Katalog podatności CVE

Cotonti 1.0.0 jest podatny na przechowywane Cross-Site Scripting w module Personal File Storage (PFS). Użytkownik z autoryzacją może wprowadzić HTML/JavaScript w tytule folderu, co prowadzi do wykonania wstrzykniętego skryptu w przeglądarkach innych użytkowników.

Cotonti w wersji 1.0.0 (gałąź master, commit f43f1fc3) jest podatny na atak Cross-Site Request Forgery w module Personal File Storage (PFS). Akcja przesyłania plików ('a=upload') nie weryfikuje tokenu anty-CSRF, co umożliwia zdalnemu atakującemu przesyłanie dowolnych plików do PFS ofiary.

Cotonti 1.0.0 jest podatny na atak Cross-Site Request Forgery w obsłudze konfiguracji administracyjnej. Akcja aktualizacji konfiguracji ('a=update') przetwarza dane POST bez walidacji tokena anty-CSRF, co pozwala na modyfikację opcji konfiguracyjnych przez złośliwe żądania.

Wtyczka CF7 to Webhook dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do 5.0.0 włącznie, co pozwala nieautoryzowanym atakującym na wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wtyczka Offload, AI & Optimize with Cloudflare Images dla WordPress jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 1.10.2 włącznie, poprzez parametr 'account-id'. Problem wynika z niewystarczającego egzekwowania uprawnień w obsłudze AJAX cf_images_do_setup, co pozwala na wykonanie kodu przez uwierzytelnionych atakujących z dostępem na poziomie autora.

Wtyczka E2Pdf – Export Pdf Tool dla WordPressa jest podatna na brak autoryzacji w wersjach do 1.32.26 włącznie. Funkcja screen_action() nie sprawdza odpowiednich uprawnień ani nie weryfikuje nonce, co pozwala atakującym na nadpisywanie opcji WordPressa.

TypeBot to narzędzie do budowy chatbotów, które w wersjach przed 3.17.2 ma lukę w walidacji SSRF. Problem polega na tym, że walidacja IP nie jest odpowiednio powiązana z późniejszymi żądaniami, co umożliwia atakującym wykorzystanie DNS rebinding do ominięcia zabezpieczeń.

ThingsBoard zawiera podatność na zanieczyszczenie prototypu, która może prowadzić do wykonania dowolnego kodu w kontekście piaskownicy przez użytkownika posiadającego uprawnienia administratora najemcy (TENANT_ADMIN).

TypeBot to narzędzie do budowy chatbotów, które w wersjach 3.15.2 i wcześniejszych ma podatność na Insecure Direct Object Reference. Umożliwia to uwierzytelnionym użytkownikom modyfikację lub usunięcie szablonów motywów z innych przestrzeni roboczych.

LiquidJS to silnik szablonów kompatybilny z Shopify/GitHub Pages, który w wersjach 10.25.7 i poniżej zawiera filtr strip_html z błędnym wyrażeniem regularnym. To prowadzi do ataku ReDoS poprzez kwadratowe cofanie, co blokuje pętlę zdarzeń Node.js.

W wersjach 10.25.7 i poniżej silnika szablonów LiquidJS występuje podatność związana z filtrem daty, który nieprawidłowo przetwarza specyfikatory szerokości, co prowadzi do nieograniczonego łączenia ciągów i omijania limitów pamięci oraz renderowania.

W wersjach SignalRGB przed 1.3.7.0, siedem z trzynastu obsługiwanych IOCTL nie weryfikuje wskaźnika SystemBuffer przed jego dereferencją. Wysłanie IOCTL z pustym buforem wejściowym powoduje dereferencję wskaźnika NULL, co skutkuje awarią jądra.

W wersjach przed 4.2.0 Steeltoe.Management.Endpoint oraz 3.4.0 Steeltoe.Management.EndpointCore, komponent `Sanitizer` nieprawidłowo maskuje wartości konfiguracji, co pozwala na ujawnienie pełnych ciągów połączeń w odpowiedziach `/actuator/env`. Domyślna lista sufiksów nie obejmuje standardowego wzorca .NET `ConnectionStrings:<name>` oraz `Steeltoe:Client:<type>:Default:ConnectionString`.

W Steeltoe.Discovery.Eureka przed wersjami 4.2.0 i 3.4.0, metoda `DataCenterInfo.FromJson` generuje wyjątek `ArgumentException` dla wartości `name` innych niż 'MyOwn' lub 'Amazon', co prowadzi do problemów z deserializacją rejestru usług.

Steeltoe to projekt open source, który dostarcza biblioteki do budowy aplikacji chmurowych. W wersjach 3.2.2 do 3.3.0 oraz 4.1.0, gdy punkty zarządzania są skonfigurowane do nasłuchiwania na alternatywnym porcie, middleware używa nagłówka HTTP `Host` zamiast rzeczywistego portu gniazda sieciowego, co prowadzi do potencjalnych luk w zabezpieczeniach.

e107 to system zarządzania treścią (CMS), w wersjach 2.3.5 i wcześniejszych występuje podatność na wstrzykiwanie poleceń w ścieżce docelowej zmiany rozmiaru ImageMagick. W funkcji resize_image() ścieżka źródłowa jest odpowiednio zabezpieczona, jednak ścieżka docelowa jest wstawiana w podwójne cudzysłowy, co umożliwia atakującemu wstrzyknięcie złośliwego kodu.

W wersjach przed 0.7.5 projektu Windows-MCP, pewne tryby HTTP ujawniały kontrolny interfejs MCP bez uwierzytelnienia, umożliwiając jednocześnie wildcard CORS. To pozwalało atakującym na zdalne wykonanie poleceń PowerShell jako użytkownik Windows.

W metodzie install_packages() w AWS Bedrock AgentCore Python SDK w wersjach >= 1.1.3 i < 1.6.1 występuje niewłaściwe neutralizowanie ograniczników argumentów, co może pozwolić zdalnemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych poleceń w piaskownicy Code Interpreter za pomocą spreparowanych argumentów nazw pakietów.

W bibliotece PHP Standard Library (PSL) w wersjach 6.1.0, 6.1.1 i 6.2.0 występuje podatność związana z brakiem walidacji całkowitej liczby bajtów otrzymanych w ramkach DATA w porównaniu do nagłówka content-length w ramkach HEADERS, co umożliwia smuggling żądań. Złośliwy klient może wysłać więcej lub mniej bajtów DATA niż zadeklarowane, co prowadzi do nieprawidłowego działania aplikacji.

W NGINX Plus lub NGINX Open Source skonfigurowanym jako warstwa danych dla NGINX Gateway Fabric występuje podatność na wstrzykiwanie w komponencie generatora konfiguracji NGINX. Wartości ciągów dostarczane przez użytkownika z ustawienia formatu logów NginxProxy Custom Resource Definition są renderowane bez sanitizacji, co pozwala na wstrzykiwanie dowolnych dyrektyw konfiguracji NGINX.