Katalog podatności CVE

CordysCRM do wersji 1.9.3 zawiera podatność na obejście autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na pominięcie kontroli uprawnień poprzez ustawienie pola owner na własny identyfikator użytkownika. Atakujący mogą wysyłać żądania do punktów końcowych follow/record/add, aby dodawać rekordy uzupełniające i nadpisywać follow_time oraz follower dla dowolnego znanego klienta, szansy lub okazji.

CordysCRM do wersji 1.9.3 zawiera brak autoryzacji w punkcie końcowym POST /approval-resource/push, co pozwala uwierzytelnionym użytkownikom na przesyłanie dowolnych zasobów do zatwierdzenia bez sprawdzania własności. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości resourceId dla kontraktów, faktur, wycen lub zamówień, aby zmienić ich status zatwierdzenia i odczytać szczegóły zatwierdzenia.

1Panel-dev CordysCRM do wersji 1.9.3 nie sprawdza uprawnień PROCESS_SETTING na punkcie końcowym POST /approval-flow/webhook/test, co pozwala każdemu uwierzytelnionemu użytkownikowi na wyzwalanie żądań po stronie serwera do adresów URL dostarczonych przez atakującego. Atakujący mogą przekierować żądania GET z kontrolowanego hosta, aby ominąć SSRFValidator i badać wewnętrzne adresy poprzez wyniki sukcesu lub porażki.

1Panel-dev CordysCRM przed wersją 1.9.2 zawiera brak autoryzacji w obsłudze sortModule w ContractController dla POST /contract/sort, który nie ma żadnej adnotacji uprawnień. Uwierzytelnieni użytkownicy bez uprawnień do aktualizacji kontraktów mogą podać dragNodeId, stage i wartości pól, aby modyfikować dowolny kontrakt, w tym kontrakty w innych organizacjach.

1Panel-dev CordysCRM przed wersją 1.9.2 zawiera brak autoryzacji, który pozwala uwierzytelnionym użytkownikom na listowanie tytułów biznesowych poprzez wywołanie POST /field/source/business-title bez kontroli uprawnień. Użytkownicy bez uprawnień CONTRACT_BUSINESS_TITLE_READ mogą pobierać dane podmiotów fakturowania organizacji, ujawniając numery identyfikacji podatkowej, numery kont bankowych, banki otwierające, adresy rejestracyjne i numery telefonów.

CoreShop do wersji 1.5.5 zawiera podatność na obejście autoryzacji w OrderController, która pozwala uwierzytelnionym klientom na działanie na zamówieniach innych klientów poprzez podanie identyfikatorów kontrolowanych przez użytkownika. Atakujący mogą pominąć pole data w OrderConfirm lub podać inny reshipId do SendReship, aby potwierdzić odbiór zamówień innych osób i nadpisać szczegóły śledzenia zwrotów.

ConvertX do wersji 0.19.0 zawiera podatność na dowolny odczyt plików, która pozwala uwierzytelnionym użytkownikom na odczyt plików serwera, ponieważ src/converters/pandoc.ts wywołuje Pandoc bez flagi --sandbox. Atakujący mogą przesłać dokument reStructuredText z dyrektywą include wskazującą ścieżkę bezwzględną, przekonwertować go i pobrać wynik zawierający zawartość wskazanego pliku.

1Panel-dev CordysCRM od wersji 1.9.0 przed 1.9.2 zawiera brak autoryzacji w ośmiu punktach końcowych ModuleFieldController /field/source, które nie mają kontroli uprawnień. Uwierzytelnieni użytkownicy bez uprawnień modułu mogą przeglądać dane organizacji dotyczące leadów, kontaktów, wycen, kontraktów, planów płatności, rekordów płatności, zamówień i faktur należących do innych użytkowników.

mall4j do wersji 4.0 zawiera podatność na nieprawidłową autoryzację, która pozwala uwierzytelnionym klientom sklepu na usuwanie pozycji koszyka innych kupujących poprzez błąd pierwszeństwa operatora w instrukcji SQL cleanExpiryProdList. Atakujący mogą wysłać jedno żądanie DELETE do /p/shopCart/cleanExpiryProdList, aby usunąć wpisy koszyka wszystkich użytkowników dla produktów wycofanych z oferty, które nie wracają po ponownym wprowadzeniu produktów.

Podatność ujawnienia informacji w mall4j do wersji 4.0 pozwala uwierzytelnionym klientom na odczyt koszyków innych kupujących z powodu błędu pierwszeństwa operatorów w filtrze SQL getShopCartExpiryItems. Atakujący z dowolnym kontem sklepu może wysłać żądanie GET /p/shopCart/expiryProdList, aby pobrać wpisy koszyka z produktami niedostępnymi, w tym produkt, SKU, ilość, sklep i numery kart promotora.

Podatność braku autoryzacji w Wukong AICRM do wersji 20260610 pozwala uwierzytelnionym użytkownikom na zapisywanie wiadomości do sesji czatu AI innych użytkowników poprzez podanie dowolnego identyfikatora sesji w żądaniu POST /chat/send. Atakujący mogą dodawać wiadomości do rozmowy ofiary i otrzymywać strumieniowe odpowiedzi asystenta zbudowane z ostatnich 20 wiadomości ofiary, ujawniając treść rozmowy.

Podatność braku autoryzacji w Eladmin do wersji 2.7 w obsłudze uploadPicture w LocalStorageController pozwala użytkownikom z niskimi uprawnieniami na obejście uprawnienia storage:add. Atakujący mogą wysyłać żądania POST z plikami o nazwach obrazów do /api/localStorage/pictures, aby zapisywać pliki w lokalnej pamięci serwera i ujawniać bezwzględne ścieżki serwera.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi wysyłać powiadomienia szablonowe przez wywołanie POST /sys/api/sendTemplateAnnouncement. Atakujący z niskimi uprawnieniami może podać sfałszowanego nadawcę, odbiorców, tytuł i parametry szablonu, aby dostarczać wiadomości wyglądające jak pochodzące od administratora lub kont systemowych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze sendBusAnnouncement kontrolera SystemApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi wysyłać ogłoszenia bez wymaganych uprawnień. Atakujący z niskimi uprawnieniami może wysyłać spreparowane żądania POST do /sys/api/sendBusAnnouncement ze sfałszowanym nadawcą, odbiorcami, tytułem i treścią, aby dostarczać podszywające się wiadomości administracyjne lub systemowe w celach phishingowych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryUserRoles kontrolera SystemApiController, która pozwala uwierzytelnionym użytkownikom odczytywać kody ról dowolnego użytkownika. Atakujący z niskimi uprawnieniami może wysyłać żądania GET do /sys/api/queryUserRoles z dowolną nazwą użytkownika, aby wyliczać przypisania ról i identyfikować konta administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w GET /sys/api/getUserByName, która pozwala użytkownikom z niskimi uprawnieniami na odczyt zapisanej wartości hasła dowolnego użytkownika. Atakujący może odszyfrować odpowiedź chronioną AES-CBC przy użyciu klucza na stałe zapisanego w /sys/getEncryptedString, aby uzyskać szyfrogramy haseł administratorów do ataków słownikowych offline.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze downLoadFiles kontrolera SysAnnouncementController, która pozwala użytkownikom z niskimi uprawnieniami na pobieranie załączników ogłoszeń. Atakujący może podać znany identyfikator ogłoszenia, aby pobrać archiwum ZIP z załącznikami z nieopublikowanych ogłoszeń lub ogłoszeń adresowanych wyłącznie do innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editIzTop kontrolera SysAnnouncementController, która pozwala użytkownikom z niskimi uprawnieniami na zmianę statusu przypięcia ogłoszenia. Atakujący może wysyłać żądania POST lub PUT z dowolnym identyfikatorem ogłoszenia, aby przypinać lub odpinać komunikaty systemowe wyświetlane na górze dla wszystkich użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera OpenApiController, która pozwala użytkownikom z niskimi uprawnieniami na odczyt definicji OpenAPI bez uprawnień openapi. Atakujący może wysyłać żądania GET /openapi/queryById z identyfikatorem wpisu, aby uzyskać wewnętrzne adresy źródłowe, ścieżki wirtualne, białe listy adresów IP oraz szablony nagłówków i parametrów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich promptów AI. Atakujący z niskimi uprawnieniami może wywołać /airag/prompts/exportXls, aby pobrać prompty wszystkich użytkowników, w tym treść promptów, identyfikatory modeli i parametry, w formie skoroszytu Excel.