Katalog podatności CVE

W HBS 3 Hybrid Backup Sync oraz Hybrid Backup Sync zgłoszono podatność polegającą na użyciu zaszyfrowanego klucza kryptograficznego zapisanego na stałe w kodzie. W przypadku wykorzystania luka może pozwolić zdalnym atakującym na naruszenie bezpieczeństwa systemu.

W HBS 3 Hybrid Backup Sync oraz Hybrid Backup Sync zgłoszono podatność polegającą na użyciu zaszyfrowanego klucza kryptograficznego zapisanego na stałe w kodzie. W przypadku wykorzystania luka może pozwolić zdalnym atakującym na naruszenie bezpieczeństwa systemu.

W mechanizmie uwierzytelniania HOTP komponentu keycloak-services system waliduje jednorazowe hasło i aktualizuje wewnętrzny licznik w dwóch oddzielnych krokach bez odpowiedniego blokowania. Atakujący znający hasło użytkownika może wykorzystać tę lukę czasową, aby użyć jednego kodu jednorazowego do wielokrotnego logowania jednocześnie.

W implementacji Pushed Authorization Request (PAR) komponentu keycloak-services ponowne uruchomienie przepływu uwierzytelniania nieprawidłowo czyści wewnętrzne znaczniki zużycia PAR, pozostawiając żądanie aktywne. Atakujący może ponownie użyć tego samego żądania autoryzacji do uzyskania wielu tokenów dostępu, omijając wymóg jednorazowości.

W komponencie rejestracji klienta Keycloak, gdy dostawca vault jest używany do przechowywania wrażliwych informacji, uwierzytelniony właściciel klienta może użyć specjalnie spreparowanego odwołania, aby ujawnić sekrety. Poprzez zmianę sekretu klienta na wpis w vault i następnie żądanie konfiguracji klienta właściciel może zobaczyć wartość sekretu w postaci jawnej.

W implementacji JWT Authorization Grant komponentu keycloak-services, gdy dostawca tożsamości OIDC lub Google jest skonfigurowany z określonymi ograniczeniami logowania, takimi jak filtrowanie oświadczeń, sprawdzenia te są stosowane podczas standardowych logowań w przeglądarce, ale pomijane w przepływie grantu opartego na JWT. Umożliwia to uwierzytelnionemu klientowi uzyskanie tokenów dostępu dla użytkownika, nawet jeśli jego oświadczenia dostawcy tożsamości powinny blokować logowanie.

W 389-ds-base występuje dereferencja wskaźnika NULL, gdy operacja ModifyDN (zmiana nazwy) używa aliasu schematu atrybutu (np. "commonName") zamiast nazwy kanonicznej (np. "cn") jako nowej względnej nazwy wyróżniającej. Uwierzytelniony atakujący z uprawnieniem ModifyDN na dotkniętym wpisie może użyć tej luki do zawieszenia serwera katalogowego.

Wtyczka Password Protected dla WordPress jest podatna na przechowywane cross-site scripting poprzez dołączony handler ukończenia zakupu w Freemius SDK we wszystkich wersjach do 2.8.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Po zakończeniu opt-in Freemius handler przetwarza parametr żądania 'purchased_plan' w dowolnym żądaniu wp-admin od uwierzytelnionego użytkownika bez weryfikacji uprawnień, nonce ani zakupu, i zapisuje go w trwałym komunikacie administracyjnym.

Wtyczka WordPress vTables w wersji przed 0.3 nieprawidłowo oczyszcza i escapuje parametr przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków SQL injection i wyodrębnienie danych z bazy danych.

Wtyczka WordPress PAYCOMET for WooCommerce w wersji przed 5.46 nie weryfikuje podpisu kryptograficznego w punkcie powiadomień o płatnościach, gdy żądanie dotyczy operacji tokenizacji. Umożliwia to nieuwierzytelnionym atakującym nadpisanie zapisanego tokenu płatności powiązanego z istniejącymi zamówieniami oraz usunięcie zapisanych danych kart.

Wtyczka WordPress Community Events w wersji przed 1.6.0 nie sprawdza uprawnień ani nonce przy przetwarzaniu publicznych zgłoszeń wydarzeń oraz nie escapuje kilku przesyłanych wartości przed wyświetleniem ich w panelu administracyjnym i w publicznym kalendarzu. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnych skryptów internetowych, które wykonają się w przeglądarce administratora przeglądającego zgłoszenie.

Wtyczka WordPress Video Player for YouTube w wersji przed 2.1.4 nie sprawdza uprawnień w obsłudze AJAX dla presetów odtwarzacza. Umożliwia to użytkownikom z rolą Contributor i wyższą odczytanie witrynowej konfiguracji presetów odtwarzacza, a w wersjach przed 2.1.1 także jej modyfikację i usunięcie.

Wtyczka WordPress Link Library w wersji przed 7.10.0 nie weryfikuje, czy żądany link należy do zestawu ustawień, którego szablon wyświetlania jest używany do jego renderowania. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie numeru telefonu, adresu e-mail i nazwy zgłaszającego zapisanych przy linkach, których zestaw ustawień jest skonfigurowany tak, aby ich nie wyświetlać.

Wtyczka WordPress Link Library w wersji przed 7.10.0 nie sprawdza ponownie wymogu logowania wybranej biblioteki przy przetwarzaniu zgłoszenia linku z frontendu. Umożliwia to nieuwierzytelnionym użytkownikom przesyłanie linków do biblioteki skonfigurowanej jako wymagająca logowania poprzez ponowne użycie tokenu formularza uzyskanego z innej biblioteki, która tego wymogu nie ma.

W komponencie platform-mbean JBoss EAP wykryto błąd polegający na braku wymaganych kontroli RBAC w obsłudze operacji read-resource na zasobie zarządzania runtime. Uwierzytelniony użytkownik z niskimi uprawnieniami, np. rolą Monitor, może przeglądać wrażliwe właściwości systemowe i szczegóły konfiguracji JVM, które powinny być ograniczone.

Listener IIOP w WildFly może umożliwiać deserializację strumieni wejściowych przed przeprowadzeniem uwierzytelnienia. Atakujący z dostępem do portu IIOP może skonstruować i wysłać złośliwe obiekty i doprowadzić do deserializacji, jeśli docelowy EJB zezwala na nietypowane parametry metod oraz w zależności od dostępnych łańcuchów gadżetów w classpath.

W nvm w wersjach 0.31.2 do 0.40.5 funkcja nvm_ls filtruje zainstalowane wersje programem sed, który osadza wzorzec wersji w adresie \#...#, eskalując kropkę i #, ale nie backslash. Ciąg wersji zawierający # zamyka adres przedwcześnie, a reszta jest interpretowana jako polecenia sed, co w GNU sed pozwala na wykonanie polecenia powłoki, a w BSD sed na zapis i odczyt plików.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie ogranicza dostępu do akcji AJAX usuwającej zapisane rekordy statystyk formularzy. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów statystyk.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie izoluje silnika szablonów używanego do renderowania formularzy i pozwala, aby zapisana treść edytora formularzy trafiła do tego silnika jako wykonywalny kod szablonu. Umożliwia to administratorowi przeprowadzenie server-side template injection i wykonanie dowolnego kodu na serwerze; wstrzyknięty szablon jest kompilowany i wykonywany przy każdym załadowaniu strony z formularzem, więc zapisany payload pozwala także nieuwierzytelnionemu odwiedzającemu odczytać sekrety serwera, takie jak sole uwierzytelniania i dane dostępowe do bazy danych.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.