Katalog podatności CVE

W backendzie FTP GVfs wykryto podatność walidacji danych wejściowych. Zdalny atakujący może dostarczyć specjalnie spreparowane ścieżki plików zawierające sekwencje CRLF, co pozwala zakończyć zamierzone polecenia FTP i wstrzyknąć dowolne polecenia FTP.

W backendzie FTP GVfs wykryto podatność, w której złośliwy serwer FTP może podać dowolny adres IP i port w odpowiedzi trybu pasywnego (PASV). Klient bezwarunkowo ufa tym informacjom i próbuje połączyć się ze wskazanym punktem końcowym, co pozwala złośliwemu serwerowi sondować otwarte porty dostępne z sieci klienta.

W aplikacji VideoLAN VLC dla systemu Android przed wersją 3.7.0 wykryto podatność na przechodzenie do katalogów nadrzędnych (path traversal) w serwerze zdalnego dostępu. Podatność występuje w uwierzytelnionym punkcie końcowym GET /download, gdzie parametr file jest łączony ze ścieżką systemu plików bez odpowiedniej kanonizacji ani sprawdzania ograniczeń katalogowych. Umożliwia to uwierzytelnionemu atakującemu z dostępem sieciowym do serwera zdalnego dostępu żądanie plików spoza zamierzonego katalogu.

Podatność ataku na nagłówek Host HTTP w aplikacjach WebClient i WebScheduler PcVue (wersje 15.0.0 do 16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie szkodliwych ładunków manipulujących działaniem serwera. Problem dotyczy konkretnych endpointów: /Authentication/ExternalLogin, /Authentication/AuthorizationCodeCallback oraz /Authentication/Logout.

W aplikacjach webowych GraphicalData i WebClient oprogramowania PcVue w wersjach od 12.0.0 do 16.3.3 brakuje atrybutów Secure i SameSite w ciasteczkach. Umożliwia to ataki przechwytywania sesji oraz ataki CSRF.

Serwer WWW nie ustawia prawidłowo niektórych nagłówków bezpieczeństwa HTTP w odpowiedziach wysyłanych do aplikacji klienckiej. Może to prowadzić do osłabienia ochrony przed atakami typu XSS, clickjacking czy inne zagrożenia związane z brakiem odpowiednich nagłówków.

Podatność XSS w usługach OAuth PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu na stronę błędu serwera OAuth. Atak wymaga nakłonienia uwierzytelnionego użytkownika do załadowania treści z zewnętrznej strony po nieudanym logowaniu.

Podatność w PcVue (wersje 12.0.0–16.3.3) powoduje, że domyślna konfiguracja IIS i ASP.NET dodaje nagłówki HTTP, które nie są usuwane podczas wdrażania usług sieciowych dla funkcji WebVue, WebScheduler, TouchVue i SnapVue. Umożliwia to niepotrzebne ujawnianie poufnych informacji o konfiguracji serwera.

Brak walidacji pochodzenia w WebSocketach w interfejsach WebVue, WebScheduler, TouchVue i SnapVue oprogramowania PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu nakłonienie uwierzytelnionego użytkownika do odwiedzenia złośliwej strony. Podatność dotyczy tylko endpointów GraphicalData/js/signalR/connect i GraphicalData/js/signalR/reconnect.

Podatność XSS w potoku internacjonalizacji (i18n) Angulara pozwala na wykonanie dowolnego kodu JavaScript w aplikacji, jeśli atakujący skompromituje plik tłumaczeń. Problem dotyczy wersji przed 21.2.0, 21.1.16, 20.3.17 i 19.2.19, gdzie HTML z przetłumaczonych komunikatów ICU nie był odpowiednio sanityzowany.

FreeRDP to darmowa implementacja protokołu Remote Desktop Protocol. W wersjach z gałęzi 2.x przed 2.11.8 oraz 3.x przed 3.23.0 występuje luka out-of-bounds read w kanale RDPGFX klienta FreeRDP, pozwalająca złośliwemu serwerowi RDP na odczyt niezainicjalizowanej pamięci sterty poprzez wysłanie spreparowanego pakietu WIRE_TO_SURFACE_2 z wartością bitmapDataLength większą niż rzeczywiste dane w pakiecie. Może to prowadzić do ujawnienia informacji lub awarii klienta, gdy użytkownik łączy się ze złośliwym serwerem. Wersje 2.11.8 i 3.23.0 naprawiają ten problem.

OpenEMR to darmowa aplikacja open source do prowadzenia dokumentacji medycznej. Przed wersją 8.0.0 kontroler dokumentów w kontekście patient_picture udostępnia zdjęcie pacjenta na podstawie identyfikatora dokumentu lub pacjenta bez weryfikacji, czy bieżący użytkownik ma uprawnienia do tego pacjenta. Uwierzytelniony użytkownik z uprawnieniami ACL do dokumentów może podać identyfikator innego pacjenta i pobrać jego zdjęcie.

W module auth_jwt programu OpenSIPS przed wersją 3.6.4 występuje podatność na iniekcję SQL w funkcji jwt_db_authorize(). Atakujący może wysłać spreparowany token JWT ze złośliwym polem tag, które bez odpowiedniego oczyszczenia trafia do zapytania SQL, co pozwala na ominięcie uwierzytelniania JWT i podszycie się pod dowolnego użytkownika.

W demonie udisks wykryto błąd pozwalający nieuprzywilejowanym użytkownikom na tworzenie kopii zapasowych nagłówków szyfrowania LUKS bez autoryzacji. Uprzywilejowana metoda D-Bus eksportująca metadane szyfrowania nie wykonuje sprawdzenia polityki.

Komponent RepoCard w bibliotece Repostat przed wersją 1.0.1 jest podatny na odbity XSS, ponieważ używa dangerouslySetInnerHTML do renderowania nazwy repozytorium bez sanityzacji. Jeśli deweloper przekazuje niezwalidowane dane użytkownika do właściwości repo, atakujący może wykonać dowolny JavaScript w przeglądarce użytkownika.

Podatność w Parse Dashboard w wersjach od 7.3.0-alpha.42 do 9.0.0-alpha.7 powoduje, że pamięć podręczna `ConfigKeyCache` używa tego samego klucza dla klucza głównego i klucza głównego tylko do odczytu podczas rozwiązywania kluczy typu funkcyjnego. W określonych warunkach czasowych użytkownik z ograniczonymi uprawnieniami może otrzymać z pamięci podręcznej pełny klucz główny, a zwykły użytkownik może otrzymać klucz główny tylko do odczytu.

Parse Dashboard w wersjach od 7.3.0-alpha.42 do 9.0.0-alpha.7 nie posiada ochrony CSRF dla endpointu AI Agent (`POST /apps/:appId/agent`). Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego użytkownika dashboardu wysyła żądania do tego endpointu, wykorzystując sesję ofiary.

GetSimpleCMS Community Edition w wersjach przed 3.3.22 zawiera podatność na trwałe XSS w funkcjonalności Theme to Components w pliku components.php. Wprowadzona przez administratora wartość w polu "slug" komponentu jest przechowywana bez odpowiedniego kodowania wyjścia, co pozwala na wykonanie dowolnego kodu JavaScript w interfejsie administracyjnym.