Katalog podatności CVE

Rozszerzenie przeglądarki Chrome DeepL w wersjach od v1.22.0 do v1.23.0 zawiera podatność typu cross-site scripting, która pozwala atakującemu na wykonanie dowolnego skryptu w przeglądarce użytkownika oraz na wstrzyknięcie złośliwego HTML do stron internetowych przeglądanych przez użytkownika.

Produkt a+HCM firmy aEnrich ma podatność umożliwiającą dowolne przesyłanie plików, pozwalając nieuwierzytelnionym zdalnym atakującym na upload dowolnych plików do dowolnej ścieżki, w tym dokumentów HTML.

a+HRD opracowany przez aEnrich ma podatność polegającą na braku autoryzacji, umożliwiającą uwierzytelnionym zdalnym atakującym dowolne odczytanie zawartości bazy danych poprzez określoną metodę API.

System a+HRD firmy aEnrich zawiera podatność na wstrzykiwanie SQL (SQL Injection), która pozwala uwierzytelnionym zdalnym atakującym na wykonywanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wstrzykiwanie SQL w obsłudze zapytań i filtrów DAAP. Atakujący mogą wstrzykiwać dowolne wyrażenia SQL poprzez parametry query= i filter= dla pól DAAP mapowanych na liczby całkowite.

free5GC AMF w wersjach przed 1.4.3 zawiera błąd w obsłudze HTTPUEContextTransfer, gdzie brak przypadku default w instrukcji switch dla Content-Type powoduje pominięcie deserializacji i wywołanie procesora z niezainicjalizowanym obiektem UeContextTransferRequest. Może to prowadzić do nieprzewidzianego zachowania lub awarii. Wersja 1.4.3 zawiera poprawkę.

Craft CMS to system zarządzania treścią. W wersjach 4.x do 4.17.8 i 5.x do 5.9.14 endpoint resource-js pozwala nieuwierzytelnionym żądaniom na proxy zdalnych zasobów JavaScript. Gdy trustedHosts nie jest wyraźnie ograniczone, aplikacja ufa nagłówkowi Host dostarczonemu przez klienta, co pozwala atakującemu kontrolować baseUrl i prowadzić do SSRF.

Craft CMS w wersjach 4.x do 4.17.8 oraz 5.x do 5.9.14 jest podatny na Server-Side Request Forgery (SSRF). Wykorzystanie wymaga włączenia w schemacie GraphQL uprawnień 'Edit assets in the <VolumeName> volume' i 'Create assets in the <VolumeName> volume'. Wersje 4.17.9 i 5.9.15 naprawiają problem.

Craft CMS to system zarządzania treścią. W wersjach od 5.6.0 do 5.9.14 endpoint actionSavePermissions() pozwala użytkownikowi z uprawnieniem jedynie viewUsers usuwać dowolnych użytkowników ze wszystkich grup. Podczas gdy _saveUserGroups() wymusza autoryzację dla dodawania, nie sprawdza jej przy usuwaniu, więc przesłanie pustej wartości groups usuwa wszystkie członkostwa w grupach. Wersja 5.9.15 zawiera poprawkę.

W free5GC UDR w wersjach do 1.4.2 włącznie występuje błąd fail-open w obsłudze żądań: handler POST /nudr-dr/v2/policy-data/subs-to-notify kontynuuje przetwarzanie mimo błędów pobrania lub deserializacji ciała żądania. Może to prowadzić do utworzenia subskrypcji powiadomień Policy Data z nieprawidłowymi, pustymi lub częściowo przetworzonymi danymi.

W GitHub Enterprise Server wykryto podatność nieprawidłowej autoryzacji, która pozwalała uwierzytelnionemu atakującemu ustalić nazwy prywatnych repozytoriów na podstawie ich numerycznego ID. Punkt końcowy API polityki mobilnego przesyłania nie wykonywał wczesnej kontroli autoryzacji, a komunikaty błędów walidacji zawierały pełną nazwę repozytorium, do którego wywołujący nie miał dostępu. Podatność dotyczyła wszystkich wersji przed 3.21 i została naprawiona w wersjach 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21 i 3.14.26.

AVideo w wersjach 29.0 i poniżej zawiera niekompletną poprawkę XSS w klasie ParsedownSafeWithLinks, która nadpisuje inlineMarkup dla surowego HTML, ale nie nadpisuje inlineLink() ani inlineUrlTag(). Umożliwia to obejście sanityzacji poprzez adresy URL javascript: w składni linków markdown. Commit cae8f0dadbdd962c89b91d0095c76edb8aadcacf zawiera zaktualizowaną poprawkę.

WWBN AVideo w wersjach 29.0 i starszych zawiera obejście poprawki podatności na przechodzenie katalogów w objects/aVideoEncoderReceiveImage.json.php. Poprawka sprawdza tylko ścieżkę URL pod kątem sekwencji '..', podczas gdy funkcja try_get_contents_from_local() używa explode('/videos/', $url) na pełnym ciągu URL z parametrami zapytania, co pozwala umieścić payload /videos/../../ w query stringu i odczytać dowolne pliki z serwera.

WWBN AVideo w wersjach 29.0 i starszych ma wyrażenie regularne isValidDuration() bez zakotwiczenia końca, co pozwala dołączyć dowolny HTML/JavaScript po poprawnym prefiksie czasu trwania. Spreparowany czas trwania jest zapisywany w bazie i renderowany bez escapowania HTML na stronach trending, playlistach i miniaturach galerii, co prowadzi do przechowywanego XSS.

AVideo w wersjach 29.0 i poniżej pozwala nieuwierzytelnionemu klientowi wymusić wygenerowanie CAPTCHA o długości 1 znaku poprzez parametr ql w objects/getCaptcha.php bez walidacji. W połączeniu z porównaniem strcasecmp bez rozróżniania wielkości liter i brakiem unieważnienia tokenu sesji po nieudanej walidacji, atakujący może łatwo złamać CAPTCHA na dowolnym endpoincie w maksymalnie ~33 żądaniach na sesję. Commit bf1c76989e6a9054be4f0eb009d68f0f2464b453 zawiera poprawkę.

W AVideo w wersjach 29.0 i starszych endpoint objects/commentDelete.json.php usuwa komentarze bez walidacji CSRF, nie sprawdzając tokenu ani nagłówków Origin/Referer. Ponieważ ciasteczko sesji ma SameSite=None, złośliwa strona może automatycznie wysłać żądanie z sesją ofiary i wymusić masowe usunięcie komentarzy.

Platforma AVideo w wersjach 29.0 i starszych posiada liczne endpointy JSON w katalogu objects/, które przyjmują żądania zmieniające stan przez $_REQUEST/$_GET i zapisują zmiany powiązane z sesją użytkownika, bez tokenu anty-CSRF ani weryfikacji origin/referer. Złośliwa strona odwiedzona przez zalogowaną ofiarę może po cichu zmienić ocenę komentarza, dodać komentarz w imieniu ofiary lub usunąć zasoby z kategorii.

nesquena hermes-webui zawiera podatność polegającą na naruszeniu granicy zaufania, która pozwala uwierzytelnionym atakującym ustawić lub zmienić obszar roboczy sesji na dowolny istniejący katalog na dysku poprzez manipulację parametrami ścieżki obszaru roboczego w endpointach takich jak /api/session/new, /api/session/update, /api/chat/start i /api/workspaces/add.

W urządzeniu Comfast CF-N1-S w wersji 2.6.0.1 odkryto lukę w zabezpieczeniach w nieznanej funkcjonalności pliku /cgi-bin/mbox-config?method=SET&section=ping_config w komponencie Endpoint. Manipulacja argumentem destination prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca nie odpowiedział.

KDE Kleopatra w wersji przed 26.08.0 na Windows pozwala lokalnym użytkownikom uzyskać uprawnienia użytkownika Kleopatry z powodu błędu w mechanizmie KUniqueService zapewniającym uruchomienie tylko jednej instancji.