Katalog podatności CVE

Quarkus LangChain4j 1.9.0 do 1.14.1 zawiera podatność braku zwalniania pamięci w WebSocket /_chat/routes endpoint, która pozwala nieuwierzytelnionym zdalnym klientom na wyczerpanie pamięci serwera. Atakujący mogą wysyłać powtarzane ramki CONNECT używając jednego chatId, pozostawiając osierocone zakresy w activeScopes aż do wyjścia z JVM, co obniża dostępność.

Lightdash w wersjach do 2.556.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom organizacji usuwać osobiste tokeny dostępu innych użytkowników poprzez podanie ich UUID. Atakujący może wysłać żądanie DELETE do trasy personal-access-tokens z UUID tokenu ofiary, nawet między organizacjami, aby go unieważnić i przerwać integracje API.

CloudBeaver w wersjach do 25.3.5 zawiera podatność braku autoryzacji w mutacji GraphQL initConnection, która pozwala członkom projektu współdzielonego z uprawnieniami tylko do odczytu trwale zapisywać poświadczenia bez uprawnień do edycji źródła danych. Atakujący może ustawić flagi saveCredentials i sharedCredentials z wybranymi authProperties, aby inni użytkownicy łączyli się ze współdzielonym połączeniem pod tożsamością bazy danych atakującego.

Traccar w wersjach od 5.7 do 6.16.0 zawiera podatność cross-site request forgery, która pozwala atakującym zalogować ofiary do kont kontrolowanych przez atakującego, ponieważ callback OpenID Connect nigdy nie waliduje parametru state OAuth. Atakujący może nakłonić przeglądarkę ofiary do załadowania /api/session/openid/callback z własnym kodem autoryzacyjnym, powodując, że dane wprowadzone przez ofiarę, takie jak zarejestrowane urządzenia, trafiają do konta atakującego.

Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.

Miniflux w wersjach od 2.3.0 do 2.3.3 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom dotrzeć do adresów wewnętrznych poprzez ustawienie proxy_url kanału. Atakujący może wskazać proxy_url na loopback lub hosty wewnętrzne, omijając kontrole FETCHER_ALLOW_PRIVATE_NETWORKS, aby sondować wewnętrzne porty i wysyłać żądania w stylu proxy do usług wewnętrznych.

Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.

Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom dołączać do publicznych przestrzeni roboczych tylko na zaproszenie, ignorując ustawienie can_only_join_via_invite. Atakujący z rolą Raven User może wywołać metodę join_workspace, aby stać się trwałym członkiem, czytając i publikując w kanałach Public i Open.

Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji w starszych metodach w raven/api/raven_message.py, które pomijają sprawdzanie członkostwa w przestrzeni roboczej. Uwierzytelnieni nie-członkowie mogą wywołać get_messages_with_dates lub get_all_files_shared_in_channel z przewidywalnymi identyfikatorami kanałów, aby czytać historię kanałów Public oraz metadane plików kanałów Open/Public w różnych przestrzeniach roboczych.

Corteza do wersji 2024.9.10 zawiera błąd nieprawidłowej autoryzacji w endpointach załączników kompozycji, który pozwala nieuwierzytelnionym atakującym pobierać prywatne załączniki poprzez ustawienie segmentu kind w URL na page, icon lub namespace. Atakujący znający identyfikator prywatnego rekordu lub modułu może zażądać oryginalnej lub podglądowej trasy bez tokenu czy podpisu, omijając granice uprawnień namespace i rekordów.

Flyte w wersjach od 2.0.1 do 2.0.51 zawiera podatność polegającą na przechowywaniu sekretów w postaci jawnej, co pozwala użytkownikom z dostępem do odczytu Podów uzyskać sekrety poprzez odczyt zmiennych środowiskowych kontenera init. Wbudowany webhook menedżera sekretów zapisuje wartości sekretów zamontowanych jako pliki w formacie base64 do zmiennej środowiskowej SECRETS, umożliwiając podmiotom bez dostępu do magazynu sekretów ich zdekodowanie ze specyfikacji Pod.

EdgeEver do wersji 1.108.0 zawiera podatność braku autoryzacji w trasach szablonów notatek API Hono, która pozwala posiadaczom tokenów API o ograniczonym zakresie obejść ograniczenia zakresu tokenu, ponieważ handlery szablonów nigdy nie wywołują requireScopes. Atakujący z tokenem bez uprawnienia write:memos może zapisać szablon i wywołać POST /api/v1/templates/:id/use, aby tworzyć notatki oraz wyświetlać, modyfikować lub usuwać szablony w przestrzeni roboczej właściciela tokenu.

GLPI do wersji 12.0.0 zawiera podatność braku autoryzacji w pliku ajax/map.php, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wyszukiwać typy elementów, których nie mogą wyświetlać, poprzez pominięcie sprawdzenia canView(). Atakujący mogą przesyłać spreparowane kryteria wyszukiwania dla typów takich jak Contact, Supplier, Contract i Budget, aby uzyskać liczby dopasowań, tytuły i współrzędne w obrębie swoich encji.

Cheshire Cat AI core do wersji 2.0.23 zawiera podatność przechowywanego cross-site scripting w pluginie uploads, która pozwala uwierzytelnionym użytkownikom przesyłać pliki HTML przez POST /uploads bez ograniczeń typu. Atakujący mogą wysłać publiczny URL GET /uploads/{path} do zalogowanej ofiary, wykonując skrypt w origin aplikacji z ciasteczkiem access_token ofiary, w tym administratorów.

Sylius do wersji 2.3.0 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym czytać nieumoderowane i odrzucone recenzje produktów, ponieważ filtr AcceptedExtension nie jest stosowany do operacji na elemencie. Atakujący mogą enumerować sekwencyjne identyfikatory na GET /api/v2/shop/product-reviews/{id}, aby uzyskać tytuły recenzji, oceny, komentarze, znaczniki czasu i imiona autorów, omijając moderację sprzedawcy.

open-computer-use do commita 610bac8 zawiera podatność przechowywanego cross-site scripting w Logger.write_log_file w os_computer_use/logging.py, która zapisuje tekst transkryptu do log.html bez escapowania HTML. Atakujący kontrolujący zawartość sandboxa, taką jak strony internetowe lub pliki pojawiające się w wynikach run_command, mogą wstrzyknąć skrypt, który uruchamia się, gdy operatorzy otworzą log, eksfiltrując zawartość transkryptu.

Open Computer Use do wersji 1.0.0 na macOS zawiera podatność nieprawidłowego rozróżniania wielkości liter, która pozwala lokalnym wywołującym MCP obejść listę zablokowanych menedżerów haseł przy użyciu identyfikatorów pakietów o zmienionej wielkości liter. Atakujący, w tym wstrzyknięte monity modelu, mogą przekazać identyfikatory takie jak com.1Password.1Password do narzędzi get_app_state i action, aby odczytać drzewa dostępności, przechwycić zrzuty ekranu i sterować odblokowanymi interfejsami menedżera haseł.

phpIPAM do wersji 1.8.3 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wyświetlać zastrzeżone podsieci i adresy, ponieważ strony customer, location i NAT pomijają Subnets::check_permission. Atakujący mogą otworzyć customer objects.php, single-location.php lub nat_details.php, aby odczytać adresy IP, CIDR, nazwy hostów i adresy MAC z sekcji, do których nie mają dostępu.