Katalog podatności CVE

Wtyczka WordPress Simple Event Planner zawiera podatność deserializacji niezaufanych danych, która pozwala na wstrzyknięcie obiektów. Problem występuje w wersjach od nieznanej do 1.5.7.

Feehi CMS 2.1.1 zawiera podatność Server-Side Request Forgery (SSRF) w punkcie końcowym UEditor catchimage. Walidacja prywatnych adresów IP nie blokuje adresów loopback ani link-local, co pozwala atakującemu na skłonienie serwera do sondowania wewnętrznych usług HTTP poprzez różnice w odpowiedziach.

Feehi CMS 2.1.1 jest podatny na nieprawidłową kontrolę dostępu. Niskouprzywilejowany administrator backendu z uprawnieniem do aktualizacji administratora może zmienić hasło wbudowanego konta superadministratora. Serwer nie wymusza ochrony tego konta, a scenariusz aktualizacji nie wymaga podania starego hasła.

Ash przechowuje atrybuty typu :atom jako ciągi znaków i porównuje je jako ciągi. Gdy taki atrybut jest używany w filtrze, wartość porównania jest przekształcana przez Ash.Type.Atom. Ponieważ typ nie definiował wywołania zwrotnego coerce/2, przekształcenie spadało do domyślnego (cast_input/2), które wywołuje String.to_atom/1, gdy atrybut jest skonfigurowany z ograniczeniem unsafe_to_atom?: true. Filtrowanie takiego atrybutu za pomocą ciągów kontrolowanych przez atakującego powodowało internowanie nowego, trwałego atomu dla każdej odrębnej wartości. Atomy nigdy nie są usuwane przez garbage collector, a BEAM ogranicza tabelę atomów, więc aktor mogący dostarczać wartości filtrów dla publicznego, filtrowalnego atrybutu :atom zadeklarowanego z unsafe_to_atom?: true może wyczerpać tabelę atomów i spowodować awarię węzła (odmowa usługi). AshPaperTrail jest godnym uwagi przykładem: jego zasoby wersji domyślnie udostępniają publiczny, filtrowalny atrybut atomowy version_action_name z unsafe_to_atom?: true. Poprawka dodaje coerce/2 do Ash.Type.Atom, które nigdy nie internowuje atomów — wartość porównania pozostaje ciągiem, ponieważ typ jest przechowywany i porównywany jako ciąg. Ustawianie atrybutu z danych wejściowych akcji (cast_input/2, które nadal respektuje unsafe_to_atom?) pozostaje bez zmian. Problem dotyczy ash: od 3.5.1 przed 3.34.3.

Wtyczka WordPress Sunshine Photo Cart zawiera podatność deserializacji niezaufanych danych, która pozwala na wstrzyknięcie obiektów. Problem występuje w wersjach od nieznanej do 3.7.1.

Problem w Mercusys AC12 V2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez wbudowany na stałe 512-bitowy klucz prywatny RSA.

Problem w Mercusys AC12 V2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez przechowywanie informacji w postaci zwykłego tekstu.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 6.22.1 do 6.64.0 Ghost ograniczał typ zawartości używany do serwowania przesłanych plików, aby zapobiec ich wykonywaniu przez przeglądarki. W witrynach korzystających z domyślnego lokalnego adaptera przechowywania to ograniczenie nie było stosowane, więc pliki przesłane przez dowolnego członka personelu były serwowane z typem zawartości wynikającym z rozszerzenia pliku. Mogło to być wykorzystane do hostowania skryptów w domenie witryny, potencjalnie prowadząc do kompromitacji sesji administracyjnych innych członków personelu.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 6.10.3 do 6.64.0 podatność w sposobie ładowania plików tłumaczeń motywów pozwalała uwierzytelnionemu administratorowi na wykonanie dowolnego kodu na serwerze za pomocą spreparowanego motywu. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 4.39.0 do 6.64.0 użytkownicy personelu z uprawnieniem do przeglądania zaproszeń mogli poznać tajny token oczekujących zaproszeń, w tym zaproszeń dla ról o wyższych uprawnieniach. Mogło to pozwolić na podniesienie uprawnień poprzez przyjęcie oczekującego zaproszenia. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 5.94.0 do 6.64.0 podczas tworzenia karty zakładki Ghost mógł zapisywać pliki inne niż obrazy pobrane z zewnętrznej witryny jako ikony lub miniatury zakładek. Pozwalało to każdemu użytkownikowi personelu, w tym współtwórcom, na hostowanie dowolnego kodu HTML w domenie serwisu, co mogło skutkować przejęciem sesji administracyjnych innych użytkowników personelu. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 2.1.0 do 6.64.0 osadzenie adresu URL z witryny kontrolowanej przez atakującego mogło skutkować zapisaniem niezaufanych skryptów w treści posta. Skrypty te mogły być uruchamiane w edytorze Ghost, w opublikowanym serwisie oraz w e-mailach newslettera, co mogło prowadzić do przejęcia sesji administracyjnej użytkownika personelu. Problem naprawiono w wersji 6.64.0.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 4.22.0 do 6.65.0 miniatury mediów SVG oraz obrazy SVG przesłane z rozszerzeniem innym niż SVG były przechowywane bez sanityzacji. Pozwalało to każdemu użytkownikowi personelu, w tym współtwórcom, na hostowanie skryptów w domenie serwisu, co mogło skutkować przejęciem sesji administracyjnych innych użytkowników personelu. Problem naprawiono w wersji 6.65.0.

Wykryto podatność w Lybbn Django-Vue-Lyadmin do wersji 3.2.12. Dotyczy ona nieznanej funkcji w pliku backend/application/settings.py w komponencie JWT Signing. Manipulacja argumentem SECRET_KEY prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Zdalne wykorzystanie podatności jest możliwe, a exploit został publicznie ujawniony. Opiekun projektu wyjaśnia, że kwestia tego klucza jest opisana w dokumentacji i deweloperzy muszą ręcznie zmienić klucze przed wdrożeniem.

Podatność deserializacji niezaufanych danych w wtyczce WP Ultimate Exporter firmy Smackcoders Inc. pozwala na wstrzyknięcie obiektów. Problem dotyczy WP Ultimate Exporter w wersjach od n/a do 3.0.

Podatność niewłaściwej neutralizacji elementów specjalnych w poleceniu SQL (SQL Injection) we wtyczce WP BASE Booking firmy WP BASE pozwala na ślepą iniekcję SQL. Problem dotyczy WP BASE Booking w wersjach od n/a do 6.4.0.

Podatność deserializacji niezaufanych danych we wtyczce VK Google Job Posting Manager firmy Vektor Inc. pozwala na wstrzyknięcie obiektów. Problem dotyczy VK Google Job Posting Manager w wersjach od n/a do 1.3.1.

Podatność deserializacji niezaufanych danych we wtyczce WP Spell Check firmy WP Spell Check pozwala na wstrzyknięcie obiektów. Problem dotyczy WP Spell Check w wersjach od n/a do 12.1.

Wtyczka RepairBuddy dla WordPressa (wersje do 4.1226) zawiera podatność typu Missing Authorization, która pozwala na odczyt poufnych danych osadzonych w aplikacji. Brak odpowiedniej kontroli uprawnień umożliwia nieautoryzowanemu użytkownikowi dostęp do wrażliwych informacji.

Wtyczka Scratch & Win – Giveaways and Contests (wersje do 3.0.2) zawiera podatność Missing Authorization, która umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Brak właściwej autoryzacji pozwala na nieuprawniony dostęp do funkcji lub danych.