Katalog podatności CVE

HSC MailInspector v5.3.3-7 zawiera podatność Cross-Site Scripting (XSS) w endpoincie /tap/tap.php z powodu niewłaściwej neutralizacji danych wejściowych kontrolowanych przez użytkownika przy użyciu alternatywnej lub zaciemnionej składni JavaScript. Endpoint odzwierciedla nieoczyszczone dane wejściowe w odpowiedziach HTTP bez odpowiedniego kodowania wyjściowego.

Utworzenie indeksu '2dsphere_bucket' na kolekcji niebędącej kolekcją szeregów czasowych zakończy się sukcesem, ale każda późniejsza próba wstawienia dokumentu, która wyzwala aktualizację tego indeksu, spowoduje awarię serwera. Podobny problem występuje przy tworzeniu indeksów 'queryable_encrypted_range'. Problem dotyczy MongoDB Server w wersjach 7.0 przed 7.0.32, 8.0 przed 8.0.21 i 8.2 przed 8.2.6.

Problem w Intelbras VIP-1230-D-G4 w wersji V2.800.00IB00C.0.T pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez funkcję resetowania hasła dostępną pod ścieżką /OutsideCmd.

Podatność umożliwia atakującemu w uprzywilejowanej pozycji sieciowej wyciek wrażliwych informacji. Problem związany z obsługą ścieżek został rozwiązany poprzez poprawioną walidację.

Dify przed wersją 1.14.2 zawiera lukę w autoryzacji w punkcie końcowym podglądu plików, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczytanie do 3,000 znaków z dowolnego przesłanego dokumentu, używając jedynie UUID pliku. Atakujący mogą uzyskać dostęp do końcowego punktu /console/api/files/{file_id}/preview, aby wydobyć wrażliwe treści z dokumentów bez weryfikacji własności lub uprawnień do przestrzeni roboczej.

Kolektory Dell Live Optics Windows i Personal Edition zawierają podatność polegającą na nieprawidłowej walidacji certyfikatów. Zdalny, nieuwierzytelniony atakujący może potencjalnie wykorzystać tę podatność, prowadząc do utraty poufności i integralności.

Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie zapobiegają ujawnieniu haseł użytkowników, co pozwala złośliwemu atakującemu na podszywanie się pod użytkownika przy użyciu tych haseł.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie sprawdzają poprawnie uprawnień publicznych/prywatnych. Umożliwia to członkom bez odpowiednich uprawnień dostęp do publicznych playbooków poprzez endpoint /get.

Mattermost w wersjach 11.5.x <= 11.5.1 oraz 11.4.x <= 11.4.3 nie waliduje nagłówka X-Requested-With w punkcie końcowym ujawniania wiadomości typu burn-on-read. Uwierzytelniony członek kanału może wymusić ujawnienie wiadomości burn-on-read bez zgody odbiorcy za pomocą spreparowanego znacznika obrazu Markdown. Identyfikator poradnika Mattermost: MMSA-2026-00636.

Mattermost w wersjach 11.5.x <= 11.5.1 nie weryfikuje członkostwa w kanale podczas przetwarzania przepisywania wiadomości wspomaganych przez AI. Uwierzytelniony atakujący może odczytać treść wątków w prywatnych kanałach i wiadomościach bezpośrednich, do których nie ma dostępu, poprzez spreparowane żądanie do endpointu przepisywania postów.

Aplikacje Mattermost Desktop w wersjach <=6.1, 6.0.1 oraz 5.4.13.0 nie zapobiegają ładowaniu nieprawidłowego URL w oknie pop-up, co pozwala złośliwemu właścicielowi serwera na wielokrotne awarie aplikacji poprzez wywołanie {{window.open('javascript:alert()');}}.

Wtyczki Mattermost w wersjach <=11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nieprawidłowo sprawdzają uprawnienia podczas przetwarzania poleceń w wtyczce Gitlab. To pozwala zwykłym użytkownikom na odinstalowanie instancji lub skonfigurowanie połączeń webhook za pomocą poleceń {{gitlab instance {option}}} lub {{/gitlab webhook {option}}}.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie wymuszają unikalności słowa wyzwalającego polecenia slash podczas aktualizacji poleceń. Uwierzytelniony członek zespołu z uprawnieniem Manage Own Slash Commands może przejąć i podszyć się pod istniejące systemowe lub niestandardowe polecenia slash, edytując własne słowo wyzwalające na już zarejestrowane.

Wersje wtyczek Mattermost do 11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nie sprawdzają poprawnie ważnych przestrzeni nazw, co pozwala użytkownikom wtyczek na tworzenie subskrypcji do grup, które nie zostały zatwierdzone, poprzez tworzenie grup o tym samym prefiksie co grupa zatwierdzona.

Wersje wtyczek Mattermost do 11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nie mają odpowiednich kontroli na poziomie API dotyczących grup, do których użytkownik może tworzyć zgłoszenia lub dodawać komentarze. Umożliwia to użytkownikowi, będącemu członkiem wielu grup, tworzenie zgłoszeń w zablokowanej grupie za pomocą bezpośrednich żądań API.

Mattermost w wersjach 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie waliduje struktury archiwum 7zip przed przetworzeniem. Umożliwia to uwierzytelnionemu atakującemu wywołanie wyczerpania pamięci serwera i odmowy usługi poprzez przesłanie specjalnie spreparowanego pliku 7zip z nadmierną liczbą deklaracji folderów.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie sprawdzają uprawnienia create_post dla kanału podczas edycji postów. Uwierzytelniony atakujący z odebranymi uprawnieniami do publikowania może modyfikować swoje istniejące posty poprzez bezpośrednie żądania API do endpointów aktualizacji i patchowania postów.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie ograniczają rozmiaru treści żądania w punkcie końcowym API start meeting, co pozwala uwierzytelnionemu atakującemu na wyczerpanie zasobów lub odmowę usługi poprzez specjalnie spreparowane, zbyt duże żądanie HTTP POST do {{/api/v1/meetings}}.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie weryfikują, czy zdalny klaster ma dostęp do kanału przed przetworzeniem żądań usunięcia członkostwa podczas synchronizacji członkostwa w kanałach współdzielonych. Złośliwy zdalny klaster może usunąć dowolnego użytkownika z dowolnego kanału, w tym kanałów prywatnych, poprzez spreparowane komunikaty synchronizacji.

W Tencent WeKnora do wersji 0.3.6 wykryto podatność w funkcji getKnowledgeBaseForInitialization w pliku internal/handler/initialization.go komponentu Config API Endpoint. Manipulacja argumentem kbId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.