Katalog podatności CVE

W Apache Answer do wersji 2.0.2 występuje brak autoryzacji w narzędziu MCP do pobierania odpowiedzi. Posiadacze globalnego klucza API mogą uzyskać dostęp do treści odpowiedzi powiązanych z pytaniami ukrytymi, usuniętymi lub oczekującymi na przegląd.

W Apache Answer do wersji 2.0.2 nieuwierzytelniony lub nieuprawniony użytkownik może pobrać listę zaproszonych użytkowników powiązaną z niepublicznym pytaniem. Przyczyną jest brak kontroli autoryzacji widoczności.

W Apache Answer do wersji 2.0.2 kod weryfikacyjny wydany dla jednego procesu opartego na e-mailu może zostać zaakceptowany przez inny wrażliwy proces, ponieważ cel kodu nie jest prawidłowo egzekwowany.

W Apache Answer do wersji 2.0.2 importer zapisuje importowane treści pytań jako surowy HTML bez przejścia przez normalną sanityzację Markdown-do-HTML. Atakujący może osadzić złośliwy HTML w importowanym źródle danych, który jest utrwalany i renderowany wszystkim przeglądającym jako stored XSS.

MISP zawiera podatność w obsłudze ustawień wtyczek modułów. Podczas odbudowy ustawień dostarczanych przez moduł na potrzeby API serwer pomija flagi redacted i cli_only zadeklarowane w metadanych konfiguracji modułu, co może prowadzić do ujawnienia poufnych danych uwierzytelniających oraz obejścia ograniczeń dostępu.

MISP zawiera podatność typu reflected cross-site scripting (XSS) w interfejsie modułu workflow. Nazwy parametrów zwracane przez usługę misp-modules są renderowane jako surowe etykiety formularzy HTML bez kodowania wyjściowego, co pozwala na wstrzyknięcie dowolnego HTML lub JavaScript.

MISP zawiera podatność typu CSS injection w funkcji podglądu zdarzeń zdalnych. Wartość koloru powiązana ze zdalnym tagiem jest zapisywana bezpośrednio w atrybucie stylu inline CSS bez wystarczającej walidacji, co pozwala na wstrzyknięcie dowolnych deklaracji CSS.

W bibliotece NLP.js w wersji 4.27.0 wykryto podatność w funkcji Evaluator.walkFunction w pliku packages/evaluator/src/evaluator.js, w komponencie Condition Expression Pipeline. Manipulacja argumentem condition prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział jeszcze na zgłoszenie.

W pi-agent-dashboard do wersji 0.8.0 wykryto podatność w komponencie WebSocket Gateway, polegającą na błędzie walidacji origin przy manipulacji argumentem cwd. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 0.9.0 (patch 48fd0bad5adfe76af9736599699d51a5f60019f6) usuwa problem.

W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji MultiTaskPipelinePreprocessor.__init__ w pliku deeppavlov/models/preprocessors/multitask_preprocessor.py. Manipulacja argumentem preprocessor prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.

Wtyczka Tutor LMS w wersji do 4.1.2 zawiera podatność Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to zapisanie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Essential Addons for Elementor w wersji do 6.8.5 zawiera podatność nieprawidłowego przypisania uprawnień, umożliwiającą eskalację uprawnień. Problem wynika z błędów w kontroli uprawnień w komponencie wtyczki.

Potencjalna podatność w walidacji konfiguracji źródła JDBC w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi backendu Kylin nie są wystawione do sieci publicznej.

Podatność typu SQL Injection w Apache Kylin wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od 4.0.0 do 5.0.4, a jego wpływ jest umiarkowany w domyślnym trybie tylko do zapytań.

Podatność w Apache Kylin polegająca na braku autoryzacji przy aktualizacji konfiguracji źródła JDBC. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

Podatność Server-Side Request Forgery (SSRF) w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługę zadań Kylin wystawioną bezpośrednio do sieci publicznej.

MISP w wersjach poniżej 2.5.48 zawiera błąd integralności danych w logice usuwania zdarzeń — powiązane rekordy (tagi raportów, wpisy grafów, korelacje propozycji, fragmenty ssdeep, wyniki skanów załączników) nie są usuwane i pozostają jako osierocone. Mogą one zawierać wrażliwe dane threat intelligence i zostać ujawnione przez inne ścieżki dostępu.

W MISP w wersjach poniżej 2.5.48 proces synchronizacji zdarzeń zawiera błąd logiczny w przygotowaniu raportów do zdalnego push — filtrowanie tagów nieeksportowalnych zastosowano tylko raz po iteracji, a nie do każdego raportu. W rezultacie wszystkie raporty poza ostatnim są wysyłane z nieeksportowalnymi tagami, ujawniając zastrzeżone informacje, a przy pustym ostatnim raporcie wysyłany jest null, co powoduje błąd zapisu na zdalnej instancji.

W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji resolve w pliku deeppavlov/core/common/params.py, w komponencie Config Reference Resolver. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.

W openGauss-server w pliku src/common/backend/libpq/hba.cpp występuje obejście kontroli dostępu przy uwierzytelnianiu połączeń replikacyjnych. Funkcja hba_getauthmethod() dla nadawcy replikacji HADR/SW nie wymaga is_node_internal_connection() i wywołuje check_hba_replication(), która wykonuje tylko słabe dopasowanie po znaczniku replication, pomijając pełne reguły pg_hba (w tym zakaz zaufania zdalnego). Umożliwia to zewnętrznym połączeniom replikacyjnym obejście ograniczeń i odczyt danych backupu oraz logów przez protokół replikacji.