Katalog podatności CVE

Nextcloud Tables przed wersjami 0.8.6 i 0.9.3 umożliwia złośliwemu użytkownikowi utworzenie własnej tabeli, a następnie przeniesienie kolumny do tabeli ofiary. Podatność została naprawiona w wersjach 0.8.6 i 0.9.3.

Nextcloud Tables przed wersjami 0.8.9, 0.9.6 i 1.0.1 nie ograniczał informacji o tym, który stół (numeryczne ID) jest udostępniany którym grupom lub użytkownikom oraz odpowiednich uprawnień wyłącznie do uprzywilejowanych użytkowników. Podatność została naprawiona w wersjach 0.8.9, 0.9.6 i 1.0.1.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na trwałe skrypty krzyżowe (Stored XSS) w punkcie końcowym /rmm/v1/plugin-config/addins/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis menu AddIns, wartości label i path są przechowywane w konfiguracji wtyczki i później renderowane w interfejsie AddIns bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie wykonuje się w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z dotkniętym wpisem AddIns, potencjalnie umożliwiając przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/rule-engines. Gdy uwierzytelniony użytkownik tworzy lub aktualizuje regułę dla agenta, pola reguły min, max i unit są przechowywane i później wyświetlane na listach reguł lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego lub więcej z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z daną regułą, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/dog/{agentId}. Gdy uwierzytelniony użytkownik dodaje lub edytuje reguły procesu Software Watchdog dla agenta, nazwa monitorowanego procesu jest przechowywana w tablicy ustawień i później wyświetlana w interfejsie Software Watchdog bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy procesu, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danymi regułami, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/plugin-config/dashboards/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis pulpitu nawigacyjnego, wartości label i path są przechowywane w danych konfiguracyjnych wtyczki i później wyświetlane w interfejsie pulpitu nawigacyjnego bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do któregokolwiek z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym pulpitem nawigacyjnym, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devices/name/{agent_id}. Gdy uwierzytelniony użytkownik zmienia nazwę urządzenia, wartość new_name jest przechowywana i później wyświetlana na listach urządzeń lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy urządzenia, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym urządzeniem, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicegroups/. Gdy uwierzytelniony użytkownik tworzy grupę urządzeń, wartości name i description są przechowywane i później wyświetlane w listach grup urządzeń bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z grupą urządzeń.

Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność typu stored XSS w punkcie końcowym /rmm/v1/action/schedule. Nazwa harmonogramu dodawanego przez uwierzytelnionego użytkownika jest zapisywana i wyświetlana bez sanityzacji HTML, co pozwala wstrzyknąć złośliwy skrypt.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicemap/building. Gdy uwierzytelniony użytkownik tworzy wpis mapy, parametr name jest przechowywany i później wyświetlany w interfejsie listy map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy wpisu mapy, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z wpisem mapy.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devicemap/plan. Gdy uwierzytelniony użytkownik dodaje obszar do wpisu mapy, parametr name jest przechowywany i później wyświetlany na liście map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy obszaru, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym wpisem mapy, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność na przechowywany atak XSS w punkcie końcowym /rmm/v1/action/defined. Gdy uwierzytelniony użytkownik tworzy zadanie, wartość defined_name jest przechowywana i później renderowana na stronie przeglądu bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkowników przeglądających zadanie.

Nextcloud Server i Enterprise Server przed wersjami 30.0.9 i 31.0.1 mają nieprawidłowe przetwarzanie ścieżek w groupfolders, co powoduje, że aplikacja admin_audit nie rejestruje prawidłowo wszystkich akcji na plikach i folderach w groupfolders.

Aplikacja Nextcloud Calendar przed wersjami 4.7.17 i 5.2.4 pozwala złośliwemu użytkownikowi utworzyć wydarzenie z załącznikiem wskazującym na link do pliku na tym samym serwerze Nextcloud. Plik jest pobierany bez potwierdzenia akcji przez użytkownika.

Nextcloud Server to samodzielnie hostowany system chmury osobistej. W Nextcloud Server i Enterprise Server przed wersją 31.0.1 nieuprzywilejowani użytkownicy mogą modyfikować tagi na plikach, do których nie powinni mieć dostępu, poprzez masowe tagowanie. Podatność została naprawiona w wersji 31.0.1.

Nextcloud Server to samodzielnie hostowany system chmury osobistej. W Nextcloud Server i Server Enterprise przed wersjami 31.0.12 i 32.0.3 brak sanityzacji pozwalał złośliwym użytkownikom obejść politykę bezpieczeństwa treści (CSP), gdy udało im się nakłonić użytkownika do wyświetlenia przesłanego pliku SVG poza stroną internetową Nextcloud Server.

Aplikacja Nextcloud Calendar przed wersją 6.0.3 generuje tokeny uczestników propozycji spotkań przy użyciu funkcji skrótu, co pozwala atakującemu obliczyć prawidłowe tokeny. Dzięki temu atakujący może uzyskać szczegóły i zgłaszać terminy w propozycjach spotkań. Tokeny nie są generowane w sposób w pełni losowy.

Nextcloud Server to samodzielnie hostowany system chmury osobistej. W Nextcloud Server przed 31.0.10 i 32.0.1 oraz Nextcloud Enterprise Server przed 28.0.14.11, 29.0.16.8, 30.0.17.3 i 31.0.10 wyszukiwanie kontaktów pozwalało na uzyskanie danych osobowych innych użytkowników (e-maile, nazwiska, identyfikatory) bez odpowiedniej kontroli dostępu. Umożliwia to uwierzytelnionemu użytkownikowi uzyskanie informacji o kontach, które nie są powiązane ani dodane jako kontakty.

W bibliotece util-linux wykryto podatność polegającą na odczycie poza zakresem sterty podczas przetwarzania 256-bajtowych nazw użytkowników w funkcji `setpwnam()`. Problem dotyczy narzędzi SUID (Set User ID) w login-utils, które zapisują do bazy haseł.

W Edimax BR-6478AC V3 1.0.15 wykryto lukę w funkcji sub_44CCE4 w pliku /boafrm/formSysCmd. Manipulacja argumentem sysCmd prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.