Katalog podatności CVE

openapi-python-client w wersjach przed 0.29.1 nie neutralizuje złośliwej zawartości dokumentów OpenAPI przed renderowaniem w kontekstach string, docstring i f-string w generowanym kodzie Pythona. Wygenerowany klient może zawierać kod sterowany przez atakującego, który wykonuje się przy imporcie, wpływając na integralność środowiska importującego.

SimpleChat w wersjach przed 0.261.029 zawiera podatność XSS w endpointcie POST /api/group_documents/upload. Atakujący z uprawnieniami Owner, Admin lub DocumentManager może zapisać złośliwy skrypt, który wykona się w kontekście SimpleChat, gdy inny członek grupy kliknie przycisk Share, umożliwiając dostęp do danych i działań w sesji ofiary. Problem naprawiono w wersji 0.261.029.

SimpleChat w wersjach 0.261.003 i 0.261.027 zawiera błąd w kolejności autoryzacji w endpointcie POST /api/user/plugins, który pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na pominięcie kontroli _reject_non_admin_mcp_stdio. Może to prowadzić do uruchomienia procesu systemowego wybranego przez atakującego w kontekście usługi aplikacji. Problem naprawiono w wersji 0.261.031.

Kiota w wersjach od 0.5.0 do 1.35.0 zawiera podatność w sanitizerach komentarzy dokumentacji dla Javy i PHP, które usuwają terminator komentarza blokowego zamiast go neutralizować. Pozwala to na umieszczenie tekstu sterowanego przez atakującego poza komentarzem, co może prowadzić do wykonania kodu podczas kompilacji i ładowania wygenerowanego kodu. Problem naprawiono w wersji 1.35.0.

Narzędzie run_shell w komponencie CommandLineExecutor w Microsoft UFO przed wersją 3.0.9 waliduje tylko pierwszy token parametru bash_command i zezwala na explorer.exe. W systemie Windows explorer.exe przekazuje kolejny argument ścieżki do ShellExecute, co pozwala na uruchomienie dowolnego pliku wykonywalnego lub skryptu jako użytkownik pulpitu, mimo że podproces używa shell=False.

HortusFox przed wersją 6.2 zawiera podatność na zdalne wykonanie kodu w metodzie ThemeModule::startImport(), gdzie przesłane archiwum ZIP jest rozpakowywane bezpośrednio do publicznego katalogu głównego serwera WWW przed jakąkolwiek walidacją nazw plików, rozszerzeń lub zawartości. Uwierzytelniony administrator może przesłać spreparowane archiwum motywu zawierające plik PHP i plik .htaccess, aby ponownie włączyć wykonywanie, a następnie zażądać go w katalogu motywów, co pozwala na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW.

Podatność typu wstrzyknięcie poleceń systemu operacyjnego (OS command injection) w produkcie SambaBox firmy Felisify Information Technologies Industry and Trade Inc. pozwala na wykonanie dowolnych poleceń systemowych. Problem dotyczy SambaBox w wersjach przed 5.4.1.

Mooncake Store master do wersji 0.3.13.post1 zawiera podatność braku autoryzacji, która pozwala nieuwierzytelnionym atakującym usunąć replikę dyskową dowolnego obiektu za pomocą EvictDiskReplica i BatchEvictDiskReplica. Atakujący mogący połączyć się z portem coro_rpc master mogą usuwać repliki DISK we wszystkich dzierżawach, usuwając obiekty, których jedyna pozostała replika znajduje się na dysku.

Mooncake Store master do wersji 0.3.13.post1 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym wymusić usunięcie dowolnego obiektu za pomocą Remove, RemoveByRegex, RemoveAll i BatchRemove na porcie coro_rpc. Atakujący mogą wysyłać sfałszowane żądania z ustawioną flagą force, aby ominąć kontrole dzierżawy, usuwać klucze pasujące do dowolnego wyrażenia regularnego lub wyczyścić cały magazyn, powodując utratę pamięci podręcznej i błędy żądań.

Podatność w Kusalkasilva Learning-Management-System do wersji ffeb873f8803f1e9664384ff75000c7da45466d2 w nieznanej funkcji pliku student_signup.php komponentu Student Registration Endpoint pozwala na wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

lrzsz przed wersją 0.13.0 zawiera podatność wstrzyknięcia poleceń systemu operacyjnego w trybie potokowym narzędzia odbiorczego lrz, która pozwala zdalnym nadawcom wykonać polecenia poprzez dostarczenie spreparowanych nazw plików. Gdy lrz działa pod nazwą z przyrostkiem, taką jak lrztar, funkcja procheader() w src/lrz.c przekazuje nieescapowaną nazwę pliku ZMODEM/YMODEM do popen(), więc metaznaki powłoki są wykonywane jako użytkownik odbierający.

lrzsz przed wersją 0.13.0 zawiera podatność path traversal w trybie ograniczonym narzędzia odbiorczego lrz, która pozwala złośliwym nadawcom ZMODEM zapisywać pliki poza bieżącym katalogiem przy użyciu ścieżek absolutnych. Ponieważ checkpath() w src/lrz.c odrzuca tylko sekwencje '../', chyba że zbudowano z --enable-pubdir, atakujący mogą wysyłać pliki o nazwach ze ścieżkami absolutnymi, aby nadpisać dowolny plik z prawem zapisu dla użytkownika odbierającego.

libmikmod przed wersją 3.3.14 zawiera przepełnienie liczb całkowitych w loaderze Oktalyzer OKT_doPBOD(), które pozwala atakującym wywołać przepełnienie bufora sterty poprzez spreparowane liczby ścieżek. Atakujący mogą dostarczyć moduł OKT, którego chunk SLEN zawija 16-bitową wartość numtrk, powodując zapisy PBOD poza przydzielonymi wskaźnikami ścieżek, co prowadzi do awarii lub wykonania kodu.

libmikmod przed wersją 3.3.14 zawiera podatność przepełnienia liczb całkowitych w DSM_Load() w load_dsm.c, która pozwala atakującym wywołać przepełnienie bufora sterty poprzez spreparowane liczby ścieżek. Atakujący mogą dostarczyć moduł DSM, którego iloczyn numchn i numpat zawija 16-bitową wartość, nadpisując pamięć sterty, co powoduje awarie lub potencjalne wykonanie kodu.

Microsoft UFO przed wersją 3.0.10 zawiera podatność w narzędziach type_text i launch_app, gdzie parametry tekst i nazwa pakietu są przekazywane do poleceń adb shell bez odpowiedniej walidacji. Atakujący z ważnym kluczem API Mobile MCP może wykonać dodatkowe polecenia na autoryzowanym urządzeniu jako użytkownik Android shell.

Smarty przed wersją 4.5.8 i 5.x przed 5.8.5 zawiera podatność na wstrzyknięcie kodu, gdzie nocache_hash nie jest przywracany podczas dziedziczenia szablonów extends:/multi-component, pozostając null. Atakujący może dostarczyć dane z fałszywym znacznikiem SmartyNocache, który jest kopiowany do pliku cache PHP, umożliwiając wykonanie dowolnego kodu PHP.

Kusalkasilva Learning-Management-System do wersji ffeb873f8803f1e9664384ff75000c7da45466d2 zawiera podatność SQL injection w funkcji mysql_query w pliku admin/login.php (komponent Administrator Login Endpoint). Manipulacja argumentami username/password umożliwia zdalny atak.

PLANKA 2.2.0 do 2.2.1 nie ogranicza liczby błędnych kodów TOTP wysyłanych do POST /api/access-tokens/verify-totp, co pozwala na brute force kodów dwuskładnikowych. Atakujący znający hasło użytkownika może wykorzystać dziesięciominutowy token do zgadywania kodów i uzyskać pełny token dostępu.

Kusalkasilva Learning-Management-System do wersji ffeb873f8803f1e9664384ff75000c7da45466d2 zawiera podatność SQL injection w funkcji mysql_error w pliku login.php (komponent Login Endpoint). Manipulacja argumentami username/password umożliwia zdalny atak.

Craft CMS 5.10.13.2 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w panelu sterowania (akcja app/render-components). Uwierzytelniony użytkownik z podstawowym dostępem do panelu może przesłać kontrolowane klasy komponentów i nadpisać właściwości, co prowadzi do wykonania dowolnego kodu Twig, a następnie poleceń systemowych.