Katalog podatności CVE

Ten identyfikator CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.

Wekan (wersje przed 10.38) zawiera podatność w kilku endpointach eksportu, gdzie token authToken jest pobierany z parametru zapytania i używany bez sprawdzenia, czy użytkownik istnieje. Żądanie do prywatnej tablicy z nieznanym tokenem powoduje TypeError i nieobsłużone odrzucenie, co może doprowadzić do zakończenia procesu Wekan i odmowy usługi dla wszystkich użytkowników. Wersja 10.38 dodaje zabezpieczenia 401 i opakowuje handlery funkcją safeRoute().

Wekan to open source'owa tablica kanban zbudowana w Meteor. Od wersji 8.72 do 10.23 funkcja addBoardHTMLToZip() w client/lib/exportHTML.js odczytywała tytuł i treść karty przez textContent, co dekodowało encje HTML, a następnie interpolowało titleText i allText do content.innerHTML w wyeksportowanym index.html. Członek tablicy mógł przechowywać zakodowany encją payload obsługi zdarzeń w tytule karty, który pozostawał nieaktywny na żywej tablicy, ale był ponownie parsowany i wykonywany, gdy odbiorca kliknął kartę w pobranym eksporcie HTML, umożliwiając skryptowi odczytanie i przesłanie wszystkich danych tablicy zawartych w tym eksporcie, w tym treści dodane po usunięciu członkostwa atakującego. Wersja 10.23 buduje modal z węzłami DOM i przypisuje niezaufane wartości przez textContent. Problem został naprawiony w wersji 10.23.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Przed wersją 9.90 funkcja isFileValid() w models/fileValidation.js używała polecenia Unix 'file' do wykrywania MIME na podstawie zawartości, ale detectMimeFromFile() po cichu zwracała undefined, gdy ten binarny plik był niedostępny, a walidacja wracała do kontrolowanego przez atakującego fileObj.type dostarczanego przez server/routes/attachmentApi.js. Na wdrożeniach z WITH_API=true i bez pliku binarnego 'file', uwierzytelniony członek tablicy mógł oznaczyć HTML zawierający JavaScript jako image/png, ominąć niebezpieczne sprawdzenie MIME i przechowywać aktywną treść pod originem Wekan do wykonania, gdy inny użytkownik ją otworzył. Wersja 9.90 dodaje looksLikeDangerousMarkup() do inspekcji bajtów pliku i wymusza skanowanie niebezpiecznej zawartości, gdy wykrywanie MIME jest niedostępne. Problem został naprawiony w wersji 9.90.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Przed wersją 9.89 druga reguła Boards.allow({ update }) w server/permissions/boards.js wywoływała canUpdateBoardSort w server/lib/utils.js, która autoryzowała każdego członka tablicy, gdy fieldNames zawierało 'sort'. Ponieważ Meteor łączy reguły allow z semantyką OR i stosuje kompletny modyfikator, członek z uprawnieniami tylko do komentarzy lub tylko do odczytu mógł wysłać jedno Boards.update z wartościami $set dla sort, members, permission i title, uczynić siebie jedynym administratorem tablicy, ujawnić prywatną tablicę i usunąć prawowitego właściciela; reguła deny dotycząca ostatniego administratora sprawdzała tylko $pull i nie blokowała całkowitego $set członków. Wersja 9.89 wymaga, aby 'sort' był jedynym modyfikowanym polem i odrzuca tablice $set członków, które usuwają ostatniego aktywnego administratora. Problem został naprawiony w wersji 9.89.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Przed wersją 9.75, models/fileValidation.js interpolował przesłany fileObj.path do skonfigurowanego przez administratora externalCommandLine w miejscu {file} i wykonywał wynik przez asyncExec, który jest promisify(exec) i wywołuje `/bin/sh -c`. Na wdrożeniach ze skonfigurowanym zewnętrznym skanerem, uwierzytelniony użytkownik mogący przesłać załącznik mógł umieścić metaznaki powłoki, takie jak podstawienia poleceń, w nazwie pliku i wykonać polecenia jako proces serwera Wekan. Wersja 9.75 dodaje shellQuote() i przekazuje ścieżkę pliku jako argument w pojedynczych cudzysłowach POSIX, aby metaznaki powłoki nie mogły uciec z miejsca {file}. Problem został naprawiony w wersji 9.75.

Wekan (wersje od 9.57 do 9.74) zawiera podatność w trasie /api/boards/:boardId/exportExcel, gdzie funkcja autoryzacyjna exporterExcel.canExport(user) nie jest oczekiwana (brak await). Zwracana Promise jest zawsze prawdziwa, więc exporterExcel.build(res) wykonuje się nawet gdy board.isVisibleBy(user) odmawia dostępu. Pozwala to każdemu uwierzytelnionemu nie-członkowi na pobranie tytułów kart, opisów, list, swimlanes, członków i metadanych prywatnych tablic. Poprawka w wersji 9.74.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Od wersji 8.36 do 9.74, walidator URL Integration URL w models/integrations.js sprawdzał tylko dosłowny URL.hostname względem wyrażeń regularnych, więc nazwy DNS takie jak 169-254-169-254.nip.io przechodziły pierwszą linię kontroli. Zabezpieczenie fetchSafe w ścieżce dostarczania już blokowało zgłoszone miejsce docelowe IPv4, ale jego oddzielny resolver tylko dla IPv4 i zduplikowana lista blokowania tworzyły niespójne egzekwowanie dla wszystkich rodzin adresów i ryzyko dryfu między walidacją przy wejściu a połączeniem. Wersja 9.74 sprawia, że server/lib/ssrfGuard.js rozwiązuje wszystkie adresy za pomocą `dns.lookup({ all: true })`, waliduje każdy wynik przez wspólną logikę isIpBlocked, przypina połączenie i blokuje przekierowania. Problem został naprawiony w wersji 9.74.

pfSense Plus (przed 26.07) i pfSense CE (do 2.8.1) zawierają podatność XSS (przechowywane) w funkcji Traffic Graphs top-talkers. Rekordy PTR z odwrotnego DNS są wstawiane bez sanityzacji do odpowiedzi AJAX i renderowane jako HTML w interfejsie administratora. Atakujący kontrolujący rekord PTR i generujący wystarczający ruch może wykonać dowolny JavaScript w przeglądarce administratora, uzyskując dostęp do sesji i możliwość tworzenia kont oraz wykonywania poleceń OS.

ICEcoder 8.1 zawiera nieuwierzytelnioną podatność zdalnego wykonania kodu, która pozwala atakującemu na wykonanie dowolnych poleceń systemowych poprzez połączenie obejścia uwierzytelniania, walidacji CSRF i niebezpiecznego wykonania poleceń.

Logto Tunnel przed wersją 0.3.9 zawiera podatność na przechodzenie poza katalog (path traversal) w funkcji createStaticFileProxy. Niezautoryzowany atakujący może wysłać żądanie ze ścieżką zawierającą '../' i odczytać pliki poza skonfigurowanym katalogiem statycznym, jeśli port tunelu jest osiągalny.

Logto, nowoczesna infrastruktura uwierzytelniania open-source, w wersjach od 1.40.1 do 1.41.0 zawiera podatność w workflow GitHub Actions, gdzie tytuł pull requesta jest bezpośrednio interpolowany do polecenia echo w kroku commitlint. Tytuł zawierający pojedynczy cudzysłów może przerwać ciąg echo i dołączyć dowolne polecenia powłoki na runnerze GitHub Actions. Atakujący może zakłócić działanie ephemeral workflow, ale nie ma dostępu do sekretów repozytorium.

Logto przed wersją 1.41.0 ma podatność na katastrofalne cofanie się (catastrophic backtracking) w wyrażeniu regularnym używanym do blokowania subadresów e-mail. Atakujący może wysłać specjalnie skonstruowany adres e-mail, powodując zablokowanie pętli zdarzeń i niedostępność usług uwierzytelniania.

BuildKit to zestaw narzędzi do konwersji kodu źródłowego na artefakty budowania. Przed wersją 0.31.1 BuildKit czytał kontrolowane przez atakującego pliki /etc/passwd i /etc/group bez górnego limitu podczas rozwiązywania nazwy użytkownika na identyfikator użytkownika lub grupy w executor/oci/user.go i solver/llbsolver/ops/user_linux.go. Złośliwy obraz bazowy lub build może dostarczyć nadmiernie duże pliki, które wyczerpują pamięć podczas rozwiązywania użytkownika i powodują zakończenie procesu buildkitd z powodu braku pamięci.

BuildKit, narzędzie do budowania artefaktów, przed wersją 0.31.1 zawiera podatność, w której niestandardowy frontend może umieścić nieprawidłową wartość SecurityMode w spreparowanym żądaniu budowy. Executor traktuje tę wartość jako tryb bez sandboxa, nie wymagając uprawnienia security.insecure, co wyłącza ochronę Seccomp i AppArmor dla kontenera budowy, mimo że ograniczenia Linux capabilities pozostają.

Etherpad, edytor współpracy w czasie rzeczywistym, przed wersją 3.3.0 zawiera podatność XSS w funkcji getHTMLFromAtext, gdzie wartości z hooka exportHtmlAdditionalTagsWithData są interpolowane do atrybutów danych span bez odpowiedniego escapowania. Edytor może umieścić kontrolowaną wartość w puli atrybutów, a otwarcie eksportu HTML powoduje wykonanie skryptu w kontekście Etherpad.

Etherpad od wersji 2.1.0 do 3.1.0 zawiera podatność w autoryzacji API, która pozwala nieuprzywilejowanemu użytkownikowi z ważnym tokenem na wywoływanie funkcji administracyjnych, takich jak modyfikacja, usuwanie lub ujawnianie padów.

Etherpad w wersjach od 2.6.0 do 3.1.0 zawiera podatność w mechanizmie transferu tokenów, gdzie token autora jest przechowywany i udostępniany przez GET /tokenTransfer/{uuid} bez wygasania i bez usuwania po użyciu. Nieuwierzytelniony atakujący, znając UUID, może wielokrotnie wykorzystać token, uzyskać świeże ciasteczka autora i podszywać się pod autora.

Etherpad w wersjach od 2.1.0 do 3.1.0 używa kontrolowanego przez atakującego nagłówka x-proxy-path przy podstawianiu ścieżek w HTML, JavaScript i CSS w obszarze /admin bez sanityzacji i bez nagłówków Vary czy Cache-Control. Współdzielony proxy lub CDN może zapisać odpowiedź w cache i serwować wstrzyknięty skrypt administratorowi. W wersji 3.0.0 istnieje również podatność na przekierowanie do zewnętrznego hosta.

Etherpad przed wersją 3.1.0 generuje tymczasowe nazwy plików za pomocą Math.random() i umieszcza je w katalogu tymczasowym. Lokalny atakujący, przewidując nazwę, może utworzyć dowiązanie symboliczne do pliku zapisywalnego przez proces Etherpad, co pozwala na nadpisanie go częściowo kontrolowaną treścią podczas importu lub eksportu.