Katalog podatności CVE

W Frappe przed wersją 15.118.0 oraz 16.x przed 16.31.0 występuje podatność stored cross-site scripting w filtrach wykresów dashboardu, ponieważ jQuery renderuje wprowadzone wartości filtrów jako rich text. Uwierzytelnieni atakujący mogą zapisać złośliwe wartości filtrów, które wykonują skrypty w przeglądarkach użytkowników przeglądających wykres dashboardu.

W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.

W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.

W Frappe przed wersją 15.113.3 oraz 16.x przed 16.25.0 występuje brak kontroli autoryzacji, w którym niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych endpointów, aby modyfikować rekordy poza zakresem przypisanej im roli.

W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.

Hugo od wersji 0.60.0 do 0.167.0 zawiera podatność na trwały cross-site scripting (XSS), która pozwala autorom treści Markdown na wstrzyknięcie HTML przez spreparowane identyfikatory nagłówków. Atakujący mogą wydostać się z nieescapowanego atrybutu href w .TableOfContents lub .Fragments.ToHTML, aby wstrzyknąć elementy z obsługą zdarzeń do renderowanych stron.

Hugo od wersji 0.162.0 do 0.167.0 zawiera podatność na nieprawidłowe rozwiązywanie linków, która pozwala złośliwym motywom lub modułom na ujawnienie plików poza ich katalogiem głównym przez katalogi przodków zagnieżdżonych mountów. Atakujący kontrolujący motyw może umieścić dowiązanie symboliczne lub połączenie NTFS w wirtualnym katalogu przodka, powodując, że resources.Match wyświetli i opublikuje lokalne pliki podczas budowania.

Hugo od wersji 0.84.0 do 0.167.0 zawiera podatność na path traversal, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback resolver ESBuild w js.Build, js.Batch i css.Build. Atakujący mogą dostarczyć względne importy lub dowiązania symboliczne wskazujące poza projekt, aby spakować dowolny plik czytelny dla użytkownika budującego do opublikowanego wyjścia JavaScript lub CSS.

Hugo przed wersją 0.167.0 zawiera podatność na path traversal w css.Sass, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback importu kompilatora Sass. Atakujący mogą dostarczyć arkusze stylów z względnymi, bezwzględnymi lub dowiązanymi symbolicznymi celami @import lub @use, aby skompilować czytelne pliki do opublikowanego CSS strony.

Wykryto podatność w code-projects Matrimonial System 1.0. Problem dotyczy nieznanego przetwarzania pliku db/matrimony.sql. Ta manipulacja powoduje, że pliki lub katalogi są dostępne. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty.

Wykryto podatność w code-projects Online Ticket Reservation System 1.0. Podatność dotyczy nieznanego kodu pliku /database/medallion.sql. Manipulacja prowadzi do ujawnienia informacji o plikach i katalogach. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty.

Frappe przed wersją 14.99.2 i 15.x przed 15.86.0 zawiera podatność na wstrzykiwanie LDAP, ponieważ niektóre punkty końcowe nie sanityzują parametrów dostarczanych przez użytkownika przed użyciem ich w zapytaniach LDAP. Atakujący mogą dostarczyć spreparowaną składnię filtra LDAP przez te parametry, aby zmienić wynikowe zapytania do katalogu.

Frappe przed wersją 14.99.10 i 15.x przed 15.91.1 zawiera podatność na trwały cross-site scripting (XSS) na stronie leaderboard, ponieważ nazwy użytkowników są renderowane bez odpowiedniej neutralizacji. Uwierzytelnieni atakujący mogą ustawić spreparowaną nazwę użytkownika, która wykonuje dowolny JavaScript w przeglądarkach innych użytkowników przeglądających leaderboard.

Frappe przed wersją 14.58.0 i 15.x przed 15.4.0 zawiera podatność na cross-site scripting (XSS) w widoku wydruku, ponieważ parametry printview nie są escapowane przed renderowaniem. Zdalni atakujący mogą spreparować złośliwy URL printview, który po odwiedzeniu przez ofiarę wstrzykuje HTML i wykonuje skrypt w sesji przeglądarki ofiary.

Frappe przed wersją 13.46.3 i 14.x przed 14.21.1 zawiera podatność na nieprawidłową kontrolę dostępu w uprawnieniach Email Template, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na tworzenie i edycję dowolnego szablonu e-maila. Atakujący z kontami o niskich uprawnieniach, w tym samorejestrujący się użytkownicy, gdy rejestracja jest włączona, mogą modyfikować szablony e-maili używane przez aplikację.

Framework Frappe przed wersją 13.32.0 używa słabego uwierzytelniania dla dostępu do widoku wydruku, ponieważ klucz widoku wydruku można wyprowadzić z danych udostępnianych przez inne dozwolone punkty API. Atakujący mogą wygenerować prawidłowy klucz, aby przeglądać dokumenty przez widok wydruku bez odpowiednich uprawnień.

Frappe przed wersją 13.22.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym użytkownikom na zmianę nazw dokumentów poprzez wykorzystanie brakującego sprawdzenia uprawnień. Atakujący mogą wywołać funkcję zmiany nazwy dokumentów, do których nie mają uprawnień do modyfikacji, zmieniając rekordy bez odpowiedniej autoryzacji.

Frappe przed wersją 13.46.1 oraz wersje 14.x przed 14.20.0 zawierają podatność cross-site scripting, ponieważ funkcja html2text słabo sanityzuje dane wejściowe użytkownika. Uwierzytelnieni atakujący mogą dostarczyć spreparowany HTML, który jest niewystarczająco sanityzowany przez html2text, co umożliwia wykonanie skryptów w przeglądarkach użytkowników przeglądających wyrenderowaną treść.

Frappe przed wersją 13.52.0 oraz wersje 14.x przed 14.31.0 zawierają podatność wstrzykiwania HTML spowodowaną słabym escapowaniem treści dostarczanej przez użytkownika renderowanej na stronach. Atakujący mogą przesłać spreparowany HTML, który omija niewystarczające escapowanie i jest renderowany w przeglądarkach użytkowników, co umożliwia cross-site scripting.

Frappe w wersjach 14.x przed 14.45.0 zawiera podatność ujawniania informacji, która pozwala użytkownikom z dostępem do dzienników błędów na przeglądanie sekretów przechowywanych w zmiennych lokalnych przechwyconych w tracebackach. Atakujący, którzy mogą czytać dzienniki błędów, mogą wyodrębnić jawne sekrety, takie jak poświadczenia lub klucze, ujawnione w zmiennych lokalnych tracebacka.