Katalog podatności CVE

W oban_web (komponent Elixir.Oban.Web.Jobs.DetailComponent) brakuje autoryzacji w handlerze handle_event("save-job", ...), co pozwala uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu na podmianę pola worker zadania na dowolny moduł Oban.Worker. Inne handlery (cancel, delete, retry) sprawdzają uprawnienia, ale save-job tego nie robi.

epa4all-client w wersji 1.2.4 i wcześniejszych umożliwia każdemu, kto ma dostęp do sieci, zapisywanie dowolnych dokumentów do elektronicznej dokumentacji medycznej pacjenta za pomocą karty SMC-B instytucji. W nieprawidłowo skonfigurowanym wdrożeniu (np. według przykładu Docker w README) podatność jest możliwa do wykorzystania z sieci lokalnej bez uwierzytelniania.

MaxKB, asystent AI dla przedsiębiorstw, przechowuje hasła użytkowników za pomocą niesolonych skrótów MD5, co umożliwia ich łatwe złamanie przy użyciu tablic tęczowych lub ataku brute-force z akceleracją GPU.

MaxKB przed wersją 2.9.1 jest podatny na SSRF (Server-Side Request Forgery) poprzez import work_flow_template. Uwierzytelnieni użytkownicy mogą podać dowolne adresy URL w polu work_flow_template.downloadUrl, które są pobierane po stronie serwera bez walidacji URL ani filtrowania wewnętrznych adresów IP.

Mistune, parser Markdown w Pythonie, przed wersją 3.2.1 zawiera podatność CSS Injection w pluginie Image directive. Walidacja opcji :width: i :height: za pomocą wyrażenia regularnego akceptującego tylko prefiks liczbowy pozwala na wstrzyknięcie dowolnego CSS do atrybutu style. Atakujący może wykorzystać to do defacementu lub kradzieży danych.

Mistune przed wersją 3.2.1 zawiera podatność Cross-Site Scripting (XSS) w funkcji render_toc_ul(). Wartości id i text są wstawiane do znaczników <a> bez kodowania HTML, co pozwala atakującemu na wstrzyknięcie dowolnego kodu HTML, w tym <script>, poprzez spreparowany nagłówek.

Mistune przed wersją 3.2.1 zawiera podatność HTML Injection w funkcji HTMLRenderer.heading(). Wartość atrybutu id jest konkatenowana bezpośrednio do znacznika <hN> bez kodowania, co pozwala atakującemu na wstrzyknięcie dodatkowych atrybutów, takich jak event handlery, src, href itp.

Mistune, parser Markdown w Pythonie, do wersji 3.2.0 zawiera podatność na wstrzyknięcie atrybutów i XSS w funkcji render_figure() w pliku image.py. Opcje figclass i figwidth są łączone bezpośrednio z atrybutami HTML bez odpowiedniego escapingu, nawet przy włączonym HTMLRenderer(escape=True).

W eml_parser przed wersją 3.0.1 funkcja EmlParser.get_raw_body_text() rekurencyjnie przetwarza zagnieżdżone załączniki message/rfc822 bez ograniczenia głębokości. Atakujący może dostarczyć specjalnie spreparowany plik EML z około 120 zagnieżdżonymi częściami, co powoduje nieobsłużony błąd RecursionError i przerwanie parsowania.

Podatność w frameworku view_component (Ruby on Rails) w wersjach 3.0.0 do 4.9.0. Punkt wejścia testów systemowych kanonizuje ścieżkę pliku kontrolowaną przez użytkownika za pomocą File.realpath, a następnie sprawdza, czy rozpoznana ścieżka zaczyna się od ścieżki katalogu tymczasowego. To nie jest bezpieczne sprawdzenie, ponieważ katalogi rodzeństwa mogą mieć ten sam prefiks. Problem został naprawiony w wersji 4.9.0.

view_component to framework do budowania wielokrotnego użytku, testowalnych i hermetycznych komponentów widoku w Ruby on Rails. Od wersji 3.0.0 do 4.9.0 trasa podglądu wyprowadza nazwę przykładu z URL i wywołuje ją za pomocą public_send. Kod nie weryfikuje, czy żądana metoda jest jednym z przykładów podglądu jawnie zdefiniowanych przez klasę podglądu. W rezultacie dziedziczone publiczne metody na ViewComponent::Preview są osiągalne przez trasę. Najważniejszą z nich jest render_with_template, która akceptuje template: i locals:. Te wartości mogą pochodzić z parametrów żądania i są później przekazywane do Rails jako render template:. Jeśli podglądy są wystawione, atakujący może renderować wewnętrzne szablony Rails, które w inny sposób nie są routowalne. Podatność została naprawiona w wersji 4.9.0.

Mistune przed wersją 3.2.1 zawiera podatność HTML Injection w pluginie matematycznym. Zawartość matematyczna (inline i block) jest konkatenowana bezpośrednio do wyjścia HTML bez kodowania, nawet gdy parser jest skonfigurowany z escape=True. Pozwala to na wstrzyknięcie dowolnego kodu HTML.

W aplikacji Lumiverse przed wersją 0.9.7 funkcja consumeNonce() nie weryfikuje wartości z żądania HTTP ani nie wiąże nonce z sesją administratora. Jeśli rejestracja administratora nie powiedzie się przed wywołaniem haka (np. z powodu duplikatu e-maila), nonce pozostaje ustawiony i może zostać wykorzystany przez atakującego w ciągu 10-sekundowego okna do rejestracji nieautoryzowanego konta.

MaxKB w wersji 2.8.0 i wcześniejszych jest podatny na naruszenie kontroli dostępu w API pobierania URL plików OSS (chat/api/oss/get_url). Endpoint używa application_id z ścieżki URL bez walidacji własności, co pozwala atakującym na wykonywanie operacji w ramach polityk innych aplikacji.

MaxKB 2.8.0 i wcześniejsze wersje są podatne na Server-Side Request Forgery (SSRF) w funkcji pobierania URL plików OSS z powodu niespójnego rozwiązywania DNS między walidacją a rzeczywistym wykonaniem żądania, co pozwala atakującym na dostęp do wewnętrznych usług sieciowych.

MaxKB przed wersją 2.8.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym pobierania adresu URL pliku OSS. Niezgodność w parsowaniu URL między funkcją walidacyjną a klientem HTTP pozwala atakującemu na dostęp do wewnętrznych usług sieciowych.

PbootCMS w wersji 3.2.11 zawiera podatność na wstrzykiwanie kodu w funkcji konfiguracji strony.

Snipe-IT przed wersją 8.4.1 zawiera podatność na otwarte przekierowanie (open redirect) poprzez niezweryfikowane nagłówek HTTP Referer przechowywany w zmiennej sesji. Atakujący może przekierować użytkowników do złośliwych witryn.

Snipe-IT przed wersją 8.4.1 zawiera podatność na XSS w kolumnie notatek (notes) dla użytkowników z dostępem do widoku komponentów. Brak odpowiedniego escapowania umożliwia wstrzyknięcie skryptów.

Biblioteka eventsource-encoder przed wersją 1.0.2 nie oczyszcza pól event ani id w komunikatach EventSourceMessage przed serializacją. Atakujący kontrolujący któreś z tych pól może wstrzyknąć dowolne terminator linii Server-Sent Events (\n, \r lub \r\n) i sfałszować dodatkowe pola SSE lub całe komunikaty w strumieniu.