Katalog podatności CVE

Podatność SSRF w AVideo (przed wersją 8.1.0) pozwala nieuwierzytelnionemu atakującemu na odczyt odpowiedzi z wewnętrznych usług HTTP/HTTPS oraz FTP. Funkcja `url_get_contents` nie blokuje adresów prywatnych, loopback ani link-local i wyłącza weryfikację certyfikatów TLS, a endpoint `objects/login.json.php` zwraca pobraną zawartość. Dodatkowo `view/youtubeDl.json.php` umożliwia żądania do wewnętrznych serwerów FTP.

W AVideo przed wersją 8.1.0 koder nie ma globalnej warstwy uwierzytelniania i udostępnia anonimowym wywołaniom sieciowym endpointy PHP sterowania i statusu. Endpointy `view/run.php`, `view/queue.json.php`, `view/status.php` i `view/listFiles.json.php` pozwalają nieuwierzytelnionemu atakującemu sterować procesorem kolejki, odczytywać informacje o kolejce i streamerach, uzyskiwać statystyki pamięci oraz wyliczać nazwy i ścieżki plików multimedialnych w dowolnym katalogu czytelnym dla użytkownika serwera WWW. Luka jest naprawiona w wersji 8.1.0.

W AVideo przed wersją 8.1.0 nieuwierzytelnione logowanie streamera w `objects/login.json.php` przekazuje parametr `user` do `Streamer::get`, gdzie jest wstawiany do zapytania SELECT MariaDB w pojedynczych cudzysłowach bez parametryzacji lub escapowania. Mimo że `objects/security.php` usuwa literalne pojedyncze cudzysłowy, `html_entity_decode` w `objects/Login.php` przywraca zakodowane encjami cudzysłowy przed zapytaniem. Wyniki UNION są ujawniane przez `streamers_id`, a błędy zwracają zapytanie i komunikat błędu MariaDB. Luka jest naprawiona w wersji 8.1.0.

W AVideo przed wersją 8.1.0 endpoint streamingu `view/videosListToLive.php` ufa danym zwróconym przez atakującego w `webSiteRootURL` i traktuje je jako stan sesji, pozwalając nieuwierzytelnionemu atakującemu na samodzielne przyznanie sobie uprawnień `isLogged` i `canStream`. Ścieżki z listy wideo są wstawiane bez escapowania do poleceń `ffprobe` i `ffmpeg` wykonywanych przez `exec`, co umożliwia wstrzyknięcie poleceń systemowych. Luka jest naprawiona w wersji 8.1.0.

W AVideo przed wersją 8.1.0 nieuwierzytelniony endpoint instalatora `install/checkConfiguration.php` buduje plik `videos/configuration.php`, wstawiając parametry żądania, w tym `webSiteRootURL`, do literałów PHP w pojedynczych cudzysłowach bez escapowania. Atakujący może zamknąć literał i wstrzyknąć kod PHP wykonywany jako użytkownik serwera WWW. Wymagane jest, aby plik `videos/configuration.php` nie istniał, a parametry bazy mogły wskazywać na serwer atakującego. Luka jest naprawiona w wersji 8.1.0.

Dodatek AnkiMCP do wersji 0.21.0 wyłącza ochronę przed DNS-rebinding w FastMCP, także dla domyślnego lokalnego nasłuchu HTTP na 127.0.0.1:3141, bez uwierzytelniania i bez list dozwolonych Host/Origin. Złośliwa strona internetowa odwiedzona przez ofiarę może wykonać żądania do pętli zwrotnej i uzyskać dostęp do MCP, wyliczyć narzędzia oraz odczytać lokalną kolekcję i wykonywać niedestrukcyjne operacje na notatkach i taliach.

W Blombooru przed wersją 1.40.0 endpoint GET /proxy-image dostępny jako /api/booru-import/proxy-image przyjmuje parametr url i pobiera go po stronie serwera bez istotnej walidacji celu. Funkcja proxy_image() sprawdza jedynie, czy wartość zaczyna się od http, a następnie używa get_client_for_url lub requests.get i strumieniuje odpowiedź; adresy prywatne, loopback i link-local nie są blokowane, a automatycznie śledzone przekierowania mogą przenieść żądanie z zaufanej domeny do adresu wewnętrznego.

OpenCATS przed wersją 0.10.0 zawiera lukę SQL injection w filtrowaniu dat DataGrid aktywności w `home:CallsDataGrid` i `activity:ActivityDataGrid`, gdzie parametry `period`, `startDate` i `endDate` są używane bez wystarczającej walidacji lub escapowania. Uwierzytelniony użytkownik z dostępem do dotkniętych endpointów DataGrid może zmienić zamierzone zapytanie, aby uzyskać dostęp do poufnych danych bazy, w tym kont użytkowników, rekordów kandydatów, danych kontaktowych, informacji o firmach, zleceń pracy i historii aktywności. Wymagane jest ważne logowanie do OpenCATS. Luka jest naprawiona w wersji 0.10.0.

W OpenCATS przed wersją 0.10.0 funkcja konfiguracji licencji profesjonalnej w SettingsUI przyjmuje klucz licencji kontrolowany przez administratora, który jest wstawiany do instrukcji PHP define() w config.php bez bezpiecznego escapowania. Poprzez spreparowane dane wejściowe można zmienić składnię PHP pliku i uzyskać trwałe wykonanie dowolnego kodu PHP z uprawnieniami procesu serwera WWW.

Bricks Builder w wersji 2.4.3 i wcześniejszych zawiera podatność na złamanie kontroli dostępu, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do zastrzeżonych treści wpisów poprzez przesłanie spreparowanych wartości post_status i post_type w parametrze originalQueryVars do endpointu REST POST /wp-json/bricks/v1/query_result z użyciem publicznie dostępnego nonce. Atakujący mogą ustawić post_status na draft lub private albo post_type na shop_coupon, ujawniając nieopublikowane wpisy, prywatne treści i dane kuponów WooCommerce.

Bricks Theme w wersji 2.4.3 i wcześniejszych zawiera podatność na wstrzyknięcie tagów danych dynamicznych bez uwierzytelnienia, która pozwala anonimowym atakującym kontrolować obiekt urlParams w endpoincie REST query_result, powodując ponowne przetworzenie przesłanej wartości jako tagu danych dynamicznych Bricks. Atakujący mogą wstrzyknąć tagi takie jak author_meta:user_pass, author_meta:user_email lub cf_coupon_amount, aby ujawnić metadane wpisu i rekord użytkownika autora wpisu, w tym hash hasła.

Wtyczka PiWeb Disable payment method / Partial payment for WooCommerce przed wersją 1.1.10.9 zawiera podatność braku autoryzacji w procedurze AJAX update_fees, która pozwala nieuwierzytelnionym atakującym modyfikować i odczytywać zamówienia innych klientów. Atakujący mogą ponownie użyć nonce ze swojej strony order-pay i podać kolejne wartości order_id, aby zmienić metody płatności, przeliczyć opłaty oraz ujawnić pozycje i sumy zamówień.

W gopass przed wersją 1.17.0 występuje podatność path traversal w backendzie przechowywania na systemie plików, która pozwala atakującym usuwać katalogi poza magazynem haseł poprzez nazwy wpisów zawierające ../ w operacjach Prune i IsDir. Współpracownicy z prawem zapisu do współdzielonego magazynu synchronizowanego przez git mogą wprowadzić spreparowane wpisy, powodując usunięcie dowolnych drzew katalogów przez rekurencyjne gopass rm -r ofiary.

Volmarg Personal Management System do wersji 2.1.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia powłoki poprzez nieescapowane ścieżki folderów w poleceniu tree modułu storage. Atakujący mogą utworzyć katalog w upload/files zawierający metaznaki powłoki, takie jak $(...), a następnie przenieść lub skopiować go, uruchamiając polecenia jako użytkownik serwera WWW.

Dolibarr ERP CRM przed wersją 24.0.2 zawiera podatność braku autoryzacji w htdocs/public/recruitment/view.php, która pozwala nieuwierzytelnionym atakującym przeglądać nieopublikowane wersje robocze stanowisk pracy. Atakujący mogą wyliczać kolejne tymczasowe referencje przez parametr ref, aby odczytać tytuły, opisy, budżety wynagrodzeń oraz nazwiska i adresy e-mail rekruterów.

FreeImage do wersji 3.18.0 oraz fork danoli3 FreeImage przed 3.19.25 zawierają przepełnienie bufora na stercie w PluginGIF.cpp, umożliwiające zapis poza alokacją kanwy poprzez nieprzycięte prostokąty klatek GIF. Atakujący może spreparować GIF, w którym lewa krawędź klatki plus szerokość przekracza szerokość logicznego ekranu, powodując uszkodzenie pamięci sterty przez GifPlaybackCompositeFrame() i GifPlaybackFillRect() przy ładowaniu z GIF_PLAYBACK.

FreeImage do wersji 3.18.0 oraz fork danoli3 FreeImage przed 3.19.22 zawierają przepełnienie bufora na stercie w dekoderze PBM RLE w PluginIFF.cpp, który nie sprawdza granic przebiegów ByteRun1. Atakujący może dostarczyć spreparowany plik IFF/LBM PBM z przebiegami przekraczającymi końce linii, zapisując do 127 kontrolowanych bajtów poza zaalokowaną na stercie bitmapą.

python-markdown2 do wersji 2.5.5 zawiera podatność na odmowę usługi, która pozwala zdalnym użytkownikom wyczerpać CPU poprzez przesyłanie Markdown z niezamkniętymi celami linków wbudowanych. Atakujący mogą przesyłać powtarzające się sekwencje '[a](' lub '![a](', powodując wielokrotne skanowanie reszty dokumentu przez _find_balanced dla każdego linku i zużywanie kwadratowego czasu CPU.

CherryTree do wersji 1.7.2 zawiera podatność path traversal w CtStorageXmlHelper::_create_image_from_xml, która ufa niezwalidowanym atrybutom filename osadzonych plików w dokumentach XML. Atakujący mogą spreparować dokument .ctd, .ctz lub .ctx z bezwzględną lub ~/ nazwą pliku i bez danych, tak że zapis osadza pliki takie jak ~/.ssh/id_rsa w dokumencie.

CherryTree do wersji 1.7.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w CtActions::link_clicked, która pozwala atakującym wykonywać polecenia poprzez osadzanie metaznaków powłoki w adresach URL linków internetowych. Gdy włączona jest niebędąca domyślną opcja Custom Web Link Clicked Action, atakujący mogą dostarczyć spreparowane dokumenty, których linki przekazują $(...), backticki lub średniki bez cudzysłowów do std::system, uruchamiając polecenia jako ofiara po kliknięciu.