Katalog podatności CVE

Concrete CMS w wersji 9.5.0 i niższych jest podatny na trwałe XSS poprzez stronę z linkiem zewnętrznym (cvName), ponieważ funkcja updateCollectionAliasExternal nie przeprowadza sanityzacji danych. Złośliwy edytor może wstrzyknąć kod JavaScript.

Concrete CMS w wersji 9.5.0 i niższych zawiera blok RSS Displayer, który akceptuje adres URL kanału od dowolnego edytora strony i pobiera go po stronie serwera bez walidacji. Umożliwia to obejście mechanizmów przekierowań do wewnętrznych zasobów.

W Concrete CMS 9.5.0 i wcześniejszych, obsługa kodu autoryzacyjnego OAuth 2.0 pomija status konta. Użytkownik z uIsActive=0 (zawieszony, zbanowany, zwolniony pracownik) może nadal uwierzytelniać się przez OAuth i otrzymywać ważne tokeny API.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w kontrolerach AddMessage i UpdateMessage przez parametr attachments[]. Brakuje w nich sprawdzania uprawnień do plików (canViewFile()), co pozwala użytkownikowi mogącemu publikować w dowolnej konwersacji na odwoływanie się do dowolnego pliku w menedżerze plików CMS po jego identyfikatorze, omijając system uprawnień.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieautoryzowane usuwanie plików z powodu odwróconej walidacji tokena CSRF w kontrolerze DeleteFile. Token CSRF jest odrzucany, gdy jest poprawny, a akceptowany, gdy jest nieprawidłowy, co umożliwia ataki CSRF na użytkowników z uprawnieniami do edycji wiadomości konwersacji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w bloku Express Entry Detail za pomocą parametru exEntryID. To IDOR prowadzi do nieautoryzowanego dostępu do wszystkich zgłoszeń formularzy Express.

W Concrete CMS w wersji 9.5.0 i starszych, metoda submit_password() w pliku concrete/controllers/single_page/download_file.php umożliwia nieautoryzowany dostęp do plików. Obejście sprawdzenia uprawnień view_file pozwala na pobieranie plików bez hasła oraz plików chronionych hasłem przez każdego użytkownika znającego hasło, niezależnie od posiadanych uprawnień.

Catalyst::Plugin::Authentication dla Perla w wersjach do 0.10024 jest podatny na ataki timingowe. Te wersje używają wbudowanego porównania eq w Perlu. Różnice w czasie mogą być wykorzystane do odgadnięcia hasha lub hasła.

Simple Hierarchical Select (SHS) dla Drupal 7 w wersjach od 7.x-1.0 do 7.x-1.10 zawiera podatność na Cross-Site Scripting (XSS) z powodu nieprawidłowego kodowania tekstu pochodzącego z terminów taksonomii. Dotknięte ścieżki to shs_field_formatter_view i shs_term_get_children. Złośliwe nazwy terminów taksonomii mogą być renderowane niebezpiecznie w zależności od kontekstu wyjścia.

W module Term Reference Tree dla Drupala 7 występują dwa wektory XSS (przechowywane) w potoku renderowania widgetu/formattera. Wektor A: gdy włączony jest moduł Token i skonfigurowane są szablony wyświetlania tokenów, dane wyjściowe tokenów kontrolowane przez atakującego (np. opis terminu) są renderowane bez odpowiedniego oczyszczania. Wektor B: etykiety terminów taksonomii nie są odpowiednio oczyszczane przed renderowaniem w widżecie, co pozwala użytkownikowi z uprawnieniami do tworzenia/edycji terminów na wstrzyknięcie skryptów. Podatność dotyczy wersji 7.x-1.x do 7.x-1.11 włącznie.

Webmin przed wersją 2.641 zawiera podatność na przechowywany XSS w polu opisu szablonu e-mail w module System and Server Status. Niskouprzywilejowani uwierzytelnieni atakujący mogą wykonać dowolny JavaScript w kontekście przeglądarki administratorów poprzez wstrzyknięcie nieoczyszczonych danych wejściowych przechowywanych w save_tmpl.cgi i renderowanych bez escapowania w list_tmpls.cgi.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na obejście autoryzacji w bloku kalendarza. Funkcja action_get_events nie sprawdza uprawnienia canView na kalendarzu, co prowadzi do ujawnienia szczegółów ograniczonych wydarzeń.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na ominięcie autoryzacji w oknie dialogowym zdarzeń kalendarza. Pozwala to na ujawnienie danych między kalendarzami, gdzie publiczny blok kalendarza może być użyty jako punkt dostępu do prywatnych danych kalendarza.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na trwałe XSS w parametrze height. Kontroler nie waliduje ani nie sanityzuje wartości $height, co pozwala użytkownikom z uprawnieniami edytora na wstrzyknięcie złośliwego JavaScriptu wykonywanego w przeglądarce odwiedzających.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na przechowywany XSS poprzez nazwę integracji OAuth. Szablon autoryzacji OAuth renderuje nazwę integracji (kontrolowaną przez administratora) przez funkcję tłumaczenia t() jako format sprintf. Otoczka <strong>...</strong> jest budowana przez interpolację stringów PHP przed wykonaniem t(), więc nazwa integracji trafia do przetłumaczonego wyjścia jako surowy HTML. Złośliwy administrator może potencjalnie podsłuchiwać dane logowania.

Concrete CMS w wersji 9.5.0 i niższych nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/install/download/<remoteId>. Metoda download() sprawdza tylko uprawnienie canInstallPackages() przed pobraniem zdalnego pakietu i zapisaniem go do katalogu DIR_PACKAGES. Atakujący może zmusić uwierzytelnionego administratora do pobrania dowolnego pakietu z marketplace.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieuwierzytelnione ujawnienie informacji o użyciu plików z powodu braku kontroli uprawnień w kontrolerze użycia. Każdy nieuwierzytelniony gość może zażądać /ccm/system/dialogs/file/usage/{fID} z dowolnym ID pliku i otrzymać listę stron odwołujących się do tego pliku, w tym ID stron, uchwyty i pełne adresy URL, nawet dla stron z ograniczonymi uprawnieniami.

Brak sprawdzenia uprawnień w funkcji process_ajax_restore_action() wtyczki GSheet For Woo Importer dla WordPress (do wersji 2.3.1) pozwala uwierzytelnionym atakującym z dostępem Subscriber i wyższym na usunięcie tokena API Google Sheets i opcji konfiguracyjnych.

Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w rm/incs/mobile_login.inc.php poprzez ustawienie CURLOPT_SSL_VERIFYPEER na false (i nie ustawienie CURLOPT_SSL_VERIFYHOST) podczas wykonywania wychodzących żądań HTTPS w przepływie logowania mobilnego (RouteMate). Atakujący znajdujący się na ścieżce sieciowej między serwerem a zdalnym punktem końcowym może przedstawić sfałszowany certyfikat w celu przechwycenia, monitorowania lub modyfikacji żądania i odpowiedzi, w tym kluczy API lub danych sesyjnych.

Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w pliku incs/login.inc.php, ustawiając CURLOPT_SSL_VERIFYPEER na false. Atakujący w sieci między serwerem a zdalnym punktem końcowym może przedstawić sfałszowany certyfikat i przechwycić dane uwierzytelniające.