Katalog podatności CVE

Podatność w bibliotece qs polega na tym, że przy opcji allowEmptyArrays: true klucz pustej tablicy jest zapisywany bez kodowania, mimo że domyślnie klucze są kodowane. Klucz zawierający znaki &, = lub # może wtedy wstrzyknąć dodatkowe parametry do serializowanego query stringa lub przedwcześnie go zakończyć. Problem dotyczy wersji od 6.12.0 do 6.12.5, od 6.13.0 do 6.13.3, od 6.14.0 do 6.14.2, od 6.15.0 do 6.15.3 oraz od 6.16.0 do 6.16.1.

Luka nieprawidłowego blokowania w Fortinet FortiOS 8.0.0 oraz FortiOS 7.6.4 do 7.6.6 może pozwolić nieuwierzytelnionemu atakującemu z dostępem sieciowym do urządzenia na wywołanie odmowy usługi interfejsu zarządzania HTTPS za pomocą spreparowanych żądań HTTP.

Odczyt poza granicami pamięci w obsłudze uwierzytelniania NTLM w klasie QAuthenticator w module Qt Network pozwala zdalnym atakującym uzyskać poufne informacje (zawartość pamięci sterty) lub wywołać odmowę usługi (awarię aplikacji) poprzez spreparowane wyzwanie NTLM wysłane przez złośliwy serwer lub proxy, gdy aplikacja korzystająca z QNetworkAccessManager lub QTcpSocket uwierzytelnia się za pomocą NTLM.

Wtyczka WordPress PayDunya WooCommerce Payment Gateway w wersjach do 1.1.6 włącznie nie weryfikuje autentyczności przychodzących powiadomień o płatnościach, a do momentu skonfigurowania bramki uwierzytelnia je wartością pochodzącą z pustego sekretu, którą każdy może obliczyć. Pozwala to nieuwierzytelnionym atakującym oznaczać dowolne zamówienia WooCommerce jako opłacone i zakończone.

Wtyczka WordPress TiendaCrypto para WooCommerce w wersjach do 1.2.1 włącznie nie weryfikuje poprawnie autentyczności webhooka płatności, sprawdzając podpis żądania względem klucza, który jest zawsze pusty. Pozwala to nieuwierzytelnionym atakującym sfałszować powiadomienia webhook i oznaczyć dowolne zamówienia WooCommerce jako opłacone na serwerach zachowujących wielkość liter nagłówków żądań.

Psono Server CE i EE w wersjach 4.0.33–7.2.3 porównywał ścieżkę żądania dla endpointu bulk-secret-read z zakodowaną ścieżką bez prefiksu. W konfiguracjach z URL_PREFIX porównanie zawodziło i żądanie POST było autoryzowane z uprawnieniem zapisu zamiast odczytu, co pozwalało uwierzytelnionemu atakującemu z kluczem API bez uprawnień odczytu na pobranie zaszyfrowanych sekretów i nonces.

Psono Server CE i EE w wersjach 0.1.0–7.2.3 akceptował hosta kontrolowanego przez użytkownika przy konfiguracji osobistego urządzenia Duo i przekazywał go do klienta Duo bez listy dozwolonych i jawnego limitu czasu. Uwierzytelniony atakujący mógł spowodować połączenie serwera z wybranymi hostami przez HTTPS na porcie 443 i rozróżnić tryby błędów, tworząc wyrocznię wewnętrznego DNS i osiągalności usług.

Psono Server CE i EE w wersjach 3.1.0–7.2.3 nie zużywał zapisanego wyzwania WebAuthn po weryfikacji asercji. Nieuwierzytelniony atakujący posiadający hasło użytkownika i jedną przechwyconą ważną asercję WebAuthn mógł ją odtworzyć z osobnymi tokenami logowania, omijając drugi czynnik WebAuthn.

Psono Server (CE i EE) w wersjach 1.0.0–7.2.3 nie wymuszał kierunku poświadczeń transferu plików w operacjach repozytorium plików. Uwierzytelniony atakujący z dostępem tylko do odczytu mógł przedstawić transfer pobierania do endpointu wysyłania, uzyskać podpisany URL wysyłania dla wybranego klucza obiektu i dołączyć fragment do pliku właściciela.

Psono Server w wersjach 5.3.5–7.2.3 używał klasy uprawnień, która nie wymuszała zakresu zapisu tokenu przy zgłaszaniu kodu urządzenia. Uwierzytelniony atakujący z sesją opartą na ograniczonym kluczu API mógł zgłosić kontrolowany przez siebie kod urządzenia i uzyskać pełną sesję odczytu i zapisu ważną do 365 dni.

Wtyczka Analytics Insights – Google Analytics Dashboard dla WordPressa do wersji 6.3.12 włącznie jest podatna na przechowywany XSS poprzez tytuł strony z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Payex Payment Gateway for WooCommerce do wersji 1.2.10 nie weryfikuje prawidłowo autentyczności przychodzących powiadomień o płatnościach, opierając się na sekrecie walidacyjnym, który domyślnie jest pusty. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie potwierdzenia płatności i oznaczenie dowolnego zamówienia jako opłacone.

Wtyczka Payment Integration Wompi dla WordPressa do wersji 4.0.1 nie weryfikuje autentyczności przychodzących powiadomień o płatnościach w domyślnej instalacji, ponieważ suma kontrolna callbacku jest oparta na sekrecie sprzedawcy, który jest pusty do momentu ręcznej konfiguracji. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie powiadomienia i oznaczenie dowolnego zamówienia jako opłacone.

Podatność niezaufanego odwołania do wskaźnika (untrusted pointer dereference) w firmware niektórych płyt głównych ASUS pozwala użytkownikowi z uprawnieniami na poziomie jądra podać dowolny adres pamięci poprzez polecenie I/O. Może to prowadzić do modyfikacji informacji systemowych lub awarii systemu.

W HR-Payroll-Management-System (Saruf-Ratul) w pliku chat.php występuje podatność cross-site scripting wynikająca z manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Online-Payroll-Management-System (MD-MAFUJUL-HASAN) w pliku chat.php występuje podatność cross-site scripting wynikająca z manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Zgłoszenie CVE zostało odrzucone — opiekunowie projektu uznali, że nie jest to podatność. Brak dalszych informacji technicznych w opisie.

Biblioteka ftpserverlib do wersji 0.32.4 zawiera podatność polegającą na przesyłaniu danych w postaci jawnej, ponieważ funkcja TransferOpen sprawdza jedynie flagę transferTLS ustawioną przez PROT, a nie to, czy przygotowane połączenie danych używa TLS. Gdy klient wyśle PROT P po PASV lub PORT, zawartość plików i listy katalogów są przesyłane nieszyfrowane, nawet przy wymuszonym szyfrowaniu.

Mistral Vibe w wersji przed 3.0.3 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez zdefiniowanie sterowników filtrów git w pliku .git/config niezaufanego repozytorium. Przy uruchomieniu z opcją --worktree polecenie git worktree add stosuje .gitattributes i uruchamia polecenia filter smudge, clean lub process przed sprawdzeniem zaufanego folderu, wykonując polecenia atakującego z uprawnieniami użytkownika.

DevilutionX w wersjach od 1.4.0 do 1.5.5 zawiera podatność przepełnienia bufora sterty w dołączonej bibliotece libmpq, w funkcji libmpq__archive_dup, podczas otwierania spreparowanych archiwów MPQ. Atakujący może dostarczyć archiwum MPQ, w którym liczba wpisów w tablicy bloków przekracza liczbę wpisów w tablicy skrótów, powodując przepełnienie sterty przez memcpy podczas uruchamiania i awarię gry.