanie jej UUID. Samodzielnie zarejestrowany atakujący znający UUID innej organizacji może wysłać żądanie POST do /app/switch_organization/ i uzyskać dostęp do danych oraz konfiguracji rozliczeń tego tenanta.

Lotus do wersji 0.10.2 zawiera niewłaściwą autoryzację w middleware ingestii zdarzeń w Go, które waliduje klucze API tylko po prefiksie, bez sprawdzania sekretu względem zapisanego hashed_key. Atakujący znający lub posiadający prefiks klucza API może wysyłać zdarzenia użycia do POST /api/track/ jako dana organizacja, zmieniając jej mierzone użycie i rozliczenia.

Lotus do wersji 0.10.2 zawiera podatność typu insecure direct object reference w SubscriptionViewSet.get_object(), która używa querysetu bez ograniczenia do organizacji i bez sprawdzania uprawnień. Uwierzytelnieni użytkownicy lub klucze API z dowolnej organizacji mogą podać subscription_id innej organizacji, aby odczytać, anulować, zaktualizować, zmienić plan lub modyfikować dodatki, zmieniając rozliczenia innego tenanta.

libyang do wersji 6.4.13 zawiera podatność zwolnienia niezainicjalizowanego wskaźnika w lydxml_env_netconf_rpc() w src/parser_xml.c podczas parsowania kopert akcji NETCONF rpc. Peery z sesją NETCONF mogą wysłać element action zawierający tekst niebędący białymi znakami poprzez lyd_parse_op(), powodując awarię serwerów takich jak netopeer2 lub uszkodzenie sterty.

QloApps do wersji 1.7.0 zawiera podatność typu insecure direct object reference w OrderDetailController::displayAjaxSubmitRefundRequest(), która pozwala uwierzytelnionym klientom składać wnioski o zwrot dla linii usług innych klientów. Atakujący mogą podać obce wartości id_service_product_order_detail wraz z własnym id_order, aby tworzyć rekordy zwrotów, anulować linie usług ofiar i uszkadzać ilości zwrotów.

Bytebase przed wersją 3.16.0 zawiera obejście autoryzacji w GetTaskRunLog, GetTaskRunSession i PreviewTaskRunRollback, które pozwala uwierzytelnionym użytkownikom uzyskać dostęp do uruchomień zadań innych projektów po UID. Atakujący z uprawnieniami w jednym projekcie może podać obce UID zadań lub uruchomień zadań, aby odczytać logi wykonania, szczegóły sesji bazy danych i SQL wycofania z innych projektów.

Bytebase przed wersją 3.16.0 zawiera obejście autoryzacji w handlerze UpdateIssueComment, które pozwala użytkownikom projektów o niskich uprawnieniach modyfikować komentarze w innych projektach poprzez podanie obcego UID komentarza. Atakujący z dowolną rolą w projekcie, w tym Project Viewer, może ustawić zgłoszenie własnego projektu jako rodzica i odwołać się do UID komentarza innego projektu, aby nadpisać komentarze, do których nie ma dostępu.

W GNU patch wykryto lukę, która pozwala atakującemu na utworzenie dowolnego pliku poza zamierzonym katalogiem roboczym poprzez nakłonienie użytkownika lub zautomatyzowanego przepływu pracy do zastosowania specjalnie spreparowanego pliku patch. Z powodu braku walidacji podczas automatycznego odwracania patcha, bezwzględne ścieżki plików w nagłówkach patcha są akceptowane zamiast odrzucane. W konsekwencji narzędzie może tworzyć pliki w dowolnych lokalizacjach z uprawnieniami użytkownika wykonującego.

Goploy 1.18.0 przed wersją 1.18.1 zawiera podatność typu link following w endpointach /deploy/fileDiff i /deploy/fileCompare, która pozwala uwierzytelnionym członkom odczytywać dowolne pliki. Atakujący z prawem zapisu do repozytorium mogą zatwierdzić dowiązanie symboliczne wskazujące poza katalog projektu, aby odczytać konfigurację bazy danych i prywatne klucze SSH do wdrożeń.

Wtyczka Paid Member Subscriptions do WordPressa (do wersji 3.1.2) ma błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawniony dostęp do funkcji lub danych objętych subskrypcją.

Retool przed wersją 3.88.0 zawiera podatność na cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wykonanie skryptów poprzez proxy złośliwych plików SVG przez /api/imageProxy. Atakujący może podać w parametrze url plik SVG hostowany na własnym serwerze, który jest serwowany z domeny Retool bez Content Security Policy, wykonując JavaScript w sesjach ofiar.

Wtyczka WPML Multilingual CMS dla WordPressa przed wersją 4.6.1 zawiera podatność na odbity cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie skryptu poprzez spreparowany parametr wp_lang. Atakujący może nakłonić użytkowników do odwiedzenia /wp-login.php z wartością wp_lang wstrzykującą pole obrazu z zaciemnionym handlerem onfocus, aby wykonać JavaScript w przeglądarce ofiary.

Penta Security WAPPLES w wersjach 4.0.54.1, 5.0 i 6.0 zawiera podatność na path traversal, która pozwala uwierzytelnionym atakującym na pobranie dowolnych plików poprzez parametr name w /webapi/file/transfer. Atakujący może wysłać żądania GET z type=db_backup i sekwencjami ../ w parametrze name, aby odczytać pliki takie jak /etc/passwd, a hardcoded konto systemi sprawia, że uwierzytelnienie jest praktycznie trywialne.

Sickbeard do build-507 zawiera podatność na odbity cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie skryptów poprzez parametr pattern w /config/postProcessing/testNaming. Atakujący może spreparować żądania GET z złośliwymi payloadami SVG onload, które handler testNaming zwraca bez escapowania, wykonując JavaScript w przeglądarkach ofiar.