Katalog podatności CVE

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.

Blinko do wersji 1.8.8 zawiera podatność typu insecure direct object reference w routerze tRPC tagów, która pozwala uwierzytelnionym użytkownikom odczytywać i modyfikować tagi innych użytkowników poprzez podanie dowolnych identyfikatorów tagów. Atakujący mogą enumerować sekwencyjne identyfikatory za pomocą fullTagNameById, updateTagIcon i updateTagOrder, aby ujawnić prywatne tematy notatek i manipulować ikonami oraz kolejnością tagów.

Sharkord przed wersją 0.0.26 zawiera brak autoryzacji w mutacji tRPC others.changeLogo, która pozwala każdemu uwierzytelnionemu członkowi modyfikować logo serwera bez uprawnienia MANAGE_SETTINGS. Atakujący mogą usunąć obecne logo i zastąpić je przesłanym obrazem, który jest publikowany dla wszystkich połączonych klientów.

Sharkord przed wersją 0.0.8 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu członkowi zmieniać ustawienia serwera poprzez wywołanie mutacji tRPC others.updateSettings bez uprawnienia MANAGE_SETTINGS. Atakujący mogą ustawić hasło dołączania, wyłączyć rejestrację, wyzerować limity przesyłania lub przełączać ładowanie wtyczek, aby odmówić usługi innym członkom.

Baserow przed wersją 2.3.0 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać wartości pól z innych przestrzeni roboczych poprzez endpoint API unique_row_values. Atakujący mogą enumerować sekwencyjne identyfikatory pól, aby pobrać do 100 różnych wartości komórek na pole z tabel w przestrzeniach roboczych, do których nie należą.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 3.7.1 modułu import-export, kontynuacja duplikatu importu akceptuje wybory zamiany kontrolowane przez klienta bez powiązania ich z analizą po stronie serwera należącą do użytkownika lub autoryzacji kanonicznego celu. W przypadku typu lokalizowanego z włączonym importem, współpracownik z uprawnieniami do edycji szkiców może przekroczyć granicę publikacji, wybierając opublikowany dokument do zamiany, chociaż obecna ocena opiera się na przeglądzie poprawek, a nie na powtórzonej reprodukcji end-to-end. Problem został naprawiony w wersji 3.7.1.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 3.7.1 modułu import-export, uwierzytelniony importer może przesłać archiwa, których zdekompresowane bajty, liczba wpisów i rozmiary wpisów nie są ograniczone przed autoryzacją typu dokumentu, a błędy ekstrakcji lub parsowania mogą pozostawić artefakty staging i wyodrębnione bez bezwarunkowego czyszczenia. Już wzmocnione ścieżki przed uwierzytelnieniem i błędów zapisu są oddzielne, a obecny wpływ end-to-end na odmowę usługi z tej pozostałej ścieżki pozostaje przedmiotem walidacji przez opiekunów. Problem został naprawiony w wersji 3.7.1.

W ApostropheCMS przed wersją 4.34.0 publiczny typ REST API korzystający z publicApiProjection może ujawniać informacje o wykluczonych polach wyszukiwania lub sortowania poprzez oracle'e przynależności do wyników wyszukiwania i kolejności sortowania. Zwracane pola nadal są filtrowane przez projekcję, więc problem pozwala na ukierunkowane wnioskowanie o ukrytych wartościach, a nie na nieograniczony zrzut pól.

W module import-export ApostropheCMS przed wersją 3.7.1 przewidywalne nazwy plików archiwów eksportu pozwalają nieuwierzytelnionemu żądającemu pobrać eksport innego użytkownika z publicznie czytelnego magazynu eksportów, zanim archiwum wygaśnie lub zostanie usunięte. Użytkownik z uprawnieniami do eksportu musi najpierw utworzyć archiwum, a witryny z wyłączonymi eksportami, prywatnym magazynem przesyłania lub uwierzytelnionym dostarczaniem przesyłania nie są narażone tą ścieżką pobierania przez sieć.

W ApostropheCMS przed wersją 4.34.0 żądanie POST /api/v1/@apostrophecms/doc/slugTaken z ciałem { "slug": "target-slug" } zwraca wartość logiczną wskazującą, czy slug jest używany we wszystkich typach dokumentów i poziomach widoczności, bez filtra uprawnień lub typu. Każdy zalogowany użytkownik (w tym edytorzy) może wyliczyć przestrzeń slugów prywatnych stron, wersji roboczych i zarchiwizowanej zawartości.

W ApostropheCMS przed wersją 4.34.0 pole koloru akceptuje końcową zawartość po prawidłowym prefiksie rgb() lub hsl(), ponieważ walidacja TinyColor nie wymaga dopasowania całej wartości do koloru. Uwierzytelniony użytkownik z prawami edycji może zapisać dowolny HTML po prawidłowym prefiksie koloru. Gdy zapisana wartość jest renderowana, ładunek wykonuje się, co prowadzi do przechowywanego XSS.

W Vitest od wersji 4.1.11 do 4.1.12 i 5.0.3 funkcje isFileLoadingAllowed i odczyt systemu plików interpretują backslashe inaczej w systemie Windows w pliku packages/mocker/src/node/interceptorPlugin.ts. Gdy klient może dotrzeć do serwera deweloperskiego Vite w systemie Windows i zarejestrować mock przekierowania zawierający traversal z backslashem, łączenie POSIX zachowuje traversal z backslashem Windows, który późniejszy odczyt systemu plików interpretuje jako separator ścieżki, więc klient może odczytać plik poza server.fs.allow, do którego proces Vitest ma dostęp.

W Vitest od wersji 2.1.0-beta.7 do 4.1.12 i 5.0.3 nieuwierzytelniony klient WebSocket inny niż przeglądarka, który może dotrzeć do serwera deweloperskiego używającego interceptorPlugin, może zarejestrować ręczny mock, którego kontrolowany przez atakującego adres URL createManualModuleSource wstawia bez escapowania do wygenerowanego źródła modułu. Gdy przeglądarka dewelopera ładuje zaatakowany moduł, kontrolowany przez atakującego JavaScript wykonuje się w origin serwera deweloperskiego.

Vitest w wersjach od 5.0.0-beta.6 do 5.0.5 nieprawidłowo stosuje ustawienie server.fs.deny, ponieważ serwery projektowe zastępują domyślne ustawienia Vite, a serwer główny dodaje plik .vitest-secret-token po skompilowaniu matchera przez Vite. Atakujący z dostępem do interfejsu UI, trybu Browser Mode lub serwera API może odczytać zablokowane pliki projektu lub token API w node_modules/.vitest/.vitest-secret-token, a tryb Browser Mode z test.projects może ujawnić wartości .env przez złośliwą stronę.

Vite w wersjach od 8.2.0 do 8.2.4 oraz 8.3.3 pozwala na zwrócenie do przeglądarki pierwszych 4 bajtów plików spoza ustawienia server.fs poprzez żądanie zawierające parametr ?vite-wasm-instance. Wewnętrzny plugin Wasm usuwa parametr i odczytuje ścieżkę bezpośrednio z dysku, nie stosując kontroli server.fs, a błąd parsowania WebAssembly ujawnia pierwsze 4 bajty pliku.

Vite przed wersjami 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 może zapisać w safeModulePaths adres URL względny wobec katalogu głównego zamiast oczyszczonego identyfikatora modułu. Na dostępnym sieciowo serwerze deweloperskim (nie na Windows) zaimportowany plik projektu, którego URL odpowiada absolutnej ścieżce hosta, może autoryzować późniejsze żądanie odczytu tego pliku hosta, jeśli nie zablokuje go server.fs.deny.

Wtyczka WordPress SureCart w wersjach do 4.9.5 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.

Wtyczka WordPress Booktics w wersjach do 1.0.30 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.

Wtyczka WordPress Bus Ticket Booking with Seat Reservation w wersjach do 5.9.7 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.