Katalog podatności CVE

W systemie kishor-23 food-waste-management-system (konkretne commity) stwierdzono podatność w nieznanej funkcji pliku admin/donate.php. Manipulacja argumentem location prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt używa systemu ciągłego wydawania, więc wersje nie są podawane; projekt nie odpowiedział na zgłoszenie.

W systemie kishor-23 food-waste-management-system (konkretne commity) stwierdzono podatność w funkcji insert pliku fooddonateform.php komponentu Food Donation Form. Manipulacja argumentem image-choice prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt używa strategii ciągłego wydawania, więc wersje nie są podawane; projekt nie odpowiedział na zgłoszenie.

Mammoth.js w wersji 1.3.0 przed 1.12.3 zawiera podatność regular expression denial of service w tokenizerze mapy stylów w lib/styles/parser/tokeniser.js z powodu nakładających się alternatyw regex. Atakujący mogą dostarczyć spreparowany plik .docx z niezakończonym ciągiem znaków w cudzysłowie z powtarzającymi się ukośnikami odwrotnymi w mammoth/style-map, aby zablokować pętlę zdarzeń Node.js.

gopay przed wersją 1.5.119 wyłącza weryfikację certyfikatów TLS w defaultClient() w pkg/xhttp/client.go, co pozwala atakującym man-in-the-middle na podszywanie się pod API dostawcy płatności. Atakujący mogą przedstawić dowolny certyfikat, aby czytać dane uwierzytelniające sprzedawcy, podpisy i dane transakcji oraz modyfikować odpowiedzi dotyczące płatności, zwrotów i zapytań o zamówienia.

go-micro przed wersją 6.0.0 zawiera podatność nieprawidłowej weryfikacji certyfikatów, która pozwala atakującym sieciowym na podszywanie się pod usługi, ponieważ wspólny pomocnik TLS ustawia InsecureSkipVerify na true domyślnie. Atakujący man-in-the-middle mogą przedstawić dowolny certyfikat, aby przechwycić lub modyfikować ruch gRPC, HTTP, brokera RabbitMQ oraz rejestrów Consul lub etcd, w tym tokeny uwierzytelniające i dane logowania.

WWBN AVideo do wersji 29.2.0 zawiera podatność stored cross-site scripting, która pozwala użytkownikom z uprawnieniami do przesyłania plików na wstrzyknięcie skryptu poprzez ustawienie złośliwego adresu URL trailera wideo. Wartość jest renderowana bez escapowania w szablonach YouPHPFlix2 i playlistach kanałów, co pozwala atakującym na wyjście poza atrybuty onclick lub src iframe i wykonanie JavaScript w przeglądarkach ofiar.

WWBN AVideo 12.4 do 29.2.0 zawiera podatność stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom przesyłającym pliki na wstrzyknięcie HTML poprzez wysyłanie podwójnie zakodowanych encji w tytułach wideo. Ponieważ funkcja safeString() usuwa tagi przed dekodowaniem encji i jest uruchamiana dwukrotnie przez setTitle() i save(), atakujący mogą przechowywać znaczniki, które wykonują się na stronach trendów, galerii, osadzania i playlist.

ZITADEL 4.x przed 4.17.1 nie sprawdza stanu nieaktywności organizacji podczas uwierzytelniania Login V2, weryfikując tylko status indywidualnego użytkownika. Użytkownicy zdezaktywowanej organizacji, którzy posiadają ważne poświadczenia, istniejącą sesję lub token odświeżania, mogą nadal logować się, tworzyć sesje oraz uzyskiwać lub odświeżać tokeny.

ZITADEL 3.x przed 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanych interfejsach Login V1 i Login V2, które akceptuje rejestrację passkey lub innych uwierzytelniaczy w sesjach typu identify-only, przed weryfikacją jakiegokolwiek czynnika podstawowego. Nieuwierzytelnieni atakujący znający tylko login ofiary mogą zarejestrować uwierzytelniacz kontrolowany przez atakującego i zalogować się jako ten użytkownik, omijając istniejące hasła i MFA.

ZITADEL przed 4.17.1 zawiera podatność obejścia uwierzytelniania w Login V2, która pozwala nieuwierzytelnionym atakującym na przejęcie kont poprzez uzyskanie kodów OTP za pomocą typu dostarczania returnCode. Atakujący znający login ofiary z włączonymi OTP-Email i OTP-SMS mogą odczytać oba kody z odpowiedzi akcji serwera, aby uzyskać sesje uwierzytelnione MFA, w tym przejęcie administratora.

ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera brak uwierzytelniania w hostowanym interfejsie Login V1, którego procedury rejestracji i inicjalizacji drugiego czynnika działają na sesji identify-only przed weryfikacją jakiegokolwiek czynnika podstawowego. Atakujący znający tylko login ofiary mogą zarejestrować kontrolowane przez siebie czynniki TOTP, OTP-SMS, OTP-Email lub U2F, nadpisać zweryfikowany numer telefonu oraz enumerować użytkowników poprzez rozbieżne błędy.

ZITADEL 4.x przed 4.17.3 oraz 3.x do 3.4.15 chroni tokeny intencji IdP nieuwierzytelnionym, modyfikowalnym szyfrowaniem, co pozwala uwierzytelnionym użytkownikom manipulować własnym tokenem, aby został on zaakceptowany dla intencji logowania zewnętrznego innego użytkownika. Atakujący, który przewidzi identyfikator intencji ofiary w locie i wygra wyścig czasowy, może wywołać /v2/idp_intents lub /v2/sessions, aby ukraść tokeny IdP ofiary lub przejąć jej sesję.

W aplikacji RainyGao DocSys do wersji 2.02.85 wykryto podatność SQL injection w funkcji BaseController.createDBForMysql w pliku BaseController.java (komponent Database Management). Manipulacja argumentem url pozwala na wstrzyknięcie kodu SQL. Exploit jest publicznie dostępny, a atak można przeprowadzić zdalnie.

W mooSocial do wersji 3.2.4 wykryto lukę bezpieczeństwa polegającą na wstrzyknięciu SQL poprzez manipulację argumentem rating w pliku /stores/all-products. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.

W SciPhi-AI R2R do wersji 3.6.6 wykryto podatność SSRF w pliku py/shared/abstractions/llm.py (komponent Retrieval Completion API Endpoint). Manipulacja argumentem generation_config.api_base pozwala na wykonanie żądań po stronie serwera. Exploit jest publicznie dostępny, a atak można przeprowadzić zdalnie.

W SciPhi-AI R2R do wersji 3.6.6 wykryto podatność polegającą na użyciu zakodowanych na stałe poświadczeń w komponencie JWT Secret Handler. Manipulacja argumentami DEFAULT_BCRYPT_SECRET_KEY/DEFAULT_NACL_SECRET_KEY prowadzi do ujawnienia kluczy. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wtyczka Cost Calculator Builder do wersji 4.0.17 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych. Umożliwia to odzyskanie osadzonych danych wrażliwych.

Wtyczka WP Statistics do wersji 14.16.14 zawiera podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykonuje się w przeglądarce ofiary.

Wtyczka Gutenberg Blocks by Kadence Blocks do wersji 3.7.11.1 zawiera podatność na trwały atak XSS. Atakujący może zapisać złośliwy skrypt, który wykonuje się przy każdej wizycie na stronie.

Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykonuje się w przeglądarce ofiary.