Katalog podatności CVE

Open Web Analytics przed wersją 1.14.1 zawiera podatność autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać dane raportów innych witryn, ponieważ raporty clickstream i transakcji nie są ograniczone do autoryzowanego siteId. Użytkownicy z uprawnieniem view_reports dla jednej witryny mogą podać jej siteId wraz z session_id lub order_id innej witryny, aby odczytać historię odwiedzin, adresy IP, user agentów i dane zamówień.

ZenTao PMS do wersji 22.6 zawiera podatność braku autoryzacji w doc::ajaxGetDoc(), która pozwala uwierzytelnionym użytkownikom czytać dokumenty bez sprawdzenia uprawnień checkPrivDoc(). Atakujący z niskimi uprawnieniami mogą enumerować sekwencyjne identyfikatory dokumentów, aby uzyskać treść i wersje robocze prywatnych dokumentów oraz dokumentów z ograniczonych bibliotek, produktów, projektów lub zespołów.

Blossom do wersji 1.17.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom bez trybu tylko do odczytu modyfikować obrazy innych użytkowników poprzez podanie dowolnych identyfikatorów obrazów. Atakujący mogą wywołać endpointy usuwania obrazu, /picture/del/batch lub /picture/star, aby trwale usunąć obrazy i pliki ofiar lub zmienić ich status gwiazdki.

Wtyczka JetFormBuilder firmy Crocoblock zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 3.6.7.1 włącznie.

Wtyczka The Events Calendar firmy Liquid Web / StellarWP zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony), która umożliwia atak Stored XSS. Problem dotyczy wersji od nieznanej do 6.18.2 włącznie.

Wtyczka The Events Calendar firmy Liquid Web / StellarWP zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.18.2 włącznie.

Bitcoin Core w wersjach wcześniejszych niż 29.5, 30.4, 31.2 i 32.1 jest podatny na problem wyczerpania pamięci (OOM). Luka może prowadzić do nieprawidłowego działania węzła z powodu braku wystarczających zasobów pamięci.

Wtyczka Timetics firmy Arraytics zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 1.0.65 włącznie.

Podatność polegająca na zapisie poza granicami bufora (out-of-bounds write) w module Qt3D, w pluginie importu scen assimp frameworka Qt. Może ona prowadzić do uszkodzenia pamięci podczas przetwarzania złośliwego pliku sceny.

Netsweeper przed wersją 4.0.11 oraz 4.1.0 przed 4.1.5 zawiera podatność odbitego cross-site scripting w webadmin/reporter/view_server_log.php, która pozwala zdalnym atakującym wykonać dowolny JavaScript poprzez wstrzyknięcie złośliwego kodu w parametr log request, odzwierciedlany w odpowiedzi HTML bez kodowania wyjścia. Atakujący może spreparować złośliwy URL i nakłonić użytkownika do jego otwarcia, co skutkuje wykonaniem dowolnego JavaScriptu w sesji przeglądarki ofiary w interfejsie administracyjnym Netsweeper. Dowody wykorzystania po raz pierwszy zaobserwowano przez Shadowserver Foundation 2023-10-19.

Dell OpenManage Enterprise w wersjach przed 4.8.0 zawiera podatność typu Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny. Wysoko uprzywilejowany atakujący z dostępem do sieci sąsiedniej może wykorzystać tę podatność do wstrzyknięcia skryptu.

Biblioteka AFFLIB do wersji 3.7.22 zawiera podatność polegającą na zapisie poza granicami sterty w funkcji af_get_page(). Atakujący może uszkodzić pamięć sterty, dostarczając spreparowane obrazy AFF z niedopasowanymi rozmiarami strony i sektora, co powoduje zapis poza buforem i awarię narzędzi forensic.

Narzędzie tcpflow do wersji 1.6.1 zawiera podatność polegającą na odczycie poza granicami bufora, umożliwiającą nieuwierzytelnionemu atakującemu odczyt pamięci procesu poprzez wysyłanie pakietów ze sfałszowanymi długościami ładunku IP. Atakujący może wstrzyknąć spreparowane pakiety TCP IPv4 lub IPv6 do przechwyconego ruchu lub plików pcap, co powoduje wyciek sąsiedniej pamięci do zrekonstruowanych plików przepływu lub awarię tcpflow.

AxonHub do wersji 1.0.0-beta11 zawiera podatność na eskalację uprawnień, która pozwala użytkownikom projektu przypisywać uprawnienia na poziomie systemu poprzez tworzenie kluczy API service_account z niezwalidowanymi zakresami. Atakujący posiadający uprawnienie write_api_keys może wygenerować klucze z zakresem read_channels i odpytać /admin/graphql, aby odczytać konfigurację każdego kanału, w tym bazowe adresy URL i listy modeli.

Miaomiaowu przed wersją 0.9.3 zawiera podatność typu insecure direct object reference w /api/user/proxy-provider-configs, która pozwala uwierzytelnionym użytkownikom odczytywać konfiguracje innych użytkowników. Atakujący może iterować globalny parametr auto-increment external_subscription_id, aby ujawnić skrypty nadpisujące, reguły filtrowania, niestandardowe nagłówki żądań i adresy URL kontroli stanu.

UNIT3D do wersji 9.2.0 zawiera podatność braku autoryzacji w PlaylistZipController::show, która pozwala uwierzytelnionym użytkownikom pobierać prywatne playlisty innych członków. Atakujący może wyliczać sekwencyjne identyfikatory playlist w punkcie końcowym /playlist-zips/{playlist}, aby uzyskać archiwa ZIP wszystkich torrentów i ujawnić prywatną przynależność do kolekcji.

ArcadeDB przed wersją 26.10.2 zawiera podatność nieprawidłowej autoryzacji, która pozwala unieważnionym użytkownikom zachować dostęp poprzez już otwarte połączenia protokołów Postgres, Bolt, MongoDB lub Redis. Atakujący posiadający istniejące połączenie może nadal czytać i zapisywać dane po usunięciu konta, odebraniu uprawnień lub zmianie hasła, ponieważ executery przechowują nieaktualny ServerSecurityUser.

ArcadeDB od wersji 21.12.1 przed 26.10.2 zawiera podatność obejścia autoryzacji, która pozwala użytkownikom posiadającym jedynie readRecord zastąpić współdzielony schemat GraphQL poprzez punkt końcowy zapytań tylko do odczytu. Atakujący może wysłać definicję typu GraphQL z spreparowaną dyrektywą @sql do /api/v1/query/{database}, zmieniając wyniki zapytań zwracane innym użytkownikom, w tym administratorom.

ArcadeDB od wersji 26.8.1 przed 26.10.2 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom z uprawnieniem updateDatabaseSettings wyłączyć listę blokowanych adresów IP dla LOAD CSV poprzez ALTER DATABASE. Atakujący może ustawić arcadedb.opencypher.loadCsv.blockedIpRanges na pusty ciąg, a następnie wysyłać żądania LOAD CSV w celu odczytu metadanych chmury oraz wewnętrznych usług loopback lub prywatnych.

Traefik od wersji 3.2.0 przed 3.7.15 zawiera wyścig danych w eksperymentalnym FastProxy, który pozwala nieuwierzytelnionym atakującym zawiesić proces poprzez nadużycie aktualizacji protokołu HTTP/1. Atakujący może wielokrotnie otwierać i przerywać zaktualizowane połączenia, takie jak WebSocket, uszkadzając niezsynchronizowany współdzielony bufio.Reader i wywołując nieodzyskany panic, który kończy działanie Traefika.