Katalog podatności CVE

Apache Wicket nie egzekwuje autoryzacji zasobów (isResourceAuthorized() ani adnotacji @AuthorizeResource) w komponentach ResourceLink, Image, ImageButton oraz AjaxDownloadBehavior, gdy zasób jest przekazany jako instancja IResource. W takim przypadku zasób jest serwowany bez sprawdzenia uprawnień, podczas gdy ta sama kontrola działa przy użyciu ResourceReference. Problem dotyczy też ExportToolbar, który buduje linki eksportu z instancji IResource.

W Apache Wicket brak autoryzacji pozwala na wywołanie listenera komponentu, dla którego strategia autoryzacji odmówiła akcji RENDER. Wystarczy spreparowany lub nawet standardowy URL listenera bez identyfikatora strony, przez co nie wykonuje się faza renderowania ani Component#configure(), a flaga widoczności pozostaje domyślna. Dotyczy to również komponentów ukrytych lub wyłączonych w Component#onConfigure().

Podatność w Apache Wicket polega na niewystarczającym wygasaniu sesji w obsłudze natywnych WebSocketów. Połączenie WebSocket przechowuje kopię sesji HTTP z momentu jego otwarcia, więc unieważnienie sesji przez kontener (timeout, wylogowanie, invalidate z filtra) nie kończy połączenia — kolejne ramki nadal korzystają z wygasłej tożsamości i jej atrybutów.

Apache Wicket nie sprawdza autoryzacji przed wywołaniem callbacków onMessage() w WebSocketBehavior. Komunikat wysłany przez klienta jest dostarczany do każdego WebSocketBehavior na stronie, nawet jeśli komponent, do którego jest przypisany, jest ukryty, wyłączony lub zabroniony przez IAuthorizationStrategy — w przeciwieństwie do zachowań Ajax, gdzie taka weryfikacja jest wykonywana.

W Apache Wicket w wersjach od 10.3.0 do 10.11.0 występuje brak autoryzacji przy przetwarzaniu formularzy. Formularz przyjmuje nazwę komponentu zatwierdzającego z parametrów żądania i przekazuje ją bezpośrednio do onFormSubmitted(), pomijając sprawdzenie widoczności i dostępności komponentu. W efekcie żądanie może wywołać akcje przycisku lub linku, który aplikacja ukryła lub zablokowała.

W Apache Wicket brakuje autoryzacji w obsłudze natywnych WebSocketów. Handler WebSocketMessageBroadcastHandler wywołuje WebSocketResource#onPayload() bez sprawdzenia IAuthorizationStrategy#isResourceAuthorized(), a adnotacja @AuthorizeResource nie działa. Wystarczy sesja Wicket i nazwa zasobu (ujawniana w stronie otwierającej połączenie), by wywołać wszystkie callbacki zasobu, w tym onConnect() i onMessage().

Wykryto podatność w beecue FastBee do wersji 2.1.0. Nieznana funkcjonalność pliku /iot/script w komponencie Groovy Script Executor pozwala na wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a poprawka jest dostępna pod identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9.

W urządzeniach Ruijie RG-ES205GC, RG-ES206GC-P, RG-ES208GC, RG-ES210GC-LP i RG-ES210GS-P (wersja ESW_1.0(1)B1P48) odkryto lukę w nieznanej funkcji pliku set_cloud_serverUrl.cgi, należącego do komponentu Cloud Management. Manipulacja argumentem url prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W urządzeniach Ruijie RG-ES205GC, RG-ES206GC-P, RG-ES208GC, RG-ES210GC-LP i RG-ES210GS-P (wersja ESW_1.0(1)B1P48) wykryto podatność w nieznanej funkcji pliku httpupg.cgi, należącego do interfejsu lokalnej aktualizacji firmware. Manipulacja danymi prowadzi do przepełnienia bufora (buffer overflow). Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.

W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_41A748 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_419DA8 pliku /bin/ioos, w komponencie obsługi CLI WireGuard. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_4162A8 pliku /bin/ioos, w komponencie obsługi plików ovpn_file. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.

W bibliotece ag-ui-protocol ag-ui do wersji 0.0.58 wykryto podatność w funkcji isInterruptExpired pliku sdks/typescript/packages/client/src/interrupts/index.ts, w komponencie obsługi wygaśnięcia przerwań. Manipulacja prowadzi do nadmiernego zużycia zasobów. Atak można przeprowadzić zdalnie, a exploit został opublikowany.

Google::Auth w wersjach 0.11–0.12 dla Perla akceptuje kod autoryzacyjny od dowolnego procesu lokalnego, ponieważ callback logowania gcloud-auth nie sprawdza parametru OAuth state. Lokalny atakujący może przesłać kod autoryzacyjny własnego konta Google, a CLI wymieni go i zapisze refresh token jako poświadczenia użytkownika.

Google::Auth w wersji 0.12 dla Perla pozwala na server-side request forgery poprzez niezwalidowane adresy URL credential_source w poświadczeniach zewnętrznego konta AWS. Klasa Aws wysyła żądania GET i PUT do pól imdsv2_session_token_url, url i region_url bez sprawdzenia hosta stosowanego przez inne klasy poświadczeń.

Wykryto podatność w ag-ui-protocol ag-ui do wersji 0.0.58 w nieznanej funkcjonalności komponentu Transport Decoder Handler. Manipulacja danymi prowadzi do niewłaściwej walidacji danych wejściowych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wtyczka WordPress File Upload (Nickboss) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.2.1 włącznie.

Wtyczka BookIt (Liquid Web / StellarWP) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji do 2.6.0.6 włącznie.

Sandbox Generative UI w prefab-ui uruchamia kod Python w Pyodide (WebAssembly) w podprocesie Deno, ale od wersji 0.14.0 do 0.20.2 proces Deno startuje z nieograniczonymi uprawnieniami --allow-read, --allow-write i --allow-net, a API Deno pozostaje dostępne w globalnym obiekcie JavaScript. Umożliwia to kodowi Python wywoływanie Deno.readTextFileSync i Deno.writeTextFileSync, czyli odczyt i zapis plików jako użytkownik systemu serwera oraz trwałe wykonanie kodu przez zapis pliku .pth w site-packages.

W bibliotece ag-ui (ag-ui-protocol) do wersji 0.0.58 funkcja parseSSEStream w pliku sdks/typescript/packages/client/src/transform/sse.ts (komponent SSE Parser) pozwala na nadmierne zużycie zasobów. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.