Katalog podatności CVE

W metodzie shouldDisableUninstallButton pliku ApplicationActionButtonsPreferenceController.java występuje możliwość obejścia uprawnień z powodu błędu logicznego w kodzie. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.

W metodzie checkCallerIsCertInstallerOrSelfInProfile pliku CredentialStorageActivity.java występuje możliwość obejścia uprawnień z powodu niewłaściwej walidacji danych wejściowych. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.

W wielu miejscach występuje możliwość obejścia uprawnień z powodu błędu logicznego w kodzie. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 6.34.0 do 6.67.0 karty osadzania w edytorze Ghost mogły omijać zabezpieczenia przed przechowywanym cross-site scripting. Każdy użytkownik personelu, w tym Contributor, mógł zapisać skrypty w treści posta, które uruchamiały się, gdy inny użytkownik personelu otworzył post w edytorze, potencjalnie kompromitując sesję administratora tego użytkownika.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 6.56.0 do 6.67.0 biblioteka przetwarzania obrazów dołączona do Ghost zawierała podatność w obsłudze plików SVG. Każdy pracownik z uprawnieniami staff, w tym Contributor, mógł utworzyć kartę zakładki dla strony kontrolowanej przez atakującego, co umożliwiało wykonanie dowolnych poleceń na serwerze Ghost. Problem został naprawiony w wersji 6.67.0.

Plane to narzędzie do zarządzania projektami o otwartym kodzie źródłowym. Przed wersją 1.4.0 endpoint ProjectJoinEndpoint w GET /api/workspaces/{slug}/projects/{project_id}/join/{pk}/ używa permission_classes = [AllowAny] i zwraca pełny rekord ProjectMemberInvite, w tym adres e-mail, token i rolę, nieuwierzytelnionym wywołującym. Odpowiadający endpoint POST sprawdza tylko, czy przesłany e-mail zgadza się z project_invite.email i nie weryfikuje tokena zaproszenia. Atakujący, który zna UUID zaproszenia, może odkryć zaproszony e-mail, zarejestrować konto z tym adresem i zaakceptować zaproszenie bez otrzymania oryginalnego zaproszenia. Problem został naprawiony w wersji 1.4.0.

Plane to narzędzie do zarządzania projektami o otwartym kodzie źródłowym. Przed wersją 1.3.0 metoda ProjectMemberViewSet.partial_update pozwala każdemu członkowi projektu, w tym użytkownikowi z najniższą rolą GUEST, na modyfikację roli innego członka projektu. Kontrola autoryzacji zapobiega przypisaniu roli wyższej niż rola żądającego, ale nie zapobiega przypisaniu roli niższej lub równej, co pozwala Gościowi zdegradować Administratorów i Członków oraz pozbawić ich kontroli nad projektem. Podatność została naprawiona w wersji 1.3.0.

W systemie girishsaraf Online-Appointment-Booking-System do wersji f427b4757128ca253d33d0cc4e87bbb9c999a4d5 odkryto lukę bezpieczeństwa. Dotyczy ona funkcji mysqli_query w pliku cover.php w komponencie Patient Login Handler. Manipulacja argumentem uname/psw prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Produkt używa podejścia rolling releases, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.

W systemie onetwothreeneth HospitalManagementSystem do wersji 9ef91ed6007314b6473110ed699dff76d158f61d zidentyfikowano podatność. Dotyczy ona funkcji get w pliku print.php. Manipulacja argumentem transaction_id prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Produkt używa rolling release, więc szczegóły wersji nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.

W Apache Struts występuje podatność typu race condition związana z niewłaściwą synchronizacją współdzielonego zasobu. Gdy zlokalizowana wiadomość formatuje argument daty lub czasu, formater używany przez aplikację nie jest izolowany między równoczesnymi żądaniami, co może prowadzić do wycieku danych między użytkownikami lub błędów serwera.

Podatność w Apache Struts typu asymetryczne zużycie zasobów (amplifikacja). Gdy parametr żądania jest wiązany z właściwością BigDecimal i renderowany przez bibliotekę tagów Struts, framework może wygenerować odpowiedź znacznie większą niż żądanie. Umożliwia to nieuwierzytelnionemu atakującemu zdalnemu wyczerpanie CPU serwera i przepustowości sieci przy użyciu niewielkiego ruchu.

Podatność deserializacji niezaufanych danych w wtyczce Product Feed PRO for WooCommerce (woo-product-feed-pro) firmy Rymera Web Co umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 13.5.7.

Podatność polegająca na wstawieniu wrażliwych informacji do wysyłanych danych w wtyczce Five Star Restaurant Reservations (restaurant-reservations) firmy Etoile Web Design Incorporated umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 2.7.24.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.

Złośliwy obraz może reklamować DiffID z innego obrazu, zawierając jednocześnie inną zawartość warstw. W dotkniętych wersjach BuildKit mógł używać reklamowanych DiffID do wyprowadzania tożsamości pamięci podręcznej i snapshotów bez weryfikacji, czy odpowiadają one rzeczywistej zawartości warstw. Jeśli demon BuildKit ze wspólną lub trwałą pamięcią podręczną najpierw przetworzy taki złośliwy obraz, późniejsza kompilacja z użyciem obrazu ofiary może zamontować zawartość warstw kontrolowanych przez atakującego jako obraz bazowy. Może to pozwolić na uruchomienie kodu ze złośliwego obrazu w kompilacji ofiary, na przykład przez zastąpienie często wykonywanej ścieżki, takiej jak /bin/sh. Kod kontrolowany przez atakującego może odczytać sekrety budowania zamontowane w kompilacji, uzyskać dostęp do innych zasobów budowania, zmienić artefakty wyjściowe lub zawiesić kompilację. Problem dotyczy zarówno zwykłych snapshotterów, jak i snapshotterów z leniwym pobieraniem, takich jak stargz.

Jeśli demon BuildKit zostanie uruchomiony z opcją --cdi-disabled, może to doprowadzić do paniki demona, gdy kompilacje próbują użyć urządzeń CDI. Może się to zdarzyć celowo lub przypadkowo.

W Plane przed wersją 1.4.0 endpoint PATCH dla załączników zgłoszeń V2 przyjmuje issue_id w adresie URL, ale pomija go w zapytaniu do bazy danych. Członek projektu może podać własny issue_id w URL, a mimo to zmodyfikować załącznik innego użytkownika, dopasowując go po UUID (pk). Gdy załącznik jest w stanie oczekującym, procedura PATCH ustawia created_by na atakującego i przenosi własność załącznika.

W Plane przed wersją 1.4.0 mutacja GraphQL joinProject pozwala dowolnemu członkowi przestrzeni roboczej dodać się do dowolnego projektu w tej przestrzeni, w tym do projektów oznaczonych jako sieć=0 (tajne/prywatne), do których nie został zaproszony, i przyznaje mu pełną rolę Member (odczyt i zapis). Resolver sprawdza tylko członkostwo i rolę na poziomie przestrzeni roboczej, nigdy nie weryfikuje widoczności (network) docelowego projektu. Prowadzi to do zniesienia izolacji projektów w ramach przestrzeni roboczej.

W Plane przed wersją 1.4.0 endpointy WorkspaceFileAssetEndpoint.get i WorkspaceAssetDownloadEndpoint.get rozwiązują rekordy FileAsset w przestrzeni roboczej bez sprawdzania członkostwa w projekcie zasobu, co pozwala członkowi przestrzeni pobierać zasoby z prywatnych projektów, jeśli zna UUID zasobu. EntityAssetEndpoint.get to osobny publiczny endpoint z dostępem AllowAny, który ogranicza wyszukiwanie tylko do przestrzeni roboczej kotwicy, a nie do jej opublikowanej encji lub projektu. Nieuwierzytelniony wywołujący znający prawidłową kotwicę i UUID zasobu może pobrać zasoby opisów zgłoszeń lub komentarzy należące do nieopublikowanych lub prywatnych projektów w tej przestrzeni.

W Plane przed wersją 1.4.0 uwierzytelniony członek przestrzeni roboczej o niskich uprawnieniach, w tym Gość, może przesłać plik image/svg+xml jako załącznik ogólny lub do zgłoszenia. Plik zachowuje kontrolowany przez atakującego nagłówek Content-Type, a endpoint pobierania zasobów tworzy presigned URL z Content-Disposition: inline. W domyślnym wdrożeniu self-hosted MinIO adres URL zasobu jest serwowany z tej samej domeny co aplikacja Plane, co pozwala na wykonanie osadzonego JavaScriptu SVG w kontekście bezpieczeństwa aplikacji. Ofiara, w tym administrator przestrzeni roboczej, otwierając link, może mieć przejętą sesję poprzez stored XSS, co prowadzi do przejęcia konta.