Katalog podatności CVE

Frappe ERPNext przed wersją 15.111.0 oraz 16.x przed 16.22.0 zawiera podatność typu privilege escalation w punkcie końcowym tworzenia rekordów, który pobiera typ rekordu z żądania i wstawia rekord z wyłączonymi kontrolami uprawnień. Każdy uwierzytelniony użytkownik, nawet bez roli operacyjnej, może podać uprzywilejowany typ rekordu, aby utworzyć uprzywilejowane konta.

Frappe ERPNext przed wersją 15.119.0 oraz 16.x przed 16.31.0 zawiera podatność typu stored XSS, ponieważ pola rekordów są renderowane w kontekście atrybutu HTML bez escapowania. Użytkownik z niskimi uprawnieniami może zapisać złośliwy ładunek w polu rekordu, który wykona się w przeglądarce uprzywilejowanego użytkownika otwierającego podatną stronę.

Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 zawiera podatność typu server-side template injection, ponieważ pola wiadomości kontrolowane przez użytkownika nie są walidowane przed renderowaniem szablonu, co pozwala na wykonywanie wyrażeń w nieograniczonym kontekście. Uwierzytelniony atakujący z typową rolą operacyjną może wstrzykiwać wyrażenia szablonu, aby odczytywać i zapisywać dowolne dane w bazie danych, usuwać dokumenty, wysyłać żądania wychodzące z serwera oraz wysyłać pocztę z witryny.

Frappe ERPNext przed wersją 16.22.0 zawiera podatność typu missing authorization, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy poprzez wywoływanie punktów końcowych bez odpowiednich kontroli autoryzacji. Atakujący mogą wywoływać te punkty końcowe, aby wykonywać operacje na rekordach poza swoją rolą.

Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 zawiera podatność typu stored XSS, ponieważ treści przesyłane przez publiczną stronę rezerwacji są przechowywane bez neutralizacji. Nieuwierzytelnieni atakujący mogą przesłać spreparowaną treść, która jest renderowana jako surowy HTML w sesji uprzywilejowanego użytkownika, wykonując skrypt w jego kontekście.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność typu missing authorization w niektórych punktach końcowych, które nie wymuszają właściwych kontroli autoryzacji podczas tworzenia dokumentów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wysyłać żądania do tych punktów końcowych, aby tworzyć dokumenty w kontekście rekordów poza swoją rolą, omijając ograniczenia oparte na rolach.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność typu missing authorization, w której niektóre punkty końcowe nie wymuszają właściwych kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych punktów końcowych, aby modyfikować dane poza zakresem dozwolonym przez ich rolę.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują poprawnych kontroli dostępu przy modyfikacji statusu dokumentów, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach modyfikować dane poza przysługującą im rolą.

W Frappe ERPNext przed wersją 15.120.0 oraz w gałęzi 16.x przed 16.33.0 występuje luka trwałego skryptu krzyżowego (stored XSS) w widoku raportu. Nazwy rekordów są wstawiane do znaczników bez escapowania, więc uwierzytelniony użytkownik mogący tworzyć rekordy może zapisać złośliwą nazwę, która wykona skrypt w sesji każdego, kto otworzy raport.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka wstrzyknięcia SQL w kilku endpointach pozbawionych walidacji danych wejściowych. Każdy uwierzytelniony użytkownik, nawet bez przypisanych ról, może wysłać spreparowane żądania, aby odczytać dane innych użytkowników i eskalować do uprzywilejowanego konta.

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka trwałego skryptu krzyżowego (stored XSS), ponieważ widok narzędzia wstawia nazwy rekordów do znaczników bez escapowania. Uwierzytelniony użytkownik mogący tworzyć takie rekordy może nadać im złośliwe nazwy, które wykonają skrypt w sesji każdego, kto otworzy narzędzie.

W phpMyFAQ przed wersją 4.1.9 występuje luka wstrzyknięcia SQL w metodzie PdoMysql::escape(), która escapuje apostrofy backslashami traktowanymi dosłownie, gdy MySQL lub MariaDB działa w trybie NO_BACKSLASH_ESCAPES. Nieuwierzytelniony atakujący może wysłać w parametrze wyszukiwania api/autocomplete znak Unicode prawego apostrofu, normalizowany do apostrofu ASCII, aby odczytać poświadczenia i sekrety konfiguracji, modyfikować rekordy lub usuwać tabele.

W Open WebUI od wersji 0.8.6 przed 0.11.4 występuje luka eskalacji uprawnień w proxy terminala, która pozwala uwierzytelnionym użytkownikom dotrzeć do administracyjnego API Terminals ze wspólnym kluczem. Atakujący może wysyłać żądania przez /api/v1/terminals/{server_id}/{path}, aby wyświetlać lub zatrzymywać terminale innych użytkowników oraz modyfikować polityki terminali, wstrzykując zmienne środowiskowe do terminali innych użytkowników.

IBM TRIRIGA Application Platform w wersjach od 5.0.0 do 5.0.8 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji ścieżek plików podczas rozpakowywania archiwów.

W Frappe ERPNext przed wersją 14.92.1 oraz w gałęzi 15.x przed 15.83.0 występuje luka odbitego skryptu krzyżowego (reflected XSS) z powodu braku walidacji danych wejściowych na pewnej stronie, co pozwala na wykonanie dowolnego JavaScriptu w uwierzytelnionych sesjach. Zdalny atakujący może nakłonić zalogowanego użytkownika do otwarcia spreparowanego adresu URL, aby wykonać wstrzyknięty skrypt i przejąć konto ofiary.

W Frappe przed wersją 14.81.4 oraz w gałęzi 15.x przed 15.41.0 występuje luka nieprawidłowego zarządzania uprawnieniami dotycząca pewnej akcji dokumentu, która pozwala na eskalację z roli Website User do System Manager. Uwierzytelniony atakujący z dostępem Website User może połączyć tę akcję z dodatkowymi krokami, aby uzyskać administracyjne uprawnienia System Manager w aplikacji Frappe.

IBM Maximo Application Suite - komponent IoT w wersjach 9.2.0, 9.1.0 i 9.0.0 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi (DoS) z powodu niekontrolowanej rekurencji.

IBM Maximo AI Service 9.1.0 i 9.2.0 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu nieprawidłowego obsługiwania uszkodzonych ramek, co prowadzi do zakończenia procesu hosta.

IBM Maximo AI Service 9.1.0 i 9.2.0 SaaS może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu niekontrolowanej rekurencji.

IBM Maximo AI Service 9.1.0 i 9.2.0 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.