Katalog podatności CVE

Podatność obejścia uwierzytelniania przez słabość podstawową w AshAuthentication pozwala niepotwierdzonemu użytkownikowi uzyskać sesję, omijając obowiązkowe potwierdzenie adresu e-mail. Funkcja check_user/2 sprawdza atrybut require_confirmed_with za pomocą is_nil(Map.get(user, value)), ale gdy atrybut nie jest załadowany zwracany jest %Ash.NotLoaded{}, a gdy polityka pola go ukrywa — %Ash.ForbiddenField{}; żadna z tych wartości nie jest nil, więc gałąź odrzucenia jest pomijana. Dodatkowo sprawdzenie nie jest wykonywane, gdy akcja jest wywoływana bezpośrednio przez warstwę API, taką jak AshGraphql lub AshJsonApi.

Podatność wyścigu typu time-of-check time-of-use (TOCTOU) w AshAuthentication pozwala atakującemu posiadającemu wyciekły magic link na wielokrotne użycie jednorazowego tokenu i uwierzytelnienie się jako docelowy podmiot. Nic nie serializuje sprawdzenia ważności tokenu względem jego zużycia, więc równoczesne użycia tego samego tokenu kończą się sukcesem, a każde zwraca pełny token użytkownika. Unieważnienie następuje dopiero po weryfikacji JWT, a zapis unieważnienia jako upsert pozwala równoczesnemu duplikatowi zakończyć się sukcesem.

Podatność nieuwierzytelnionego złamania uwierzytelniania w wtyczce Headless Single Sign On w wersjach do 1.7.0 włącznie. Opis nie podaje szczegółów technicznych mechanizmu wykorzystania.

Podatność nieuwierzytelnionego zdalnego wykonania kodu (RCE) w Migratico Lite w wersjach do 2.6.8 włącznie. Opis nie podaje szczegółów technicznych mechanizmu wykorzystania.

Podatność nieuwierzytelnionego złamania uwierzytelniania w EduAdmin Booking w wersjach do 5.4.2 włącznie. Opis nie podaje szczegółów technicznych mechanizmu wykorzystania.

W rcourtman Pulse w wersjach do 6.0.4 oraz 6.1.0-rc.4 wykryto lukę bezpieczeństwa w funkcji fmt.Sprintf w pliku /api/security/quick-setup, w komponencie Quick Security Setup Handler. Manipulacja argumentem Username prowadzi do niewłaściwej walidacji danych wejściowych. Atak można przeprowadzić zdalnie.

Urządzenia FatPipe MPVPN, WARP i IPVPN z firmware w wersji 10.1.2r60p100 (end-of-life) zawierają przepełnienie bufora na stosie w /usr/sbin/auth_user_pass. Nieuwierzytelniony zdalny atakujący z dostępem do interfejsu zarządzania może wysłać spreparowane żądanie uwierzytelnienia, które trafia do niesprawdzonej kopii do bufora o stałym rozmiarze, co potencjalnie pozwala na wykonanie dowolnego kodu jako root. Interfejs zarządzania jest domyślnie wyłączony i musi zostać włączony przez klienta.

Urządzenia FatPipe MPVPN, WARP i IPVPN z firmware 10.1.2r60p100 zawierają podatność wstrzyknięcia poleceń OS w demonie xtremed. Nieuwierzytelniony zdalny atakujący z dostępem do interfejsu zarządzania może przesłać spreparowane dane do endpointu AuthFormServlet, co pozwala na wykonanie dowolnych poleceń jako root.

Podatność w Mitsubishi Electric GX Works3 i Motion Control Setting wynika z nieprawidłowej implementacji algorytmu uwierzytelniania. Lokalny atakujący może pomyślnie się uwierzytelnić mimo nieprawidłowego hasła bloku, modyfikując część modułu wykonywalnego w pamięci.

Wtyczka WordPress wpShopGermany IT-RECHT KANZLEI przed wersją 2.4 nie generuje bezpiecznie swojego tokenu uwierzytelniania API, wyprowadzając go z danych kontrolowanych przez żądającego i tworząc go jako efekt uboczny sprawdzenia, które ma go walidować. Umożliwia to nieuwierzytelnionym atakującym przewidzenie tokenu i wykorzystanie przyznanego dostępu do zapisu dowolnych plików, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress Login with QR do wersji 1.0.0 włącznie nie weryfikuje, czy kod użyty do zalogowania użytkownika został przez nią wydany, dopasowując zamiast tego dowolną przechowywaną wartość metadanych użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka WordPress Pressengine do wersji 1.0 włącznie nie powstrzymuje swojego modułu obsługi logowania przed wydaniem sesji, gdy uwierzytelnianie się nie powiedzie. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka Private Feed Key do WordPressa do wersji 0.1 nie weryfikuje, czy klucz użyty do uwierzytelnienia żądania kanału został przez nią wydany, dopasowując zamiast tego dowolną zapisaną wartość metadanych użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka Multi Uploader for Gravity Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.1.9 włącznie, poprzez funkcję move_file. Wynika to z niewystarczającej walidacji typów plików podczas obsługi przesyłania fragmentarycznego. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

djust przed wersją 1.0.7 ma podatność w transporcie WebSocket, która omija standardowe mechanizmy autoryzacji Django (takie jak LoginRequiredMixin, PermissionRequiredMixin itp.) oraz bramkę dla personelu w rozszerzeniu administracyjnym. Autoryzacja mounta odbywa się przez check_view_auth, a nie przez łańcuch View.dispatch(), co pozwala anonimowym lub nieuprzywilejowanym klientom na otwarcie WebSocket i wywołanie handlerów widoków, w tym administracyjnych.

Decap CMS przed wersją 3.11.0 zawiera podatność path traversal w mechanizmie ochrony lokalnego proxy, który używa porównania prefiksu ciągu znaków bez walidacji separatora ścieżki. Atakujący może uzyskać dostęp do katalogów sąsiednich, których nazwy zaczynają się od nazwy katalogu repozytorium, i czytać, zapisywać lub usuwać pliki poza zamierzonym katalogiem głównym.

UVdesk Community Skeleton do wersji 1.1.8 nie uwierzytelnia ani nie weryfikuje stanu instalacji na punktach końcowych kreatora w akcjach kontrolera ConfigureHelpdesk. Nieuwierzytelnieni atakujący mogą zmienić konfigurację bazy danych i utworzyć konta super administratora, wysyłając spreparowane żądania do punktów końcowych kreatora, co daje pełną kontrolę nad instancją.

Feast do wersji 0.66.0 nie weryfikuje podpisów tokenów JWT przed ustaleniem tożsamości użytkownika, co pozwala atakującym ominąć wszystkie mechanizmy kontroli dostępu oparte na rolach, prezentując niezweryfikowany token z zakodowaną wartością. Atakujący mogą uzyskać zaufaną wewnętrzną tożsamość i niekontrolowany dostęp do odczytu i zapisu do wszystkich encji, widoków funkcji, źródeł danych i polityk uprawnień na serwerze.

Marten od wersji 7.0.0 do 9.13.0 ma podatność polegającą na interpolacji sterowanych przez atakującego ciągów znaków do literałów SQL w zapytaniach LINQ i zarządzaniu tenantami bez odpowiedniego escapowania lub parametryzacji. Potwierdzony wektor to klucz indeksatora słownika używany w filtrach Where. Może to umożliwić ominięcie filtrów, autoryzacji multi-tenant oraz ślepe wyodrębnienie danych, a w niektórych konfiguracjach także modyfikację danych.