Katalog podatności CVE

W wersjach Mattermost 10.7.x <= 10.7.0, 10.5.x <= 10.5.3 i 9.11.x <= 9.11.12 nie są prawidłowo egzekwowane ograniczenia kontroli dostępu dla ról System Manager. Uwierzytelnieni użytkownicy z uprawnieniami System Manager mogą przeglądać szczegóły zespołów, do których nie powinni mieć dostępu, poprzez bezpośrednie żądania API do punktów końcowych zespołów, nawet gdy w konsoli systemowej jawnie skonfigurowano „Brak dostępu” do zespołów.

Mattermost w wersjach 10.7.x <= 10.7.0, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12 nie egzekwuje prawidłowo kontroli dostępu dla użytkowników-gości uzyskujących dostęp do informacji o członkach kanału. Uwierzytelnieni goście mogą przeglądać metadane o członkach kanałów publicznych poprzez endpoint API członków kanału.

W aplikacji PhonePe App 25.03.21.0 na Androidzie stwierdzono podatność polegającą na przechowywaniu danych w postaci jawnego tekstu w pliku lub na dysku w bazie SQLite. Atak wymaga dostępu lokalnego i uprawnień roota.

W bibliotece HTTP libsoup, używanej w aplikacjach GNOME i innym oprogramowaniu, wykryto błąd w logice parsowania ciasteczek. Podczas przetwarzania daty wygaśnięcia ciasteczka, specjalnie spreparowana wartość może wywołać przepełnienie liczby całkowitej, prowadząc do nieokreślonego zachowania. Umożliwia to atakującemu ominięcie logiki wygaśnięcia ciasteczek, powodując ich trwałe lub niezamierzone działanie.

W Mattermost w wersjach 10.5.x <= 10.5.3 oraz 9.11.x <= 9.11.11 nie jest sprawdzane ustawienie RestrictSystemAdmin, jeśli użytkownik nie ma dostępu do ExperimentalSettings. Pozwala to System Managerowi uzyskać dostęp do ExperimentalSettings, gdy RestrictSystemAdmin jest włączone, poprzez System Console.

Luka w Dígitro NGC Explorer do wersji 3.48.21 dotyczy nieznanej funkcji komponentu Password Transmission Handler, co prowadzi do wymuszania bezpieczeństwa po stronie klienta zamiast serwera. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Aktualizacja do wersji 3.48.22 rozwiązuje problem.

Podatność w q2apro-on-site-notifications do wersji 1.4.6 umożliwia atak XSS poprzez funkcję process_request w pliku q2apro-onsitenotifications-page.php. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.4.8 rozwiązuje problem.

Wersje Mattermost 10.4.x <= 10.4.2, 10.5.x <= 10.5.0 oraz 9.11.x <= 9.11.10 nieprawidłowo weryfikują uprawnienia dla endpointu API /plugins/playbooks/api/v0/signal/keywords/ignore-thread. Pozwala to dowolnemu użytkownikowi lub atakującemu usuwać posty zawierające akcje utworzone przez bota Playbooks, nawet bez dostępu do kanału lub odpowiednich uprawnień.

W netstat w BusyBox do wersji 1.37.0 lokalni użytkownicy mogą uruchomić aplikację sieciową z argv[0] zawierającym sekwencję ucieczki terminala ANSI, co prowadzi do odmowy usługi (zablokowanie terminala) u ofiary korzystającej z netstat.

W BusyBox w wersji do 1.37.0, w narzędziu tar, archiwum TAR może ukrywać nazwy plików w liście za pomocą sekwencji ucieczki terminala. To może prowadzić do nieświadomego ujawnienia danych lub manipulacji plikami.

Convertigo przed wersją 8.3.11 zawiera podatność w TwsCachedXPathAPI, która nie ogranicza funkcji commons-jxpath, co może umożliwić wstrzyknięcie wyrażeń w kontekstach, gdzie atakujący może wpływać na oceniane wyrażenie XPath.

Mattermost w wersjach 10.4.x <= 10.4.2, 10.5.x <= 10.5.0, 9.11.x <= 9.11.9 nie ogranicza domen, z którymi LLM może się komunikować, co pozwala uwierzytelnionemu użytkownikowi na eksfiltrację danych z dowolnego serwera dostępnego dla ofiary poprzez wstrzyknięcie promptu w narzędziu Jira wtyczki AI.

W Mattermost w wersjach 10.5.x <= 10.5.1 oraz 9.11.x <= 9.11.9 występuje brak wymuszania kontroli MFA w endpoincie PUT /api/v4/users/user-id/mfa, gdy żądający użytkownik różni się od docelowego identyfikatora użytkownika. Umożliwia to użytkownikom z uprawnieniem edit_other_users aktywowanie lub dezaktywowanie MFA dla innych użytkowników, nawet jeśli ci nie skonfigurowali MFA.

W wersjach Mattermost 10.5.x <= 10.5.1, 10.4.x <= 10.4.3 oraz 9.11.x <= 9.11.9 nie uniemożliwiono postom Wranglera wywoływania odpowiedzi AI. Użytkownik bez dostępu do bota AI może go aktywować, dołączając właściwość activate_ai do posta przez plugin Wrangler, jeśli oba pluginy (AI i Wrangler) są włączone.

Wersje Mattermost 10.5.x <= 10.5.1 oraz 9.11.x <= 9.11.9 nie sprawdzają, czy plik został usunięty podczas tworzenia zakładki. Pozwala to atakującemu znającemu identyfikatory usuniętych plików na uzyskanie metadanych tych plików poprzez utworzenie zakładki.

W Mattermost w wersjach 9.11.x <= 9.11.8 nie są wymuszane prawidłowe kontrole dostępu do endpointu /api/v4/audits. Umożliwia to użytkownikom z delegowanymi rolami administracyjnymi granularnymi, którzy nie mają dostępu do Compliance Monitoring, pobieranie dzienników aktywności użytkowników.

W OpenSSL wykryto błąd w obsłudze argumentu właściwości w wybranych funkcjach. Podatność umożliwia wykorzystanie use-after-free, co może prowadzić do nieokreślonego zachowania lub nieprawidłowego parsowania właściwości, w wyniku czego OpenSSL traktuje dane wejściowe jako pusty ciąg znaków.

W Fortinet FortiOS w wersjach 7.4.0 do 7.4.8, 7.2, 7.0 oraz 6.4 hasła są przechowywane w formacie umożliwiającym ich odzyskanie. Umożliwia to atakującemu ujawnienie informacji poprzez modyfikację adresu IP serwera LDAP, aby wskazywał na złośliwy serwer.

W SQLite w wersjach od 3.44.0 do 3.49.0 (przed 3.49.1) funkcja SQL concat_ws() może powodować zapis pamięci poza końcem bufora przydzielonego przez malloc. Jeśli argument separatora jest kontrolowany przez atakującego i ma bardzo długi łańcuch (np. 2 MB lub więcej), dochodzi do przepełnienia liczb całkowitych przy obliczaniu rozmiaru bufora wyniku, przez co malloc może przydzielić zbyt mało pamięci.