Katalog podatności CVE

Bastille w wersjach do 1.4.4 zawiera podatność na podążanie za dowiązaniami symbolicznymi w podkomendach cp.sh, rcp.sh i jcp.sh, umożliwiającą użytkownikom w jailu ucieczkę z izolacji. Atakujący wewnątrz jaila może utworzyć dowiązania wskazujące na ścieżki hosta lub inne korzenie jaili, przez co kopie uruchamiane przez administratora nadpisują lub odczytują pliki hosta z uprawnieniami roota.

xiaozhi-esp32-server w wersjach do 0.9.8 zawiera obejście uwierzytelniania w WebSocketServer._handle_auth, które pozwala zdalnym nieuwierzytelnionym atakującym pominąć weryfikację tokenu Bearer HMAC poprzez podszycie się pod nagłówek Device-ID. Atakujący podający identyfikator urządzenia w formacie adresu MAC z listy dozwolonych może otworzyć uwierzytelnioną sesję WebSocket, wydawać polecenia asystenta głosowego, wymieniać dźwięk i czytać kontekst rozmów tego urządzenia.

WPGraphQL w wersjach przed 2.24.1 zawiera brak autoryzacji w mutacji createComment, który pozwala nieuwierzytelnionym atakującym komentować niepubliczne wpisy poprzez obejście sprawdzania statusu wpisu. Atakujący może dołączać komentarze do szkiców, wpisów prywatnych, usuniętych lub chronionych hasłem, ujawniając ukryte tytuły przez powiadomienia moderatorów, wyliczając identyfikatory wpisów oraz ustawiając daty wsteczne lub oznaczając komentarze jako pingbacki.

WPGraphQL w wersjach przed 2.24.1 zawiera brak ograniczania szybkości żądań, który pozwala nieuwierzytelnionym atakującym zalewać skrzynki e-mailami resetującymi hasło poprzez aliasowanie mutacji sendPasswordResetEmail. Atakujący może wysłać jedno żądanie HTTP z wieloma aliasami, omijając batch_limit, wyczerpując limity dostawcy poczty i wielokrotnie rotując klucze resetowania, blokując legalne odzyskiwanie hasła.

WPGraphQL w wersjach przed 2.24.2 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym ustalić istnienie obiektów na podstawie różnych odpowiedzi błędów. Atakujący może iterować identyfikatory w mutacjach deleteMediaItem, updateMediaItem, deleteComment i updateComment, aby odkryć ukryte szkice, wpisy prywatne, usunięte, niestandardowe typy wpisów i niezatwierdzone komentarze.

WPGraphQL Smart Cache w wersjach przed 2.3.3 zawiera podatność na niekontrolowane zużycie zasobów, która pozwala nieuwierzytelnionym atakującym trwale zapisywać nieograniczoną liczbę dokumentów zapytań przez obsługę Automatic Persisted Query. Atakujący może wysyłać różne zapytania z pasującymi wartościami queryId SHA-256, w tym operacje wsadowe, aby nieograniczenie powiększać tabelę wp_posts i pogarszać wydajność bazy danych.

Wtyczka JetFormBuilder (Crocoblock) w wersjach do 3.6.7.1 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to prowadzić do wstrzyknięcia kodu w kontekście strony.

Wtyczka The Events Calendar (Liquid Web / StellarWP) w wersjach do 6.18.2 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt może zostać trwale zapisany i wykonany u użytkowników przeglądających stronę.

W wersjach @zuke/cli przed 1.4.0 narzędzie sprawdza nazwy szablonów przez lstat, ale następnie wykonuje operacje odczytu, zapisu i zmiany uprawnień podążające za dowiązaniami symbolicznymi w poleceniach zuke setup i zuke import. Atakujący może dostarczyć niezaufane repozytorium, szablon lub archiwum zawierające dowiązanie symboliczne o nazwie szablonu, co pozwala nadpisać plik poza wybranym katalogiem z uprawnieniami użytkownika uruchamiającego narzędzie. Podatność naprawiono w wersji 1.4.0.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core zapisuje notatki reportSummary(...) do GITHUB_STEP_SUMMARY przez writeJobSummary bez stosowania redaktora chroniącego wartości secret(). Budowanie GitHub Actions, które umieszcza tekst pochodzący z sekretów w notatce podsumowania, może ujawnić poświadczenia w postaci jawnej wszystkim mogącym zobaczyć uruchomienie workflow.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.10.0 bramka @zuke/gh githubWorkflow(...) koreluje uruchomienie workflow jedynie na podstawie znacznika tytułu widocznego na liście uruchomień, który może skopiować inny dyspozytor. W konfiguracjach, gdzie zewnętrzne repozytorium workflow przyznaje uprawnienie workflow_dispatch stronie niezaufanej w równym stopniu, atakujący może wywołać uruchomienie ze znacznikiem i spowodować przyjęcie jego wyniku bez weryfikacji zdarzenia, ref lub okna czasowego.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core uruchamia rozwiązane shimy Windows .cmd i .bat, poprzedzając je cmd /c, co powoduje ponowne parsowanie wiersza poleceń przez cmd.exe zgodnie z regułami cytowania C-runtime. Budowanie na Windows, które rozwiązuje narzędzie z node_modules/.bin i przekazuje tekst pod wpływem atakującego zawierający niecytowany znak &, | lub ^, może wykonać dodatkowe polecenie wybrane przez atakującego w kontekście budowania z dostępem do jego poświadczeń.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 tryb rejestru MCP @zuke/core akceptuje deskryptory rejestru w formie poleceń bez stosowania autoryzacji ZUKE_REGISTRY_LAUNCH_HOSTS wymaganej dla zdalnych deskryptorów modułów. Gdy zuke mcp --registry --allow-run czyta rejestr zapisywalny przez inną stronę, a wywołujący z uprawnieniami uruchamiania wywoła dotknięte narzędzie, piszący do rejestru może wybrać program i argumenty wykonywane ze środowiskiem i dostępem do obszaru roboczego operatora.

Serwer zarządzania WWW urządzenia Tenda W18E jest podatny na wstrzyknięcie poleceń systemu operacyjnego poprzez funkcję przechwytywania pakietów "diagnose" z powodu niewłaściwej walidacji pól JSON. Uwierzytelniony użytkownik może wstrzyknąć metaznaki powłoki do pól protocol lub targetDevice, które są następnie łączone w polecenie tcpdump i wykonywane z uprawnieniami roota. Podatność można wykorzystać bez uwierzytelnienia, jeśli urządzenie jest w stanie przywrócenia ustawień fabrycznych.

Problem w punkcie końcowym GraphQL serwera traggo w wersji 0.8.3 pozwala atakującym wywołać odmowę usługi (DoS) poprzez spreparowane żądanie POST do punktu końcowego GraphQL.

Podatność typu path traversal w komponencie FeaturedImage w astro-notion-blog 0.13.0 pozwala atakującym wyjść poza zamierzony katalog oraz odczytywać i nadpisywać pliki na serwerze poprzez spreparowany adres URL.

Uwierzytelniona podatność cross-site scripting (XSS) w komponencie /spina/embeddable.rb w Spina CMS v2.21.0 pozwala atakującym wykonać dowolne skrypty internetowe lub HTML poprzez wstrzyknięcie spreparowanego adresu URL.

Wtyczka Webba Booking (webba-booking-lite) zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.5.4 włącznie.

RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.