Katalog podatności CVE

Wiele punktów końcowych zawierających wrażliwe informacje nie wymaga uwierzytelnienia, co naraża aplikację na zbieranie informacji przez nieautoryzowanych użytkowników.

W żądaniu HTTP nazwa użytkownika i hasło są przekazywane bezpośrednio w adresie URL jako parametry. Adresy URL mogą być zapisywane w różnych systemach, takich jak logi serwera, historia przeglądarki czy serwery proxy, co stwarza wysokie ryzyko niezamierzonego ujawnienia tych danych wrażliwych.

Aplikacja zapewnia dostęp do chronionej hasłem bazy danych H2 używanej do celów buforowania. Nazwa użytkownika jest wstępnie wypełniona.

Jeśli użytkownik próbuje się zalogować, ale podane dane uwierzytelniające są nieprawidłowe, tworzony jest log. Dane z żądania POST nie są walidowane, co umożliwia wysyłanie ogromnych ładunków, które następnie są logowane.

Gdy wystąpi błąd w aplikacji, użytkownik otrzymuje pełny ślad stosu. Ślad stosu zawiera nazwy klas i metod oraz inne wewnętrzne informacje. Atakujący może w ten sposób uzyskać informacje o zastosowanej technologii i strukturze aplikacji.

Punkt końcowy API umożliwia tworzenie dowolnych wpisów dziennika poprzez żądanie POST. Brak wystarczającej walidacji danych wejściowych pozwala atakującemu na tworzenie zmanipulowanych wpisów, fałszowanie lub rozmywanie logów.

Z powodu braku uwierzytelniania nieuwierzytelniony użytkownik może zażądać danych z tego punktu końcowego, co czyni aplikację podatną na enumerację użytkowników.

Wtyczka WordPress Responsive Lightbox & Gallery w wersjach przed 2.5.3 nieprawidłowo obsługuje modyfikacje atrybutów znaczników HTML. Umożliwia to nieuwierzytelnionym atakującym wykorzystanie funkcjonalności do wstrzyknięcia obsługi zdarzeń i przeprowadzenia ataków Stored XSS.

Wtyczka Ultimate Addons for Elementor (dawniej Elementor Header & Footer Builder) dla WordPressa przed wersją 2.5.0 nie sanityzuje zawartości plików SVG przesyłanych przez punkt końcowy xmlrpc.php przy użyciu kodowania base64, co prowadzi do podatności na Cross-Site Scripting (XSS).

W systemie zhuimengshaonian wisdom-education do wersji 1.0.4 wykryto podatność w nieznanej funkcji pliku src/main/java/com/education/api/controller/student/WrongBookController.java. Manipulacja argumentem subjectId prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany.

Wykryto podatność bezpieczeństwa w zhuimengshaonian wisdom-education do wersji 1.0.4. Dotknięta jest funkcja uploadFile w pliku src/main/java/com/education/core/controller/UploadController.java. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Możliwe jest zdalne uruchomienie ataku. Exploit został publicznie ujawniony i może być użyty.

W projekcie nahiduddinahammed Hospital-Management-System-Website do wersji e6562429e14b2f88bd2139cae16e87b965024097 znaleziono podatność SQL injection w pliku /delete.php przy manipulacji argumentem 'ai'. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

W systemie qianfox FoxCMS do wersji 1.2 wykryto podatność na cross-site scripting (XSS) w pliku /index.php/Search, w komponencie strony wyszukiwania. Manipulacja argumentem keyword umożliwia zdalne wykonanie ataku. Exploit został opublikowany, a producent nie odpowiedział na zgłoszenie.

W produkcie CodeCanyon/ui-lib Mentor LMS do wersji 1.1.1 wykryto lukę w nieznanej funkcjonalności komponentu API. Manipulacja może prowadzić do stosowania permisywnej polityki cross-domain wobec niezaufanych domen. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.

W urządzeniu Belkin F9K1015 w wersji 1.00.10 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/mp. Manipulacja argumentem command umożliwia zdalne wykonanie poleceń. Exploit jest publiczny i może być wykorzystany.

W urządzeniu Belkin F9K1015 w wersji 1.00.10 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/formSetWanStatic. Manipulacja argumentem m_wan_ipaddr umożliwia zdalne wykonanie poleceń. Exploit został publicznie ujawniony.

W urządzeniu Belkin F9K1015 w wersji 1.00.10 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/formBSSetSitesurvey. Manipulacja argumentem wan_ipaddr umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.

W systemie ixmaps website2017 (do wersji 0c71cffa0162186bc057a76766bc97e9f5a3a2d0) występuje podatność XSS w pliku /map.php, w komponencie obsługi żądań HTTP GET. Manipulacja argumentem trid prowadzi do cross-site scripting.

W CRMEB do wersji 5.6.1 wykryto podatność w nieznanej funkcji komponentu JWT HMAC Secret Handler. Manipulacja argumentem secret z wartością domyślną prowadzi do użycia wbudowanego klucza kryptograficznego. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony, a wykorzystanie trudne; exploit jest publicznie dostępny.

W allegroai/clearml w wersji v2.0.1 występuje podatność na path traversal z powodu nieprawidłowego obsługiwania dowiązań symbolicznych i twardych w funkcji `safe_extract`. Może to prowadzić do zapisu dowolnych plików poza zamierzonym katalogiem, potencjalnie umożliwiając zdalne wykonanie kodu.