Katalog podatności CVE

W aplikacji donetick wykryto podatność w funkcji CanDeleteHistory (plik internal/chore/model/model.go) w komponencie History Deletion Handler. Manipulacja argumentem AssignedTo prowadzi do niewłaściwej autoryzacji (improper authorization). Exploit jest publiczny i może być wykorzystany zdalnie.

W calcom cal.com i cal.diy zidentyfikowano słabość w funkcji createWebhookProcedure (plik packages/trpc/server/routers/viewer/webhook/util.ts) w komponencie Webhook Handler. Manipulacja argumentem ID może prowadzić do obejścia autoryzacji (authorization bypass). Atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.

W projekcie diem-project diem wykryto podatność w nieznanej części pliku dmCorePlugin/plugins/dmUserPlugin/modules/dmUser/lib/BasedmUserActions.class.php w komponencie Sign-In. Manipulacja argumentem Referer powoduje otwarte przekierowanie (open redirect). Exploit jest publicznie ujawniony i może być wykorzystany zdalnie.

W Artifex MuPDF zidentyfikowano podatność w funkcji free_char_list (plik source/pdf/pdf-xref.c) w komponencie Signature Locking. Manipulacja prowadzi do podwójnego zwolnienia pamięci (double free). Exploit jest publiczny i może być wykorzystany zdalnie; dostępna jest poprawka o nazwie 3984925b660afb8a781ddf504021e91be1bc671e.

W aircheng-org iWebShop-5 wykryto podatność w funkcji send_message_mobile (plik controllers/simple.php). Manipulacja argumentem user_id prowadzi do słabego mechanizmu odzyskiwania hasła (weak password recovery). Exploit jest publicznie ujawniony i może być wykorzystany zdalnie.

W aircheng-org iWebShop-5 zidentyfikowano słabość w funkcji IController::redirect (plik plugins/_userInfo/_userInfo.php) w komponencie Login Redirect. Manipulacja argumentem callback powoduje otwarte przekierowanie (open redirect). Exploit jest publicznie dostępny i może być wykorzystany zdalnie.

W aircheng-org iWebShop-5 wykryto podatność w funkcji admin_repwd/admin_repwd_act (plik controllers/system.php) w komponencie Password Change. Manipulacja argumentami password/repassword prowadzi do podatności cross-site request forgery (CSRF). Exploit jest publicznie ujawniony i może być wykorzystany zdalnie.

W aircheng-org iWebShop-5 zidentyfikowano podatność w funkcji Util::search (plik classes/util.php). Manipulacja prowadzi do wstrzyknięcia SQL (SQL injection). Exploit jest publicznie dostępny i może być wykorzystany zdalnie.

W projekcie diem-project diem do wersji 5.1.3 wykryto podatność w pliku dmCorePlugin/lib/data/dmDataLoad.php. Manipulacja danymi prowadzi do użycia domyślnego hasła, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka Bootstrap Shortcodes dla WordPressa przed wersją 3.4.6 jest podatna na przechowywany XSS poprzez atrybut id shortcode'u [bs_tcontent]. Handler shortcode'u w inc/bs_tabs.php umieszcza wartość atrybutu id w niecytowanym atrybucie HTML; esc_attr() nie koduje spacji, co pozwala na wstrzyknięcie dodatkowych atrybutów HTML, w tym obsługi zdarzeń JavaScript. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolny skrypt, który wykona się w przeglądarce użytkownika przeglądającego stronę.

W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) wykryto podatność w pliku App/Home/Controller/VoteController.class.php komponentu Vote Handler. Manipulacja argumentem X-Requested-With powoduje błędy logiki biznesowej. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.

W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) wykryto podatność w funkcji file_exists pliku Public/Home/js/uploadify/check-exists.php komponentu Uploadify. Manipulacja argumentem filename prowadzi do ujawnienia informacji o plikach i katalogach. Atak można przeprowadzić zdalnie, a exploit jest publiczny i może być wykorzystany.

W Gitea siedem tras API pod /api/v1/users/{username} (followers, following, following/{target}, starred, subscriptions, keys i gpg_keys) zostało zarejestrowanych bez middleware individualPermsChecker, które wymusza widoczność docelowego użytkownika. Uwierzytelniony użytkownik mógł odczytać listy obserwujących, obserwowanych, oznaczone gwiazdką i obserwowane repozytoria oraz publiczne klucze SSH i GPG użytkownika o ograniczonej lub prywatnej widoczności. Problem naprawiono w wersjach 1.27.3 i 28.0.0, a ujawniono w 28.2.0.

Podczas dodawania załączników do wydania sprawdzano repozytorium i wydanie załącznika, ale nie sprawdzano, czy załącznik jest już powiązany ze zgłoszeniem lub komentarzem. Użytkownik z prawem zapisu do wydań repozytorium, znający UUID załącznika w tym repozytorium, mógł powiązać go z wydaniem. Ujawniało to nazwę pliku, rozmiar i liczbę pobrań załącznika oraz pozwalało na jego zmianę nazwy lub usunięcie.

Sprawdzenie widoczności profili użytkowników w Gitea było stosowane tylko do żądań GET, podczas gdy POST /{username} (obserwowanie i przestawanie obserwować) wymagał jedynie zalogowanego użytkownika. Każdy uwierzytelniony użytkownik mógł więc uzyskać imię i nazwisko, lokalizację, stronę internetową oraz opis użytkownika z prywatnym profilem z odpowiedzi. Problem naprawiono w wersji 28.1.0 i ujawniono w 28.2.0.

Utworzenie wersji roboczej wydania przez API zwracało listę `assets` zbudowaną z wydania bez identyfikatora, która pasowała do każdego załącznika niepowiązanego z wydaniem. Użytkownik mogący tworzyć wersję roboczą wydania w repozytorium otrzymywał więc metadane (nazwa pliku, UUID, czas przesłania, rozmiar i liczba pobrań) załączników zgłoszeń i komentarzy z repozytoriów, których nie mógł czytać, oraz porzuconych przesłań.

GET /api/v1/user/subscriptions zwracał metadane każdego repozytorium obserwowanego przez użytkownika bez sprawdzenia, czy użytkownik nadal ma do niego dostęp. Użytkownik, który obserwował prywatne repozytorium mając dostęp, a następnie go utracił (np. przez obniżenie uprawnień zespołu), nadal mógł odczytać jego nazwę, opis, adresy klonowania, właściciela i liczniki. Problem naprawiono w wersjach 1.27.0 i 28.0.0 i ujawniono w 28.2.0.

Handlery sieciowe Gitea do dodawania i usuwania reakcji na zgłoszeniach i komentarzach nie odrzucały zablokowanych zgłoszeń dla użytkowników bez uprawnień do zapisu, choć API to robiło. Zalogowany użytkownik mogący czytać zgłoszenie mógł więc dodawać lub usuwać reakcje na zablokowanym zgłoszeniu i jego komentarzach, omijając ograniczenie interakcji wynikające z blokady. Dotyczyło to tylko reakcji; żadna treść nie mogła zostać zmieniona.

Handlery artefaktów Gitea Actions v4 (Twirp) wczytywały całe ciało żądania do pamięci bez limitu rozmiaru. Użytkownik mogący uruchomić workflow i uzyskać token runnera tego uruchomienia mógł wysłać zbyt duże żądanie do usługi artefaktów i wyczerpać pamięć serwera, co kończy proces Gitea. Ciało żądania jest teraz ograniczone do 1 MiB.

Żądanie /{username}/-/repositories dla użytkownika indywidualnego zamiast organizacji powodowało, że handler strony głównej organizacji dereferencjonował nil organizację i panikował. Żądanie nie wymaga uwierzytelnienia ani specjalnej konfiguracji. Serwer odpowiadał błędem HTTP 500 i logował panikę dla każdego żądania; poprawka zwraca 404 dla użytkowników indywidualnych.