Katalog podatności CVE

YesWiki od wersji 4.6.2 przed 4.7.0 nie posiada ochrony przed powtórzeniem w HttpSignatureService::verifySignature(), która nigdy nie waliduje nagłówka Date ani nie śledzi widzianych podpisów. Atakujący, którzy przechwycą podpisane żądanie do punktu końcowego /api/forms/{formId}/actor/inbox, mogą je później powtórzyć, aby ponownie wykonać akcje Delete, Update, Follow lub Undo.

YesWiki przed wersją 4.7.0 zawiera podatność typu stored cross-site scripting w pliku handlers/page/referrers_sites.php, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez spreparowane nagłówki Referer. Atakujący mogą wysłać nazwę hosta Referer zawierającą metaznaki HTML, które są renderowane bez escapowania, wykonując JavaScript dla każdego odwiedzającego stronę referrer-sites w celu wykonania uwierzytelnionych akcji w tej samej domenie.

YesWiki przed wersją 4.7.0 zawiera podatność typu reflected cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie JavaScript poprzez dostarczanie parametrów zapytania pasujących do brakujących nazw pól Bazar. Atakujący mogą tworzyć linki, w których BazarField::getValue() używa nieoczyszczonych wartości $_REQUEST renderowanych przez szablony Twig |raw, wykonując uwierzytelnione akcje w tej samej domenie w sesjach ofiar.

YesWiki przed wersją 4.7.0 zawiera podatność typu path traversal w BazarListeAction, która pozwala nieuwierzytelnionym atakującym na wybór dowolnych szablonów w przestrzeni nazw Twig @bazar poprzez parametr GET template. Atakujący mogą dołączać spreparowane wartości szablonów do stron zawierających akcję bazarliste, aby wymusić nieoczekiwane układy, powodując defacement strony dla odwiedzających podążających za spreparowanym linkiem.

YesWiki przed wersją 4.7.0 zawiera obejście read-ACL w AclService::updateRequestWithACL, które interpoluje nazwy użytkowników do wzorców SQL LIKE bez escapowania znaków wieloznacznych _ i %. Samodzielnie zarejestrowani atakujący mogą używać nazw użytkowników takich jak ___ lub %%% , które nadmiernie dopasowują tokeny ACL, odczytując strony i wpisy Bazar zastrzeżone dla innych użytkowników lub grup poprzez publiczne API listy Bazar.

YesWiki od wersji 4.6.0 przed 4.7.0 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na przeglądanie złożonych zapytań SQL poprzez dodanie parametru showreq. Atakujący mogą dołączyć showreq do publicznych żądań API listy Bazar, aby uzyskać nazwy tabel, ścieżki przechowywania JSON, logikę filtrów ACL i sortowanie, co pomaga w ukierunkowanym wstrzykiwaniu SQL.

OpenPanel w wersji przed 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z uprawnieniami tylko do odczytu uzyskać jawne sekrety integracji, ponieważ zapytanie notification.rules pomija redakcję (redactIntegration). Atakujący mogą wywołać zapytanie tRPC notification.rules, aby pobrać tokeny botów Slack, adresy URL webhooków i nagłówki autoryzacji do wykorzystania przeciwko systemom zewnętrznym.

OpenPanel w wersji przed 3.0.0 zawiera nieuwierzytelnioną podatność na wstrzyknięcie SQL w ClickHouse, która pozwala zdalnym atakującym wstrzyknąć SQL poprzez parametr projectId w WebSocket /live/visitors/:projectId, który nie ma sprawdzania sesji ani dostępu do projektu. Atakujący mogą użyć UNION lub oracle'ów typu boolean count do odczytu zdarzeń i profili innych najemców, a członkowie projektu mogą podobnie wstrzykiwać poprzez wartości timeframe w cohort.preview.

OpenPanel przed wersją 3.0.0 zawiera podatność polegającą na braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do panelu Bull Board serwowanego na porcie HTTP workera. Atakujący mogą odpytywać /api/queues i wywoływać mutujące API Bull Board, aby dodawać, ponawiać lub czyścić zadania oraz odczytywać dane kolejek, metryki i stan magazynu danych.

OpenPanel przed wersją 3.0.0 zawiera podatność na nieprawidłowe escapowanie w sankey.service.ts, która pozwala uwierzytelnionym członkom projektu na łamanie literałów tekstowych ClickHouse poprzez podanie backslashy w nazwach zdarzeń. Atakujący z dostępem do odczytu mogą wysyłać spreparowane wartości events[].name do procedury chart.sankey, powodując błędy parsowania ClickHouse, które wyłączają endpoint wykresu Sankey projektu.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która zapisuje adresy URL połączeń z bazą danych i dane szablonów e-mail do logów standardowego wyjścia. Użytkownicy z dostępem do logów mogą uzyskać poświadczenia do bazy danych z logów startowych migracji oraz tokeny resetowania hasła rejestrowane, gdy SMTP_HOST i RESEND_API_KEY nie są ustawione.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w ConversionService.getConversion, która pozwala członkom z dostępem do odczytu projektu oraz posiadaczom linków udostępniających na wstrzyknięcie SQL ClickHouse poprzez nieescapowane nazwy zdarzeń i daty. Atakujący mogą wyłamać się z literałów tekstowych w nazwach serii lub wartościach startDate/endDate za pomocą OR 1=1, aby zneutralizować ograniczenie project_id i odczytać dane analityczne innych dzierżawców.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w profileColumnAccess w cohort.service.ts, która pozwala członkom z dostępem do odczytu projektu na wstrzyknięcie SQL poprzez podanie nieescapowanych nazw kolumn filtrów profilu. Atakujący mogą przesłać filtr cohort.preview, którego nazwa zawiera podzapytanie wstawione do klauzul argMax, cityHash64 lub porównania, aby odczytać dane ClickHouse innych dzierżawców.

OpenPanel w wersji przed 3.0.0 zawiera podatność na ucieczkę z piaskownicy w walidatorze js-runtime, która pozwala członkowi projektu obejść listę dozwolonych AST poprzez aliasowanie konstruktora Function. Atakujący z uprawnieniami zapisu może odczytać payload.constructor.constructor do zmiennej lokalnej i wywołać ją, aby uruchomić dowolny kod w procesie roboczym.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt adnotacji dowolnego projektu poprzez wywołanie publicznej procedury tRPC reference.getChartReferences. Atakujący mogą wysyłać żądania z odgadywalnymi identyfikatorami projektów opartymi na slugach, aby zrzucić tytuły, opisy i daty adnotacji między dzierżawcami, takie jak notatki o wydaniach i znaczniki wdrożeń.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w procedurze tRPC event.bots, która pozwala nieuwierzytelnionym atakującym na odczyt zdarzeń botów poprzez sprawdzenie jedynie istnienia wiersza shareOverview. Atakujący mogą wysyłać anonimowe żądania z projectId, aby uzyskać nazwy, typy i ścieżki zdarzeń botów dla prywatnych lub chronionych hasłem projektów, ujawniając wewnętrzne trasy.

OpenPanel w wersji przed 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom odczytać dane między dzierżawcami poprzez dostarczenie spreparowanego parametru property do profile.values. Atakujący mogą wstrzyknąć wyrażenie SELECT z własnymi klauzulami FROM/WHERE i zakomentować zakres project_id, aby wyeksfiltrować profile, zdarzenia i sesje innych projektów.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom na obejście ograniczeń dzierżawcy poprzez wstrzyknięcie nieescapowanych nazw filtrów profilu do podzapytania JOIN. Atakujący mogą podać spreparowaną nazwę filtra z komentarzem na końcu, aby obejść klauzulę WHERE project_id i odczytać zdarzenia ze wszystkich projektów.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w mutacji tRPC onboarding.project, która pozwala członkom organizacji niebędącym administratorami na tworzenie projektów i generowanie poświadczeń do wstrzykiwania danych typu write, omijając politykę tylko dla administratorów. Atakujący mogą wielokrotnie wywoływać endpoint z sesją członka, aby uzyskać sekrety w postaci jawnej, wstrzykiwać fałszywe zdarzenia analityczne, zatruwać metryki biznesowe i zużywać budżet organizacji.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z poziomem odczytu na uzyskanie hashy argon2id poświadczeń do wstrzykiwania danych poprzez zapytanie tRPC client.list. Atakujący mogą zażądać client.list z identyfikatorem projektu i otrzymać pełne wiersze Client, w tym kolumnę secret, co umożliwia offline weryfikację ujawnionych sekretów bez śladów audytu.