Katalog podatności CVE

Umbraco CMS w wersjach przed 17.7.1 i 18.2.1 zawiera podatność braku autoryzacji, która pozwala nieuwierzytelnionym klientom na łączenie się z hubami SignalR backoffice PreviewHub i BackofficeHub. Atakujący może ukończyć krok negocjacji SignalR i otrzymywać odświeżane powiadomienia ujawniające klucze treści, w tym niepublikowanej, oraz ujawniające czasy aktywności redakcyjnej.

PKP Open Journal Systems do wersji 3.5.0-5 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala menedżerom czasopism lub subskrypcji na dostęp do subskrypcji innych czasopism poprzez podanie dowolnych identyfikatorów subskrypcji. Atakujący może enumerować sekwencyjne identyfikatory przez editSubscription, aby wyświetlić dane subskrybentów, oraz użyć updateSubscription, aby przypisać subskrypcje do własnego czasopisma, odbierając dostęp ofiarom.

eladmin do wersji 2.7 zawiera podatność obejścia autoryzacji, która pozwala menedżerom użytkowników o zakresie departamentu modyfikować lub usuwać konta poza ich zakresem danych, ponieważ procedury obsługi zapisu pomijają sprawdzanie departamentu. Atakujący z uprawnieniami user:edit lub user:del mogą wysyłać żądania PUT lub DELETE do /api/users z identyfikatorami docelowych użytkowników, aby wyłączyć, przenieść, zmienić lub usunąć konta w innych departamentach.

IBM Db2 Genius Hub 1.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na obejście ograniczeń bezpieczeństwa z powodu braku wektora inicjalizacyjnego w algorytmie kryptograficznym.

W bibliotece libblockdev wykryto błąd. Funkcje bd_fs_ntfs_set_label() i bd_fs_vfat_set_label() przekazują wartości etykiet dostarczone przez wywołującego jako zwykłe argumenty pozycyjne do narzędzi ntfslabel i fatlabel bez separatorów końca opcji ani walidacji danych wejściowych dla wartości zaczynających się od myślnika. Pozwala to na interpretację etykiety zaczynającej się od '-' jako flagi wiersza poleceń przez uruchomione narzędzie, potencjalnie omijając kontrole bezpieczeństwa lub powodując niezamierzone operacje. Jest to osiągalne przez nieuprzywilejowanych lokalnych użytkowników poprzez metodę D-Bus udisks2 Filesystem.SetLabel() bez uwierzytelniania administratora.

Podatność typu server-side request forgery w punkcie końcowym grup PingOne w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na eksfiltrację przechowywanego sekretu aplikacji PingOne poprzez kontrolowaną przez atakującego konfigurację PingOne w parametrze żądania.

Wtyczka WordPress Product Delivery Date for WooCommerce w wersji przed 3.3.2 nie sprawdza uprawnień przed ujawnieniem szczegółów zamówienia poprzez akcje AJAX widoku kalendarza. Umożliwia to użytkownikom z rolą tak niską jak Contributor przeglądanie informacji o zamówieniach innych klientów.

Wtyczka WordPress Smush w wersji przed 4.3.4 nie ogranicza zmian ogólnosieciowego ustawienia dostępu do administratorów sieci. Umożliwia to administratorowi pojedynczej witryny w sieci multisite zmianę tego ustawienia dla całej sieci.

Wtyczka WP Mail Logging dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.17.0 włącznie poprzez parametr 'email_address'. Uwierzytelniony atakujący z uprawnieniami administratora może wyodrębnić pełne wiersze dziennika poczty należące do innych użytkowników, w tym adresy odbiorców, tematy wiadomości, pełne treści wiadomości oraz zawarte w nich adresy URL, których adresy pasują do wzorca wieloznacznego. Wykorzystanie wymaga, aby administrator przetworzył żądanie eksportu danych osobowych dla adresu e-mail atakującego, a adres ten musi zawierać znak wieloznaczny LIKE (np. podkreślenie) pasujący do co najmniej jednego innego adresu w dzienniku poczty.

Wheels w wersjach od 4.0.0 do 4.1.2 używa porównań bez rozróżniania wielkości liter w sprawdzaniu zawierania ścieżek na systemach plików wrażliwych na wielkość liter. Sprawdzenia ścieżek kanonicznych dla wpisów ZIP, mapowań pakietów, zasobów deweloperskich, obrazów i tagów obrazów mogą zaakceptować ścieżki przez istniejące dowiązanie symboliczne do katalogu różniącego się wielkością liter, umożliwiając dostęp poza zamierzonym katalogiem głównym, w tym ograniczone ujawnienie plików. Dodatkowo sprawdzenie wyjścia zrzutu bazy danych CLI może zapisywać poza katalogiem aplikacji do istniejącego zapisywalnego katalogu sąsiedniego różniącego się wielkością liter; wymaga to bramki CLI POST, loopback i hasła. Naprawiono w 4.2.0.

crmeb_java w wersji do 3.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom odczytywać zamówienia innych członków poprzez podanie ich numerów zamówień. Atakujący może wywołać /api/front/order/express/{orderId} lub /api/front/order/apply/refund/{orderId}, aby zobaczyć numery śledzenia, ślady logistyczne, kwoty płatności i pozycje produktowe ofiar.

OxiCloud w wersjach od 0.9.1 do 0.9.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala anonimowym odwiedzającym zachować dostęp do udostępnień po dodaniu ochrony hasłem. Atakujący posiadający istniejące ciasteczko oxi_shares share-ring może zażądać treści poprzez GET /api/files/{id}, aby odczytać udostępnione pliki lub zawartość folderów pomimo nowego hasła.

La Suite Docs do wersji 6.0.1 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom dodawać komentarze do wątków w dokumentach, do których nie mają dostępu. Atakujący znający UUID wątku może wysłać żądanie POST z komentarzem przez resource_id własnego dokumentu, wstawiając komentarze do wątku innego dokumentu.

Helium to darmowy internetowy planer dla uczniów. W wersjach przed 2.2.60 endpoint POST /planner/attachments/ pozwala uwierzytelnionym użytkownikom przesyłać załączniki SVG i HTML, ponieważ conf/configs/common.py pomija te formaty w BLOCKED_ATTACHMENT_EXTENSIONS i BLOCKED_ATTACHMENT_MIME_TYPES, a helium/planner/serializers/attachmentserializer.py opiera się na tych listach blokujących. Przesłany SVG serwowany jako image/svg+xml może wykonać osadzony skrypt, gdy odwiedzający otworzy publiczny URL załącznika, umożliwiając trwałą aktywną treść kontrolowaną przez atakującego i phishing pod adresem URL zarządzanym przez aplikację. Przechowywanie załączników używa oddzielnego origin niż aplikacja, więc polityka same-origin uniemożliwia skryptowi odczyt ciasteczek lub pamięci aplikacji, a przejęcie sesji aplikacji nie jest wspierane przez utrzymywaną konfigurację wdrożenia. Naprawiono w wersji 2.2.60.

W systemie drukowania OpenPrinting CUPS w wersjach przed 2.4.20 funkcja budująca opcje zadania (cupsdCreateJob w scheduler/job.c) mapuje wartości destination-uri i pre-dial-string z kolejki faksu na opcje phone i faxPrefix. Wartości te omijają sanitizer znaków kontrolnych i są kopiowane bezpośrednio do argumentu opcji filtra, co pozwala użytkownikowi uprawnionemu do zlecania zadań wstrzyknąć znaki kontrolne do strumienia opcji.

W systemie OpenPrinting CUPS w wersjach przed 2.4.20 funkcja quote_string() w backend/ipp.c zachowuje znaki powrotu karetki i nowej linii w komunikacie markera kontrolowanym przez zdalną drukarkę, zanim report_attr() zapisze wartość do strumienia statusu schedulera. Scheduler może zinterpretować wstrzykniętą nową linię jako osobną linię kontrolną PPD i zapisać wybrane przez atakującego słowo kluczowe PPD.

Lychee to narzędzie do zarządzania zdjęciami. Przed wersją 7.6.1, gdy photos_star_visibility ma wartość anonymous, endpoint POST /api/v2/Photo::highlight może pobrać i zmodyfikować zdjęcie bez potwierdzenia, że wywołujący może je zobaczyć. Nieuwierzytelniony atakujący mogący odgadnąć identyfikatory zdjęć może rozróżnić istniejące prywatne zdjęcia po różnych odpowiedziach oraz zmienić ich stan is_highlighted, w tym zdjęć w prywatnych lub chronionych hasłem albumach. Problem dotyczy instalacji z nie-domyślnym ustawieniem anonymous. Naprawiono w wersji 7.6.1.

Lychee to narzędzie do zarządzania zdjęciami. Przed wersją 7.6.0 przepływ POST /api/v2/Photo::fromUrl waliduje nazwę hosta i rozwiązane adresy w app/Rules/PhotoUrlRule.php, ale następnie przekazuje oryginalną nazwę hosta przez app/Actions/Import/FromUrl.php do app/Image/Files/DownloadedFile.php w celu osobnego połączenia fopen. Uwierzytelniony atakujący kontrolujący odpowiedzi DNS może sprawić, że walidacja zobaczy publiczny adres, a kolejne pobranie rozwiąże tę samą nazwę na adres prywatny lub zabroniony. Ta niezgodność DNS rebinding typu time-of-check to time-of-use omija zabezpieczenia SSRF i może dotrzeć do usług dostępnych z serwera Lychee. Naprawiono w wersji 7.6.0.

EspoCRM to aplikacja CRM o otwartym kodzie źródłowym. Przed wersją 9.3.9 użytkownik z uprawnieniem do edycji szablonów e-mail lub PDF może zapisać spreparowany HTML omijający moderateSanitizeHtml(). Gdy inny użytkownik otworzy szablon w trybie edycji, a clientCspDisabled ma wartość true, zapisany ładunek zostaje wykonany i może przejąć sesję użytkownika. Naprawiono w wersji 9.3.9.

W aplikacji EspoCRM przed wersją 9.3.9 uwierzytelniony administrator może umieścić spreparowaną treść w ustawieniu applicationName poprzez wstrzyknięcie nonce CSP. Trwałe wstrzyknięcie trafia do głównej strony aplikacji bez escapowania, co pozwala na uruchomienie JavaScriptu w sesjach użytkowników i wyciek danych strony, w tym niezapisanych danych wprowadzonych przez użytkownika.