Katalog podatności CVE

Podatność typu path traversal w komponencie Apache Camel Azure Files pozwala na budowanie ścieżek zdalnych plików poprzez proste sklejenie katalogu z nazwą pliku z listingu serwera, bez normalizacji i sprawdzenia, czy wynik pozostaje w skonfigurowanym katalogu. W efekcie Camel może odczytać, usunąć lub zmienić nazwę plików poza katalogiem pollingowym, używając własnych poświadczeń endpointu. Problem dotyczy wersji Apache Camel od 4.0.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.

Podatność typu path traversal w komponencie SMB Apache Camel pozwala na odczyt, usunięcie lub zmianę nazwy plików poza skonfigurowanym katalogiem zdalnym. Wynika to z braku normalizacji i sprawdzania zawierania się ścieżki podczas łączenia katalogu z nazwą pliku z listingu serwera. Problem dotyczy wersji Apache Camel od 4.2.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.

Podatność typu path traversal w komponencie Apache Camel Mina SFTP pozwala na wyjście poza skonfigurowany katalog zdalny podczas pobierania, usuwania lub zmiany nazwy plików. Nazwa pliku z listingu serwera nie jest normalizowana ani sprawdzana pod kątem zawierania się w katalogu, co umożliwia atakującemu na ścieżce lub złośliwemu serwerowi dostarczenie nazwy z segmentami nadrzędnymi. Problem dotyczy wersji Apache Camel od 4.18.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.

Podatność typu path traversal w komponencie FTP Apache Camel pozwala na odczyt, usunięcie lub zmianę nazwy plików poza skonfigurowanym katalogiem zdalnym. Wynika to z braku normalizacji i sprawdzania zawierania ścieżki podczas łączenia katalogu z nazwą pliku z listingu serwera. Problem dotyczy wersji 4.0.0–4.18.4, 4.19.0–4.22.0 oraz schematów ftp, ftps i sftp.

Podatność deserializacji niezaufanych danych w komponencie Apache Camel Spring Redis. Gdy nie skonfigurowano serializatora, komponent domyślnie używał JdkSerializationRedisSerializer bez filtra ObjectInputFilter, co pozwalało na wykonanie kodu poprzez spreparowane dane w Redis. Problem dotyczy wersji od 2.11.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.

Podatność w komponentach Apache Camel HTTP, Netty HTTP, Undertow i Vert.x HTTP pozwala nadawcy wiadomości nadpisać URI endpointu nagłówkami CamelHttpUri i CamelRestHttpUri, a następnie rozwiązać w tym ciągu placeholdery konfiguracji (zmienne środowiskowe, właściwości systemowe, funkcje sekretów, wywołania beanów). Może to prowadzić do ujawnienia wrażliwych informacji i nieoczekiwanego wywołania metod beanów. Problem dotyczy wersji Apache Camel od 4.0.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.

W eremef bandcamp-player do wersji 1.8.33-beta wykryto lukę w nieznanej funkcji pliku database.ts komponentu Remote Control Server. Manipulacja argumentem remoteEnabled może prowadzić do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Aktualizacja do wersji 1.8.34-beta rozwiązuje problem.

W Apache Answer do wersji 2.0.2 występuje brak kontroli autoryzacji. Uwierzytelnieni użytkownicy mogli wykonywać działania na niepublicznych treściach, do których nie mieli uprawnień dostępu.

W Apache Answer do wersji 2.0.2 nieuwierzytelnieni atakujący mogą uzyskać metadane powiązane z ukrytymi pytaniami poprzez publiczne profile odpowiedzi. Luka polega na ujawnieniu informacji wrażliwych nieuprawnionym podmiotom.

W Apache Answer do wersji 2.0.2 kontroler operacji na pytaniach sprawdza niewłaściwe uprawnienie (unpin zamiast hide) przy operacjach ukrywania/pokazywania. W konfiguracjach ról rozdzielających te uprawnienia użytkownik z tylko question.unpin może ukrywać lub przywracać pytania bez uprawnień question.hide lub question.show.

W Apache Answer do wersji 2.0.2 pełne klucze API są zapisywane w logach aplikacji przy każdym uwierzytelnionym żądaniu. Każdy z dostępem do odczytu logów może odzyskać i ponownie użyć aktywnych poświadczeń bearer.

MISP zawiera lukę w mechanizmie wyszukiwania ustawień serwera, która pozwala uwierzytelnionemu użytkownikowi pobrać wrażliwe dane konfiguracyjne, które powinny być zredagowane. Gdy zamiast konkretnego ustawienia podana zostanie nazwa gałęzi (np. Security, MISP, Plugin), funkcja zwraca całe poddrzewo, omijając mechanizm redakcji. Ujawnia to m.in. sól bezpieczeństwa, hasła połączeń Redis i klucze API wtyczek; dotyczy wersji <2.5.48.

W wtyczce ExpressTech Quiz And Survey Master (quiz-master-next) występuje podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 11.2.7 włącznie.

Wtyczka MapSVG do WordPressa (wersje do 8.16.1) zawiera podatność typu Path Traversal polegającą na niewłaściwym ograniczeniu ścieżki do katalogu. Może to pozwolić atakującemu na dostęp do plików poza zamierzonym katalogiem.

Wtyczka Quiz Maker firmy Ays Pro (wersje do 6.7.1.91) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Może to pozwolić atakującemu na wstrzyknięcie złośliwego skryptu.

W Apache Kylin od wersji 4.0.0 do 5.0.4 atakujący z uprawnieniami administratora projektu może użyć API cache do wyczerpania zasobów kolumn obliczanych. Luka polega na alokacji zasobów bez limitów lub ograniczeń.

W Apache Kylin od wersji 4.0.0 do 5.0.4 domyślny profil startowy pomija ustawienia bezpieczeństwa. Wdrożenia z włączonym profilem ustawień bezpieczeństwa nie są dotknięte.

Podatność w Apache Kylin polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi podczas manipulacji zadaniami. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi zadań nie są wystawione do sieci publicznej.

Podatność w Apache Kylin polegająca na obejściu ograniczeń ścieżek podczas usuwania kopii zapasowej metadanych. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

Aplikacja Integratec zawiera podatność SQL injection typu UNION-based w parametrze sInfo wysyłanym metodą POST do endpointu /login/ap_Login.aspx/start. Udana eksploatacja może pozwolić atakującemu na kradzież danych z bazy danych, takich jak poświadczenia i informacje o użytkownikach, oraz spowodować błędy i częściowe warunki denial-of-service.