Katalog podatności CVE

W makeplane plane do wersji 1.4.2 zidentyfikowano lukę w nieznanej funkcji komponentu API Endpoint. Manipulacja argumentem X-Forwarded-For prowadzi do opierania decyzji bezpieczeństwa na niezaufanych danych wejściowych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Biblioteka ip-address przed wersją 10.7.4 pozwala na atak odmowy usługi (wyczerpanie CPU z powodu złożoności kwadratowej oraz zawieszenie aplikacji) poprzez wprowadzenie wielu znaków % do danych wejściowych trafiających do wywołania funkcji korzystającej z konstruktora Address6.

W datastax pulsar-jms do wersji 9.0.3 wykryto lukę w funkcji decode w pliku PulsarObjectMessage.java. Manipulacja powoduje deserializację niezaufanych danych, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.

W THU-MIG yoloe do commita 40cd606cabdbe2b566d6f14a6b162c89206e9a1b wykryto lukę bezpieczeństwa w funkcji eval w pliku ultralytics/nn/autobackend.py komponentu AutoBackend Model Loading. Manipulacja argumentami imgsz/names/kpt_shape prowadzi do niewłaściwej neutralizacji dyrektyw w dynamicznie ewaluowanym kodzie. Atak wymaga lokalnego dostępu, a exploit został publicznie ujawniony.

Coder od 2.0.0 przed 2.34.8 zawiera lukę otwartego przekierowania w handleAPIKeySmuggling, która pozwala atakującym przekierować użytkowników na zewnętrzne strony poprzez nieoczyszczone wartości r.URL.Path. Atakujący mogą tworzyć linki w zaufanych subdomenach aplikacji workspace ze ścieżkami zaczynającymi się od podwójnego ukośnika, które stają się przekierowaniami względnymi schematu do stron atakującego w celach phishingowych.

Coder od 2.26.0 przed 2.34.8 zawiera błąd autoryzacji w endpoincie GET /api/v2/workspaces/{id}/acl, który sprawdza tylko dostęp do odczytu workspace, a następnie pobiera członków grupy w podwyższonym kontekście systemowym. Uwierzytelnieni użytkownicy z dostępem do workspace mogą odpytać endpoint, aby pozyskać adresy e-mail, typy logowania, status oraz znaczniki czasu ostatniego logowania i utworzenia członków grupy.

Coder od 2.30.0 przed 2.34.8 zawiera lukę obejścia autoryzacji w handlerze gRPC DownloadFile demona provisionera, która pozwala uwierzytelnionym demonom provisionera pobierać archiwa modułów Terraform z pamięci podręcznej innych organizacji. Atakujący z kluczem provisionera o zakresie organizacji i znanym UUID pliku może pobrać kod źródłowy modułu, ujawniając topologię infrastruktury lub osadzone sekrety.

Coder od 2.0.0 przed 2.34.8 zawiera lukę nieprawidłowej autoryzacji w regule acl_allow pliku coderd/rbac/policy.rego, która nie weryfikuje członkostwa w organizacji dla wpisów ACL na użytkownika, a usunięcie członka organizacji nie usuwa tych wpisów. Uwierzytelnieni użytkownicy usunięci z organizacji mogą nadal uzyskiwać dostęp do wcześniej przyznanych zasobów o zasięgu organizacji, takich jak szablony i workspace, poprzez API.

Vikunja od 2.2.0 przed 2.7.0 zawiera permisywną konfigurację CORS, która ufa każdemu portowi localhost i 127.0.0.1 z poświadczeniami, nawet gdy ustawiono service.publicurl. Atakujący kontrolujący stronę na dowolnym porcie localhost może wysłać żądanie z poświadczeniami do endpointu odświeżania tokenu i odczytać zwrócony bearer JWT, aby przejąć konto zalogowanego użytkownika.

Vikunja w wersjach od 0.13.0 przed 2.7.0 zawiera błąd nieprawidłowej autoryzacji, który pozwala członkom projektu z uprawnieniem Write usuwać udziały linków na poziomie administratora. Sprawdzenie uprawnień do usunięcia odczytuje niezaładowany obiekt udziału, więc atakujący może wysyłać żądania DELETE do endpointów udziałów projektów v1 lub v2 z kolejnymi identyfikatorami, aby unieważnić linki administratora i istniejące sesje udziałów.

Vikunja 2.6.0 zawiera błąd kontroli dostępu w funkcji getProjectAccessForUser (pkg/models/project_access.go), która wyznacza efektywne uprawnienie użytkownika do projektu jako maksimum w drzewie projektów, nadpisując jawne udziały o niższych uprawnieniach w podprojektach. Współpracownik z prawem zapisu w projekcie nadrzędnym, ale tylko do odczytu w projekcie podrzędnym, może modyfikować zadania i zawartość tego podprojektu.

Vikunja w wersjach od 0.22.0 przed 2.7.0 zawiera błąd nieprawidłowego odbierania dostępu, który pozwala usuniętym współpracownikom nadal otrzymywać dane projektu przez utworzone przez nich webhooki. Byli współpracownicy nadal otrzymują tytuły i opisy zadań przez swój webhook, w tym treści utworzone po odebraniu im dostępu.

Vikunja od 1.0.0-rc0 przed 2.7.0 zawiera błąd nieprawidłowej autoryzacji w funkcji RecalculateTaskPositions, który pozwala uwierzytelnionym użytkownikom bez dostępu do jakichkolwiek projektów zapisywać wiersze task_positions dla wszystkich zadań w całej instancji. Atakujący mogą usunąć swój Inbox po zmianie default_project_id, a następnie tworzyć puste filtry zapisane, aby utrwalić odwołania między dzierżawcami i wzmocnić zapisy w celu przeprowadzenia ataku typu denial of service.

Vikunja w wersjach od 2.3.0 przed 2.7.0 zawiera błąd nieprawidłowej walidacji sesji, który pozwala atakującym zachować dostęp do WebSocket po odebraniu uprawnień, ponieważ funkcja handleAuth nigdy nie sprawdza roszczenia sid tokenu JWT względem tabeli sesji. Atakujący posiadający skradziony token dostępu może otwierać lub utrzymywać połączenia z /api/v2/ws po usunięciu sesji lub włączeniu TOTP, nadal otrzymując powiadomienia notification.created ofiary, w tym treści komentarzy, zadań i projektów.

Admidio przed 5.0.16 zawiera błąd ujawnienia informacji, który pozwala nieuwierzytelnionym atakującym przeglądać linki internetowe ograniczone do ról, ponieważ plik rss/links.php pomija filtr widoczności ról category_view. Atakujący mogą zażądać kanału RSS z linkami dla organizacji, aby uzyskać nazwy linków, adresy URL, opisy, kategorie i nazwy twórców z zastrzeżonych kategorii LNK.

Admidio od 5.0.11 przed 5.0.16 zawiera błąd kontroli dostępu w pliku modules/inventory/inventory_data.php, który pozwala uwierzytelnionym użytkownikom obejść ograniczenie inventory_module_enabled. Atakujący z dowolnym ważnym loginem może zażądać kanału JSON DataTables, aby odczytać wszystkie pozycje inwentarza i nazwiska opiekunów, nawet gdy moduł jest wyłączony.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd obejścia autoryzacji, który pozwala uwierzytelnionym użytkownikom eksportować listy mimo ograniczeń eksportu, poprzez żądanie mode=pdfl. Sprawdzenie groups_roles_export w pliku modules/groups-roles/lists_show.php pomija pdfl, co następnie uruchamia eksport PDF, pozwalając użytkownikom z prawem przeglądania list pobierać listy członków jako pliki PDF.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd niebezpiecznego odwołania do obiektu (IDOR) w funkcji ForumService::saveTopic(), który pozwala uwierzytelnionym członkom modyfikować tematy forum innych użytkowników. Atakujący mogą zastąpić parametr topic_uuid w swoim żądaniu topic_save, ponownie używając swojego tokenu CSRF, aby nadpisać tytuł i pierwszy post tematu ofiary.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera błąd obejścia autoryzacji w pliku attachment.php, który pozwala atakującym pobierać załączniki zastrzeżonych FAQ poprzez obejście kontroli uprawnień na poziomie rekordu. Użytkownicy o niskich uprawnieniach z prawem dlattachment, lub anonimowi użytkownicy gdy allowDownloadsForGuests jest włączone, mogą żądać identyfikatorów załączników, aby uzyskać poufne pliki z zastrzeżonych FAQ.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność CSRF w endpointach administracyjnych API Elasticsearch i OpenSearch, które nie weryfikują tokenu CSRF dla akcji tworzenia, usuwania i importu. Atakujący może nakłonić użytkownika z uprawnieniem CONFIGURATION_EDIT do odwiedzenia złośliwej strony, co wywoła te akcje, usuwając indeksy wyszukiwania, wymuszając ponowne indeksowanie lub wyczerpując zasoby.