Katalog podatności CVE

Wtyczka OOPSpam Anti-Spam dla WordPressa w wersjach do 1.2.53 włącznie jest podatna na fałszowanie nagłówków IP. Wtyczka ufa nagłówkom przekazywanym przez klienta (np. CF-Connecting-IP, X-Forwarded-For) bez weryfikacji, czy pochodzą one z zaufanych proxy, co pozwala nieuwierzytelnionym atakującym na podszywanie się pod dowolny adres IP.

Wtyczka Zombify dla WordPressa do wersji 1.7.5 włącznie jest podatna na Path Traversal z powodu niewystarczającej walidacji wejścia w funkcji zf_get_file_by_url. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym odczyt dowolnych plików na serwerze, w tym wrażliwych plików systemowych jak /etc/passwd, poprzez spreparowane żądanie. Skuteczne wykorzystanie zależy od wyścigu (race condition), ponieważ wygenerowany plik jest natychmiast usuwany.

Biblioteka cryptidy w wersjach do 1.2.4 włącznie pozwala na wykonanie kodu poprzez niezaufane dane, ponieważ w funkcji aes_decrypt_message w pliku symmetric_encryption.py używana jest funkcja pickle.loads. Deserializacja niezaufanych danych przez pickle może prowadzić do wykonania dowolnego kodu.

Urządzenia FutureNet MA i IP-K firmy Century Systems Co., Ltd. udostępniają w wewnętrznej stronie WWW informacje o wersji firmware oraz informacje o garbage collection. Za pomocą spreparowanego żądania HTTP można uzyskać do nich dostęp bez uwierzytelnienia.

Wtyczka RealPress dla WordPressa przed wersją 1.1.0 rejestruje trasy REST bez odpowiednich sprawdzeń uprawnień, co pozwala na tworzenie stron i wysyłanie e-maili z witryny.

Wtyczka FuseWP dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_changes() w wersjach do 1.1.23.0 włącznie. Nieuwierzytelnieni atakujący mogą dodawać i edytować reguły synchronizacji.

Wtyczka Qzzr Shortcode dla WordPressa do wersji 1.0.1 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'quiz' w shortcode 'qzzr' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać skrypty.

W Brave Browser Desktop przed 1.83.10 z włączoną funkcją podziału widoku, opcja 'Open Link in Split View' nie respektowała atrybutu SameSite cookie. W rezultacie ciasteczka SameSite=Strict były wysyłane podczas nawigacji między witrynami.

W Revive Adserver w wersji 5.5.2 zidentyfikowano podatność typu reflected Cross-Site Scripting (XSS). Atakujący może nakłonić użytkownika mającego dostęp do interfejsu Revive Adserver do kliknięcia specjalnie spreparowanego URL i wykonania wstrzykniętego kodu JavaScript w kontekście przeglądarki ofiary. Podatność występuje w pliku admin-search.php i jest wykorzystywana przez parametr compact.

Nagios XI w wersjach przed 2024R1.4.2 ujawniał klucze API użytkownikom, którzy nie mieli uprawnień do dostępu API, podczas korzystania z motywów Neptune. Uwierzytelniony użytkownik bez uprawnień API mógł zobaczyć wartość klucza API innego użytkownika lub własnego.

Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.

Nagios Log Server w wersjach przed 2024R2.0.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala użytkownikom niebędącym administratorami usuwać globalne dashboardy. Aplikacja nie egzekwowała poprawnie kontroli autoryzacji dla procesu usuwania globalnych dashboardów, umożliwiając użytkownikom o niższych uprawnieniach usuwanie dashboardów wpływających na innych użytkowników lub ogólny interfejs monitoringu.

W Nagios Log Server w wersjach starszych niż 2024R2.0.3, gdy skonfigurowany domyślny pulpit nawigacyjny użytkownika zostanie usunięty, aplikacja nie wraca niezawodnie do pustego, domyślnego pulpitu. W niektórych wdrożeniach może to skutkować wyświetleniem nieoczekiwanego pulpitu jako widoku domyślnego użytkownika.

Nagios Log Server przed wersją 2024R2.0.2 zawiera podatność w funkcji importu użytkowników AD/LDAP, która nie maskuje pola hasła podczas importu. W rezultacie hasło w postaci jawnego tekstu dla importowanych kont może być ujawnione w interfejsie użytkownika, logach lub innych danych diagnostycznych.

Nagios XI w wersjach przed 2024R1.4.2 konfiguruje niektóre pliki jednostek systemd z nadmiernie permisywnymi uprawnieniami. W szczególności plik nagios.service miał niepotrzebne uprawnienia wykonywania. Zbyt szerokie uprawnienia mogą rozszerzyć lokalną powierzchnię ataku, umożliwiając nieoczekiwane zachowania wykonawcze lub nadużycia operacji usług.

Nagios XI przed wersją 2024R1.2.2 zawiera podatność na wstrzyknięcie nagłówka Host. Aplikacja ufa nagłówkowi Host dostarczonemu przez użytkownika przy konstruowaniu absolutnych URL-i bez odpowiedniej walidacji. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowany nagłówek Host, aby zatruć linki lub odpowiedzi, co może ułatwić phishing, przejęcie linków do resetowania konta i zatrucie pamięci podręcznej.

Nagios XI w wersjach przed 2024R1.1.4 zawiera podatność lokalnego włączenia plików (LFI) poprzez integrację NagVis. Uwierzytelniony użytkownik może podać spreparowane wartości ścieżek, powodując włączenie lokalnych plików przez serwer, co może ujawnić poufne informacje z hosta.

Nagios XI w wersjach przed 2024R1.1.3 jest podatny na atak typu cross-site scripting (XSS) w komponencie Executive Summary Report. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2024R1.1.3 jest podatny na atak typu cross-site scripting (XSS) w komponencie Capacity Planning Report. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach wcześniejszych niż 2024R1.1.2 jest podatny na odbite Cross-Site Scripting (XSS) na stronie logowania, gdy jest używana z starszymi przeglądarkami. Niewystarczająca walidacja lub escape'owanie danych wejściowych odbijanych przez stronę logowania może pozwolić atakującemu na stworzenie złośliwego linku, który po odwiedzeniu przez ofiarę wykonuje dowolny JavaScript w jej przeglądarce w kontekście Nagios XI.