Katalog podatności CVE

W Plane przed wersją 1.4.0 endpoint GET /api/workspaces/{slug}/entity-search/?query_type=user_mention zwraca nazwy wyświetlane, UUID i adresy URL awatarów członków workspace każdemu uwierzytelnionemu użytkownikowi znającemu slug workspace, nawet jeśli nie jest członkiem. Endpoint ujawnia również wiersze ProjectMember w tej samej sytuacji, ponieważ SearchEndpoint dziedziczy BaseAPIView tylko z permission_classes = [IsAuthenticated] i nie sprawdza członkostwa w workspace.

W Plane przed wersją 1.4.0 dwie rodziny endpointów nie weryfikują, czy zagnieżdżone identyfikatory zasobów należą do workspace i projektu wskazanych w URL. Uwierzytelniony użytkownik może odczytywać lub modyfikować szacunki z innego workspace przez PATCH /api/workspaces/{slug}/projects/{project_id}/estimates/{estimate_id}/ oraz wstrzykiwać komentarze do zgłoszenia z innego workspace przez POST /api/workspaces/{slug}/projects/{project_id}/issues/{issue_id}/comments/. ProjectEntityPermission sprawdza członkostwo w workspace i projekcie z URL, ale estimate_id i issue_id są pobierane po kluczu głównym bez potwierdzenia tego samego zakresu.

Rozszerzenie Joomla TF Content w wersjach 2.9.0 - 2.9.4 udostępnia zadanie `records.custom_action` bez uwierzytelnienia, kontroli ACL, CSRF, wyzwalacza zadań, powiązania z treścią lub tokena cron. Gość może podać numeryczny ID dowolnego opublikowanego zadania TF Content i wymusić natychmiastowe wykonanie skonfigurowanego executora.

Biblioteka adm-zip przed wersją 0.6.1 stosuje uniksowe bity uprawnień z wpisu ZIP bezpośrednio do rozpakowanego pliku przez fs.chmodSync(), gdy keepOriginalPermission=true jest przekazane do extractAllTo()/extractEntryTo() — i nigdy nie filtruje bitów setuid/setgid/sticky. Złośliwy ZIP może utworzyć plik wykonywalny z mode 04755, co przy rozpakowywaniu jako root prowadzi do wykonania kodu atakującego z uprawnieniami roota.

ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na Directory Traversal. Endpoint uploadu plików POST /admin/Index/upload w ApiAdmin przyjmuje rozszerzenie przesłanego pliku bez żadnej walidacji (brak białej listy, czarnej listy ani sprawdzania zawartości), a funkcja move_uploaded_file() umieszcza plik w katalogu public/upload/Ymd/ dostępnym przez WWW. Każdy zalogowany administrator może przesłać plik .php i uzyskać do niego bezpośredni dostęp przez HTTP, osiągając zdalne wykonanie kodu na serwerze.

W Plane przed wersją 1.4.0 oprogramowanie pośredniczące aPITokenLogMiddleware loguje klucze API w postaci jawnej. Umożliwia to osobie z niskimi uprawnieniami kradzież kluczy API użytkowników i dalszą eskalację uprawnień.

Pakiety mppx-condition-gate i mppx-token-gate przed wersjami odpowiednio 3.0.0 i 1.0.4 odczytują adres portfela z dostarczonego przez klienta credential.source, sprawdzają czy ten publiczny adres spełnia skonfigurowane warunki on-chain i zwracają potwierdzenie darmowego dostępu bez wywołania weryfikatora płatności lub udowodnienia kontroli nad portfelem. Nieuwierzytelniony atakujący może podać dowolny kwalifikujący się portfel i uzyskać treści wymagające płatności, a przyznane uprawnienia mogą być ponownie użyte przez czas życia pamięci podręcznej.

Kunstmaan CMS przed wersją 7.3.2 wykonuje sprawdzenie blacklisted_extensions z rozróżnianiem wielkości liter w FileHandler::getFilePath, a następnie zapisuje rozszerzenie małymi literami. Uwierzytelniony użytkownik backendu z dostępem do mediów może przesłać plik wykonywalny z mieszaną wielkością liter, np. PHP, który omija sprawdzenie i jest zapisywany w katalogu mediów dostępnym z sieci z wykonywalnym rozszerzeniem małymi literami. Domyślna czarna lista pomija również kilka typów rozszerzeń wykonywalnych przez serwer.

W rozszerzeniu Joomla Phoca Cart w wersjach 5.0.0 - 6.1.8 endpoint pobierania plików zamówień nie weryfikuje tokenów pobierania. Parametry d (download token) i o (order token) są sprawdzane tylko pod kątem niepustości — nigdy nie są porównywane z zapisanymi wartościami download_token / order_token. W rezultacie każdy zdalny użytkownik, w tym gość bez konta, może pobrać cyfrowe towary dowolnego klienta, enumerując kolejne wartości id i podając dowolne niepuste tokeny.

WookTeam w wersji 1.6.6 i wcześniejszych jest podatny na Directory Traversal. Endpoint eksportu zadań projektu /api/project/task/export pobiera dowolny plik z serwera, gdy parametr data jest dostarczony z spreparowanym ładunkiem JSON. Wartość file wewnątrz JSON jest konkatenowana bezpośrednio do storage_path($file) bez normalizacji ścieżki ani sprawdzania granic katalogu, więc directory traversal (../) wychodzi poza katalog storage/ i funkcja response()->download() przesyła dowolny plik czytelny przez proces serwera WWW.

Unimall v4 zawiera podatność na Directory Traversal w kontrolerze FileUploadController.local(). Pozwala to atakującemu na wykonanie dowolnego kodu.

W pakiecie npm Progress @progress/sitefinity-nextjs-sdk w wersjach 15.1.8326 do 15.4.8637 występuje podatność Server-Side Request Forgery (CWE-918). Może ona pozwolić zdalnemu atakującemu na wykonywanie żądań po stronie serwera do hosta kontrolowanego przez atakującego, potencjalnie ujawniając poufne informacje.

W programie Progress Telerik Fiddler Classic dla systemu Windows przed wersją 6.0.20262.10021 sprawdzanie integralności zewnętrznych narzędzi pomocniczych jest niewystarczające. Aplikacja weryfikuje tylko podpis Authenticode i nazwę wydawcy, zamiast sprawdzać, czy plik jest właściwym plikiem wykonywalnym. Lokalny atakujący z niskimi uprawnieniami może podmienić plik pomocniczy na inny podpisany binarny plik z listy dozwolonych wydawców, co spowoduje jego wykonanie, w tym z uprawnieniami administratora.

LibreOffice Calc może łączyć zakres komórek z zewnętrznym źródłem danych, a to połączenie jest zapisywane w dokumencie. Dokument może wskazywać sterownik bazy danych Java do załadowania z zdalnej lokalizacji, co przy otwarciu dokumentu może uruchomić kod Java z tej lokalizacji. W naprawionych wersjach wpis w ścieżce klas Java musi być URL-em pliku.

Wykryto podatność w Casdoor do wersji 3.161.1. Dotyczy funkcji ApiFilter w pliku routers/authz_filter.go komponentu API Endpoint. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty. Producent został poinformowany, ale nie odpowiedział.

Wykryto podatność w systemie feelcrm-os 1.0.0 (projekt feelec-yishu). Dotyczy ona nieznanej części pliku App/Feelcrm/Index/Controller/GoogleController.class.php w komponencie getCurlData Endpoint. Manipulacja argumentem url może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie Zephyr RTOS znaleziono podatność w weryfikatorze wywołań systemowych dla funkcji i3c_do_ccc(), która nie sprawdza wskaźników danych poszczególnych celów w strukturze i3c_ccc_payload. Ponadto weryfikacja działa na żywej strukturze, co pozwala innemu wątkowi na zmianę pól między sprawdzeniem a użyciem. Umożliwia to nieuprzywilejowanemu wątkowi zapis do dowolnego adresu jądra (przez odczyt CCC) lub ujawnienie pamięci jądra (przez zapis CCC), co prowadzi do eskalacji uprawnień.

Sterownik NXP GAU ADC (adc_mcux_gau_adc.c) błędnie weryfikuje rozmiar bufora podanego przez aplikację: porównuje liczbę bajtów z liczbą próbek (kanałów), a następnie używa tej wartości jako liczby 16-bitowych slotów. W efekcie bufor uznany za wystarczający może zostać zapisany do dwukrotności swojego rozmiaru, co prowadzi do zapisu poza granicami dla każdej próbki poza środkiem bufora.

W systemie itsourcecode Online Admission System Project 1.0 wykryto podatność SQL Injection w pliku /admin/login1.php, polegającą na niewłaściwym przetwarzaniu argumentu User. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

W produkcie DigitalCanion SA wykryto podatność w funkcji Configuration → Services → Music on Hold portalu webowego na porcie TCP 443, która nieprawidłowo waliduje typ przesyłanych plików. Uwierzytelniony atakujący może przesłać złośliwy plik .so zamiast pliku WAV, co prowadzi do zdalnego wykonania kodu w kontekście procesu aplikacji.