Katalog podatności CVE

Parse Server to oprogramowanie backendowe typu open source. W wersjach przed 9.8.0-alpha.6 i 8.6.74 czas odpowiedzi endpointu logowania różni się w zależności od tego, czy podana nazwa użytkownika lub e-mail istnieje w bazie. Gdy użytkownik nie istnieje, serwer odpowiada natychmiast; gdy istnieje, ale hasło jest błędne, najpierw wykonywane jest porównanie bcrypt, co dodaje opóźnienie. Różnica czasowa pozwala nieuwierzytelnionemu atakującemu na enumerację prawidłowych nazw użytkowników.

Rozwiązano problem, który mógł ujawniać rekordy poza autoryzowanym zakresem organizacji poprzez punkty końcowe MCP. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 3.0 (Low). Problem naprawiono w wersji 4.0.260206.0 platformy runZero.

Rozwiązano problem, który mógł ujawniać informacje o zadaniach poza autoryzowanym zakresem organizacji. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 2.2 (Low). Problem naprawiono w wersji 4.0.260205.0 platformy runZero.

Rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o certyfikatach spoza ich autoryzowanego zakresu organizacji. Jest to przypadek CWE-863 (nieprawidłowa autoryzacja) o szacowanym CVSS 3.0 (Low). Podatność naprawiono w wersji 4.0.260203.0 platformy runZero.

W platformie runZero rozwiązano problem, który mógł pozwolić użytkownikowi posiadającemu dane uwierzytelniające na przeglądanie poufnych pól poprzez odpowiedź API. Jest to wystąpienie CWE-200: ujawnienie poufnych informacji nieuprawnionemu podmiotowi, o szacowanym wyniku CVSS 2.7 (Low). Problem naprawiono w wersji 4.0.260203.0.

W Django w wersjach 6.0 przed 6.0.4, 5.2 przed 5.2.13 oraz 4.2 przed 4.2.30 wykryto problem, w którym formularze changelist w panelu administracyjnym używające ModelAdmin.list_editable nieprawidłowo pozwalały na tworzenie nowych instancji poprzez sfałszowane dane POST. Wcześniejsze, niewspierane serie Django (5.0.x, 4.1.x, 3.2.x) również mogą być podatne.

Podatność w module DNS Erlang/OTP (inet_res, inet_db) umożliwia zatruwanie pamięci podręcznej DNS. Rozwiązanie używa sekwencyjnego, globalnego 16-bitowego ID transakcji bez randomizacji portu źródłowego, co ułatwia atakującemu przewidzenie ID i wstrzyknięcie fałszywych odpowiedzi.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w endpointcie check.php wtyczki BlockonomicsYPT. Endpoint zwraca dane zamówienia płatności dla dowolnego adresu Bitcoin bez wymagania uwierzytelnienia, co pozwala atakującemu na odczyt rekordów płatności dla dowolnego adresu używanego na platformie.

W aplikacji Meesho Online Shopping App na Androida do wersji 27.3 w komponencie com.meesho.supply w pliku /api/endpoint występuje podatność polegająca na użyciu ryzykownego algorytmu kryptograficznego. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.

W systemie Cyber-III Student-Management-System do wersji 1a938fa61e9f735078e9b291d2e6215b4942af3f występuje podatność typu cross-site scripting w pliku /admin/Add%20notice/add%20notice.php. Manipulacja argumentem $_SERVER['PHP_SELF'] prowadzi do wykonania kodu JavaScript. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty.

W interfejsie administracyjnym Pi-hole funkcja formatInfo() w pliku queries.js renderuje wartości data.upstream, data.client.ip oraz data.ede.text do HTML bez escapowania podczas rozwijania wiersza zapytania w dzienniku zapytań. Umożliwia to przechowywaną iniekcję HTML; wykonanie JavaScriptu blokuje CSP serwera (script-src 'self'). Podatność naprawiono w wersji 6.5.

W interfejsie administracyjnym Pi-hole nazwy hostów i adresy IP klientów z bazy FTL są renderowane do DOM bez escapowania w plikach network.js oraz charts.js/index.js. Mimo że walidacja w dnsmasq i FTL blokuje znaki HTML w normalnych ścieżkach DHCP/DNS, interfejs nie wykonuje escapowania wyjścia, co jest niespójne z innymi polami. Podatność naprawiono w wersji 6.5.

W code-projects Online Shoe Store 1.0 wykryto podatność Cross-Site Scripting (XSS) w komponencie Add Product Page (plik /admin/admin_feature.php). Manipulacja argumentem product_name umożliwia zdalny atak, a exploit jest publicznie dostępny.

W Cyber-III Student-Management-System (do commita 1a938fa61e9f735078e9b291d2e6215b4942af3f) odkryto podatność Cross-Site Scripting (XSS) w pliku /admin/Add%20notice/batch-notice.php. Manipulacja argumentem $_SERVER['PHP_SELF'] umożliwia zdalny atak, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.

W aplikacji Cyber-III Student-Management-System wykryto podatność typu cross-site scripting w pliku /admin/Add%20notice/notice.php, wynikającą z niewłaściwego przetwarzania parametru $_SERVER['PHP_SELF']. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny. Producent nie odpowiedział na zgłoszenie.

W Keycloak wykryto podatność polegającą na wstrzykiwaniu nagłówka CORS w punkcie końcowym tokena UMA. Atakujący zdalny może wykorzystać tę lukę, wysyłając specjalnie spreparowany token JWT z kontrolowaną wartością `azp`, która jest odzwierciedlana w nagłówku `Access-Control-Allow-Origin` przed walidacją podpisu JWT. Problem występuje tylko wtedy, gdy klient docelowy jest błędnie skonfigurowany z `webOrigins: ["*"]`.

W hcengineering Huly Platform 0.7.382, komponent JWT Token Handler w pliku foundations/core/packages/token/src/token.ts używa zakodowanego na stałe klucza kryptograficznego (SERVER_SECRET z wartością 'secret'). Atak może być przeprowadzony zdalnie, ale jest uważany za trudny ze względu na wysoką złożoność. Producent nie odpowiedział na zgłoszenie.

W Zcash zcashd przed wersją 6.12.0 wykryto, że nieprawidłowe transakcje mogą być akceptowane w pewnych warunkach, ponieważ czasami nie weryfikowano dowodów Sprout. Może to prowadzić do wyczerpania środków użytkowników z puli Sprout.

W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Electron na Windows nie cytuje ścieżki pliku wykonywalnego przy zapisie do rejestru Run, co pozwala atakującemu z dostępem do katalogu nadrzędnego na podmianę pliku uruchamianego przy logowaniu.