Katalog podatności CVE

W widoku szczegółów kontaktu Mautic 7 występuje podatność typu stored XSS — wartości pól niestandardowych typu HTML są renderowane bez sanityzacji wyjścia. Użytkownik lub integracja mogąca zapisać wartość w takim polu może umieścić w nim payload skryptu, który wykona się w sesji przeglądarki innego użytkownika, w tym administratora, otwierającego stronę kontaktu.

W endpointcie API danych widgetów dashboardu Mautic (/api/data/{type}) występuje podatność na wstrzyknięcie SQL — parametry filtrów wykresów nie są prawidłowo walidowane przed użyciem w zapytaniach do bazy. Uwierzytelniony użytkownik z dostępem do API może za pomocą technik blind SQL injection odczytać dowolne dane z bazy Mautic, w tym dane kontaktów i kont użytkowników z hashami haseł.

W endpointcie AJAX wyszukiwania kontaktów interfejsu administracyjnego Mautic (/s/ajax) występuje podatność na wstrzyknięcie SQL — parametr wybierający pole kontaktu do wyszukiwania nie jest prawidłowo walidowany przed użyciem w zapytaniu do bazy. Każdy uwierzytelniony użytkownik Mautic może to wykorzystać niezależnie od roli i uprawnień, odczytując dowolne dane dostępne dla użytkownika bazy Mautic.

W obsłudze filtrów segmentów i właściwości pól niestandardowych Mautic występuje podatność na niebezpieczną deserializację (PHP object injection) — kilka ścieżek kodu odczytuje te wartości z bazy i deserializuje je bez ograniczenia klas PHP, zamiast używać bezpiecznego helpera Mautic. Atakujący mogący zapisać spreparowaną wartość serializowaną może spowodować utworzenie dowolnych obiektów PHP podczas przetwarzania danych, a w połączeniu z gadget chains w zależnościach Mautic — wykonanie dowolnego kodu na serwerze.

W sandboxie renderowania motywów Twig w Mautic występuje podatność na server-side template injection — sandbox wprowadzony w poprawce GHSA-9fx4-7cmj-47vg nie egzekwuje w pełni ograniczeń, pozwalając spreparowanemu szablonowi motywu na ucieczkę z sandboxa. Uwierzytelniony użytkownik z uprawnieniem core:themes:create może przesłać złośliwy motyw, którego szablon zostanie później wyrenderowany, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu serwera WWW.

W funkcji importu kampanii Mautic 7 istnieje luka umożliwiająca nieograniczone przesyłanie plików. Aplikacja kopiuje dołączone pliki zasobów do publicznie dostępnego katalogu mediów bez ograniczeń nazw i typów plików. Uwierzytelniony użytkownik z uprawnieniem do tworzenia importów kampanii może umieścić dowolne pliki, w tym skrypty serwerowe, w katalogu głównym serwera WWW, co na serwerach Apache prowadzi do zdalnego wykonania kodu.

Podatność na niespójną interpretację żądań HTTP ('HTTP Request/Response Smuggling') w czytniku treści chunked HTTP/1.1 w mtrudel bandit pozwala nieuwierzytelnionemu zdalnemu atakującemu na przemycenie drugiego żądania obok front-endowego proxy poprzez rozszerzenie chunka zawierające samo LF. Czytnik chunked w lib/bandit/http1/socket.ex traktuje linię rozmiaru chunka jako wszystko do pierwszego CRLF i odrzuca wszystko po ; bez sprawdzania zgodności z gramatyką chunk-ext RFC 9112, więc samo LF, samo CR i inne bajty kontrolne przechodzą. Proxy, które kończy linię rozmiaru na samym LF, odczytuje 2;\nxx\r\n40\r\n... jako jedno żądanie, którego drugi chunk zawiera GET /admin, podczas gdy Bandit kończy treść wcześniej i wysyła GET /admin jako osobne żądanie potokowe. Wdrożenia bez takiego proxy przed Bandit nie są dotknięte.

Podatność w bibliotece Bandit (Elixir) polega na braku limitu liczby fragmentów wiadomości WebSocket podczas ich łączenia. Atakujący może wysłać wiadomość złożoną z wielu 1-bajtowych ramek kontynuacji, co powoduje zużycie pamięci serwera znacznie przekraczające skonfigurowany limit (nawet 150-krotnie).

Podatność na niewystarczającą ochronę danych uwierzytelniających w hackney w benoitc hackney pozwala serwerowi przekierowującemu uzyskać dane uwierzytelniające basic_auth i cookie żądania poprzez przekierowanie na ten sam host na inny schemat lub port. Przy włączonym follow_redirect hackney:follow_redirect/10 w src/hackney.erl ponownie wysyła żądanie do celu Location po hackney:maybe_strip_auth_on_redirect/3, które porównywało tylko nazwę hosta bieżącego i przekierowującego URL. Przekierowanie z https na http na tym samym hoście ponownie wysyłało nagłówki Authorization i Cookie w postaci jawnej, gdzie atakujący na ścieżce może je odczytać, a przekierowanie na inny port na tym samym hoście przekazywało je innej usłudze. location_trusted przekazuje dane uwierzytelniające do dowolnego celu zgodnie z projektem i pozostaje bez zmian.

Podatność w parserze liczb całkowitych nagłówków HTTP w bibliotece Bandit (Elixir) pozwala nieuwierzytelnionemu atakującemu na zużycie CPU serwera poprzez przesłanie wartości Content-Length, Host lub portu :authority składającej się z tysięcy cyfr. Parsowanie odbywa się bez limitu długości, co prowadzi do kwadratowego wzrostu czasu przetwarzania.

W bibliotece hackney (benoitc) w wersji od 2.0.0 do przed 4.9.0 występuje niewłaściwa neutralizacja sekwencji CRLF w nagłówkach HTTP (HTTP Request/Response Splitting) w hackney_http_connect. Po odpowiedzi 407 od proxy HTTP CONNECT funkcja handle_proxy_auth/11 wywołuje przekazany przez wywołującego proxy_auth_fun i zapisuje zwrócony binarny wynik do linii Proxy-Authorization ponownego żądania CONNECT bez sprawdzenia go; bajt CR, LF lub NUL w tej wartości dodaje linie nagłówka do żądania wysyłanego do proxy.

W wielu wersjach Harbor komponent dostarczania webhooków pozwala na SSRF, ponieważ nieprawidłowo waliduje adresy docelowe webhooków, umożliwiając użycie prywatnych i link-local zakresów IP. Uwierzytelniony atakujący z uprawnieniami ProjectAdmin może skonfigurować politykę webhooka wskazującą na prywatny adres wewnętrzny; gdy wystąpi zdarzenie projektu, jobservice Harbor wykonuje nieuwierzytelnione wychodzące żądania HTTP POST do celu, a treść odpowiedzi błędu jest zapisywana w logu wykonania webhooka, który mogą czytać członkowie projektu.

Podatność w obsłudze HTTP/2 w bibliotece Bandit (Elixir) polega na nieprawidłowym czyszczeniu stanu po wyjątku StreamError. Atakujący może obejść limity zasobów na połączenie, wysyłając wiele ramek w jednym zapisie TCP, z których jedna powoduje błąd strumienia, co prowadzi do uruchomienia większej liczby równoległych strumieni niż dozwolona.

Podatność w czytniku ciała żądania chunked w HTTP/1.1 w bibliotece Bandit (Elixir) pozwala nieuwierzytelnionemu atakującemu na wyczerpanie pamięci i CPU serwera poprzez żądanie złożone z wielu 1-bajtowych fragmentów. Brak limitu liczby fragmentów powoduje, że małe fragmenty zużywają znacznie więcej pamięci niż ich ładunek.

Podatność w implementacji HTTP/2 w bibliotece Bandit (Elixir) pozwala nieuwierzytelnionemu atakującemu na nieograniczony wzrost zużycia pamięci i CPU poprzez dużą wartość SETTINGS_HEADER_TABLE_SIZE. Bandit zmienia rozmiar tabeli kodera HPACK do rozmiaru ogłoszonego przez klienta (do 2^32-1 bajtów) i indeksuje nagłówki odpowiedzi, co prowadzi do liniowego skanowania przy każdym wyszukaniu i kwadratowego wzrostu kosztu CPU.

W platformie CreditNirvana Collections Platform występuje luka wynikająca z nieprawidłowych kontroli uwierzytelniania i autoryzacji w usłudze logowania. Nieuwierzytelniony zdalny atakujący może manipulować żądaniami uwierzytelniania i uzyskiwać dostęp do API bez ważnej sesji. Może to pozwolić na wyliczanie użytkowników, tworzenie sesji jako dowolny użytkownik (w tym administrator) oraz dostęp i modyfikację danych.

Podatność w aplikacji CreditNirvana Agentic AI Call Centre polega na osadzeniu statycznego klucza API w kodzie JavaScript po stronie klienta. Nieuwierzytelniony atakujący może pobrać pliki JavaScript i wyodrębnić klucz API, a następnie wykonywać dowolne wywołania API w celu pobrania transkrypcji rozmów i nagrań.

Podatność na egzekwowanie zabezpieczeń po stronie klienta zamiast serwera w obsłudze połączeń WebSocket w mtrudel bandit pozwala zdalnemu klientowi na dalsze uruchamianie kodu obsługi WebSock po zatrzymaniu połączenia przez serwer, poprzez ramki danych wysyłane po zignorowaniu ramki Close serwera. Gdy callback WebSock zwraca {:stop, ...}, Bandit.WebSocket.Connection wywołuje terminate/2, wysyła Close i zamyka stronę zapisu, ale utrzymuje proces połączenia w stanie :closing. handle_frame/3 i handle_info/3 nigdy nie sprawdzają tego stanu, więc późniejsze ramki nadal docierają do handle_in/2, a późniejsze wiadomości do handle_info/2, ze stanem z krotki stop, dopóki klient nie wyśle Close, TCP nie zostanie zerwane lub nie upłynie limit czasu bezczynności. Klient odrzucony w init/1 po nieudanym sprawdzeniu tokena mógłby nadal wykonać akcję tylko dla administratora.

Podatność w implementacji HTTP/2 w bibliotece Bandit (Elixir) polega na nieprawidłowym przetwarzaniu silnie skompresowanych danych (amplifikacja danych). Atakujący może wysłać mały blok HEADERS skompresowany HPACK, który przechowuje dużą wartość cookie w tabeli dynamicznej, a następnie wielokrotnie odwołuje się do niej za pomocą 1-bajtowych pól indeksowanych, co prowadzi do wyczerpania pamięci serwera.

Podatność w implementacji HTTP/2 w bibliotece Bandit (Elixir) polega na nieefektywnej złożoności algorytmicznej. Atakujący może otworzyć tysiące strumieni, których odpowiedzi są zablokowane, a następnie wysyłać tanie ramki SETTINGS lub WINDOW_UPDATE, powodując kwadratowy wzrost kosztu CPU przy przetwarzaniu kolejki zablokowanych wysyłek.