Katalog podatności CVE

W Gitea przy zdarzeniach pull request workflow jest odczytywany z gałęzi źródłowej PR, a gdy filtry gałęzi lub ścieżek wykluczają wykonanie, publikowany jest syntetyczny status "skipped". Autor forka może dostarczyć workflow pasujący do wymaganego kontekstu statusu, ale celowo uniemożliwić jego uruchomienie, a status "skipped" jest liczony jako sukces.

API listy organizacji użytkownika w Gitea zwraca organizacje o ograniczonej widoczności dla uwierzytelnionych kont ograniczonych, nie stosując restrykcji widoczności wymuszanej przez endpoint pojedynczej organizacji. Ograniczony użytkownik może wylistować publiczne członkostwa w organizacjach znanego użytkownika oraz pobrać nazwy, opisy i awatary organizacji o ograniczonej widoczności.

Rejestr pakietów Gitea przyznaje uwierzytelnionym użytkownikom dostęp do odczytu pakietów należących do użytkowników o ograniczonej widoczności, nie wykluczając kont ograniczonych. Ograniczony użytkownik może wyliczyć i pobrać takie pakiety mimo polityki widoczności, która powinna to uniemożliwiać.

Ścieżka autoryzacji współwłaściciela w Gitea przy odczycie międzyrepozytoryjnych workflow wielokrotnego użytku nie wyklucza uruchomień z forków pull requestów. Zatwierdzony workflow z forka wskazujący na prywatne repozytorium może odczytać pliki workflow z innego prywatnego repozytorium, które ufa właścicielowi repozytorium bazowego.

Parser pakietów Swift w Gitea ogranicza każdy manifest do 128 KiB, ale nie ogranicza liczby manifestów ani ich łącznego rozmiaru przed wczytaniem do pamięci. Uwierzytelniony użytkownik z uprawnieniem publikowania pakietów może przesłać silnie skompresowane archiwum z wieloma manifestami, powodując alokacje znacznie większe niż przesłane archiwum.

Gitea parsuje przesłane pakiety Alpine przed egzekwowaniem kwot rozmiaru pakietów i nie ogranicza zdekompresowanych danych .PKGINFO ani liczby wpisów zależności i provides. Uwierzytelniony użytkownik z uprawnieniem publikowania pakietów może przesłać małe, silnie skompresowane archiwum powodujące nieproporcjonalnie duże alokacje pamięci podczas parsowania i generowania metadanych.

Wstępne sprawdzanie wersji podczas migracji z GitLab w Gitea używa klienta HTTP bez limitu czasu i nie dołącza kontekstu anulowania zadania migracji. Uwierzytelniony użytkownik mogący rozpoczynać migracje może wskazać kontrolowany przez atakującego serwer, który utrzymuje odpowiedź otwartą w nieskończoność. Żądanie trwa po anulowaniu zadania i może wyczerpać pulę procesów roboczych migracji, uniemożliwiając postęp innym migracjom.

Downloader migracji OneDev w Gitea wczytuje całą odpowiedź zdalnej wersji do pamięci bez limitu rozmiaru i używa klienta bez limitu czasu. Uwierzytelniony użytkownik mogący rozpocząć migrację repozytorium może skierować ją do kontrolowanego przez atakującego serwera zgodnego z OneDev, który zwraca odpowiedź o nadmiernym rozmiarze lub nigdy się nie kończącą.

API łączenia zespołów z repozytorium w Gitea pozwala administratorowi repozytorium, który nie jest właścicielem organizacji, przypinać zespoły organizacji do repozytorium mimo wyłączonego RepoAdminChangeTeamAccess. Endpoint nie egzekwuje ograniczenia organizacji dotyczącego zmiany dostępu zespołów przez administratorów repozytorium.

Endpointy API ulubionych repozytoriów i śledzonego czasu w Gitea nie sprawdzają ponownie bieżących uprawnień do repozytorium przed zwróceniem danych powiązanych z żądającym użytkownikiem. Użytkownik, któremu odebrano dostęp do prywatnego repozytorium, może nadal pobierać metadane repozytorium przez /api/v1/user/starred oraz tytuły prywatnych zgłoszeń przez /api/v1/user/times.

Gdy włączone jest logowanie OpenID, Gitea przyjmuje podany przez użytkownika adres URL OpenID i wykonuje żądania discovery bez walidacji miejsca docelowego względem adresów sieci wewnętrznej. Nieuwierzytelniony zdalny atakujący może spowodować, że serwer połączy się z usługami HTTP na interfejsie loopback lub w sieci prywatnej.

VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność nieprawidłowej autoryzacji w zarządzaniu użytkownikami, która pozwala uwierzytelnionym administratorom przypisywać nieograniczone role poprzez Role::find. Atakujący z dostępem do zarządzania użytkownikami mogą przypisać rolę Owner lub role innych zespołów oraz usuwać użytkowników między zespołami poprzez metodę delete() w UserIndex bez ograniczeń zakresu.

VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom obejść uprawnienia ról Spatie poprzez metody akcji Livewire. Użytkownicy z uprawnieniami tylko do odczytu mogą wywoływać metody delete, won, lost lub reopen na komponentach takich jak DealIndex lub używać niechronionych tras Activities i Products, aby modyfikować transakcje, oferty, zamówienia i faktury.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/index.php, która pozwala atakującym wstrzyknąć HTML poprzez parametr val w mode=add_todo. Atakujący mogą zwabić zalogowanego administratora do przesłania formularza POST cross-site bez ochrony CSRF, wykonując skrypt w kontekście panelu administracyjnego.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/language_settings.php poprzez niekodowany parametr GET edit_language. Atakujący mogą wysłać administratorom z uprawnieniami basic_settings spreparowany link, którego ładunek jest odzwierciedlany w ukrytym polu input, wykonując skrypt w kontekście panelu administracyjnego.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/flagged_item.php poprzez niekodowany parametr GET type. Atakujący mogą wysłać spreparowane linki flagged_item.php?type= do zalogowanych administratorów lub moderatorów, aby wykonać wstrzyknięty skrypt w kontekście panelu administracyjnego.

Formbricks przed wersją 4.9.0 zawiera podatność obejścia autoryzacji w akcjach serwera, takich jak resetSurveyAction i updateSegmentAction, które nie weryfikują własności zasobu względem dostarczonego organizationId. Uwierzytelnieni właściciele lub menedżerowie dowolnej organizacji mogą połączyć własny identyfikator organizacji z identyfikatorami zasobów ofiary, aby usuwać odpowiedzi na ankiety, modyfikować segmenty i limity lub zmieniać oczekujące zaproszenia.

frp w wersjach od 0.41.0 do 0.71.1 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na dostęp do punktów końcowych debugowania pprof, ponieważ handlery są zarejestrowane na głównym muxie poza Basic Authentication. Atakujący mogą odpytywać punkty końcowe /debug/pprof/ na dashboardzie frps lub listenerach administracyjnych frpc, aby uzyskać cmdline, stosy goroutine, profile sterty i wywołać profilowanie CPU.

we-mp-rss do wersji 1.5.3 zawiera podatność braku autoryzacji w punkcie końcowym /api/v1/wx/tools/export/download, która pozwala nieuwierzytelnionym atakującym na pobieranie archiwów eksportu, ponieważ zależność uwierzytelniania jest zakomentowana. Atakujący mogą podać mp_id i odgadnąć nazwę pliku eksportu opartą na znaczniku czasu, aby pobrać archiwa z data/docs, oraz ustawić delete_after_download=true, aby je usunąć.

Yiuman citrus do wersji 0.15.0 zawiera podatność wstrzyknięcia SQL w klauzuli ORDER BY w frameworku zapytań citrus-support, która pozwala użytkownikom wstrzyknąć SQL poprzez parametr żądania sortBy. Atakujący mogą dotrzeć do dowolnej trasy listy kontrolerów rozszerzających BaseQueryController lub BaseQueryRestful, aby dołączyć niezwalidowany SQL do klauzuli ORDER BY i wyodrębnić zawartość bazy danych za pomocą technik ślepych opartych na boolean lub czasie.