Katalog podatności CVE

WWBN AVideo to otwarta platforma wideo. W wersjach do 26.0 włącznie endpoint plugin/Live/uploadPoster.php pozwala każdemu uwierzytelnionemu użytkownikowi nadpisać obraz plakatu dla dowolnego zaplanowanego transmisji na żywo, podając dowolny live_schedule_id. Endpoint sprawdza tylko User::isLogged(), ale nigdy nie weryfikuje, czy uwierzytelniony użytkownik jest właścicielem docelowego harmonogramu. Po nadpisaniu plakatu endpoint rozgłasza powiadomienie socketLiveOFFCallback zawierające klucz transmisji ofiary i identyfikator użytkownika do wszystkich podłączonych klientów WebSocket. Poprawka w commicie 5fcb3bdf59f26d65e203cfbc8a685356ba300b60.

WWBN AVideo to otwarta platforma wideo. W wersjach do 26.0 włącznie endpoint plugin/PlayLists/View/Playlists_schedules/add.json.php pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami do streamowania tworzyć lub modyfikować harmonogramy transmisji dla dowolnej playlisty w platformie, niezależnie od własności. Gdy harmonogram zostanie wykonany, retransmisja odbywa się pod tożsamością właściciela playlisty ofiary, co umożliwia przejęcie treści i zakłócenie transmisji. Poprawka w commicie 1e6dc20172de986f60641eb4fdb4090f079ffdce.

Wazuh wazuh-agent i wazuh-manager w wersjach od 2.1.0 do 4.8.0 zawierają wiele podatności na wstrzykiwanie poleceń powłoki oraz niezaufaną ścieżkę wyszukiwania, które pozwalają atakującym na wykonanie dowolnych poleceń poprzez różne komponenty, w tym konfigurację logcollector, tagi serwera SMTP maild oraz parametry skryptu Kaspersky AR. Atakujący mogą wykorzystać te podatności, wstrzykując złośliwe polecenia poprzez pliki konfiguracyjne, ustawienia serwera SMTP i niestandardowe flagi, aby osiągnąć zdalne wykonanie kodu na podatnych systemach.

Usługa authd w Wazuh Manager (pakiety wazuh-manager do wersji 4.7.3) zawiera podatność na nieograniczoną renegocjację SSL/TLS, co pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez wysyłanie nadmiernych żądań renegocjacji.

Usługa authd w Wazuh Manager w pakietach wazuh-manager do wersji 4.7.3 zawiera niewłaściwe ograniczenie renegocjacji SSL/TLS inicjowanych przez klienta, co pozwala zdalnym atakującym wywołać odmowę usługi poprzez wysyłanie nadmiernej liczby żądań renegocjacji. Atakujący mogą wykorzystać brak limitów renegocjacji do zużycia zasobów CPU i niedostępności usługi authd.

Endpoint '/api/v1/files/images/{flow_id}/{file_name}' nie wymusza żadnej autoryzacji ani uwierzytelnienia. Każdy nieuwierzytelniony użytkownik może pobrać obrazy należące do dowolnego przepływu, znając lub zgadując identyfikator przepływu i nazwę pliku.

W systemie Clickedu wykryto podatność na odbity cross-site scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy URL wykorzystujący endpoint '/user.php/'. Podatność może być wykorzystana do kradzieży poufnych danych użytkownika, takich jak ciasteczka sesyjne, lub do wykonywania działań w imieniu użytkownika.

Podatność lokalnego ujawnienia plików w komponencie przetwarzania XInclude w Inkscape w wersjach od 1.1 do 1.3 pozwala zdalnemu atakującemu na odczyt lokalnych plików za pomocą spreparowanego pliku SVG zawierającego złośliwe znaczniki xi:include.

W mingSoft MCMS do wersji 5.5.0 wykryto podatność SQL Injection w funkcji list pliku ContentAction.java, w komponencie Web Content List Endpoint. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia kodu SQL. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

W WWBN AVideo w wersjach do 26.0 włącznie funkcja isSSRFSafeURL() waliduje adresy URL pod kątem prywatnych/zastrzeżonych zakresów IP przed pobraniem, ale url_get_contents() podąża za przekierowaniami HTTP bez ponownej walidacji celu przekierowania. Atakujący może obejść ochronę SSRF, przekierowując z publicznego adresu URL do celu wewnętrznego.

W AVideo w wersjach do 26.0 włącznie endpoint save.json.php wtyczki AI ładuje obiekty odpowiedzi AI na podstawie parametru id kontrolowanego przez atakującego, bez sprawdzenia, czy odpowiedź należy do wskazanego wideo. Uwierzytelniony użytkownik z uprawnieniami AI może odwołać się do dowolnego identyfikatora odpowiedzi AI.

WWBN AVideo w wersjach do 26.0 włącznie ma endpoint get_api_video_password_is_correct, który pozwala nieuwierzytelnionemu użytkownikowi sprawdzić, czy hasło jest poprawne dla dowolnego chronionego wideo. Endpoint zwraca pole boolean passwordIsCorrect bez limitowania szybkości, CAPTCHA ani uwierzytelniania, umożliwiając szybkie ataki brute-force. Poprawka znajduje się w commicie 01a0614fedcdaee47832c0d913a0fb86d8c28135.

WWBN AVideo w wersjach do 26.0 zawiera trzy endpointy list.json.php w pluginie Scheduler, które nie mają żadnego sprawdzania uwierzytelnienia, podczas gdy inne endpointy wymagają uprawnień administratora. Nieuwierzytelniony atakujący może pobrać wszystkie zaplanowane zadania, wiadomości e-mail administratora i mapowania użytkowników na adresy e-mail.

W platformie AVideo w wersjach do 26.0 włącznie punkt końcowy objects/playlistsVideos.json.php zwraca pełną zawartość dowolnej playlisty na podstawie jej ID bez uwierzytelnienia i autoryzacji. Prywatne playlisty (w tym watch_later i favorite) są ukryte w listach, ale ich zawartość jest bezpośrednio dostępna przez sekwencyjny parametr playlists_id. Poprawka została zawarta w commicie bb716fbece656c9fe39784f11e4e822b5867f1ca.

OpenBao w wersjach przed 2.5.2 z włączoną metodą uwierzytelniania OIDC/JWT i rolą z `callback_mode=direct` jest podatny na atak XSS poprzez parametr `error_description` na stronie nieudanego uwierzytelnienia. Atakujący może przechwycić token używany w interfejsie WWW ofiary.

W bibliotece brace-expansion przed wersjami 5.0.5, 3.0.2, 2.0.3 i 1.1.13 wzorzec z zerowym krokiem (np. {1..2..0}) powoduje nieskończoną pętlę generowania sekwencji, zawieszając proces na sekundy i alokując dużo pamięci.

GlobaLeaks przed wersją 5.0.89 wykonuje jedynie minimalną walidację zgłoszeń wsparcia przesyłanych przez użytkowników do endpointu /api/support. W efekcie do e-maili wsparcia wysyłanych do administratorów można wstawić dowolne adresy URL. Wersja 5.0.89 naprawia ten problem.

W calibre przed wersją 9.6.0 istnieje podatność path traversal w obsłudze obrazów w plikach Markdown i podobnych plikach tekstowych, pozwalająca włączyć dowolne pliki z systemu do konwertowanej książki. Dodatkowo brak uwierzytelniania i SSRF w endpoincie background-image w widoku web czytnika umożliwiają eksfiltrację plików.

W programie calibre wykryto podatność Server-Side Request Forgery w endpoincie background-image widoku webowego czytnika e-booków. Atakujący może wykonywać ślepe żądania GET do dowolnych adresów URL i wyprowadzać informacje z piaskownicy e-booka. Problem naprawiono w wersji 9.6.0.

W Blog.Core do wersji bcb4d17 interfejs API getinfobytoken ma nieprawidłową kontrolę dostępu, co prowadzi do ujawnienia wrażliwych danych. Nieautoryzowane strony mogą uzyskać poufne informacje o koncie administratora za pomocą ważnego tokena, zagrażając bezpieczeństwu systemu.