Katalog podatności CVE

Aplikacja HP Fan Control może umożliwiać lokalną eskalację uprawnień. Luka wynika z nieprawidłowej kontroli dostępu w oprogramowaniu do zarządzania wentylatorami firmy HP.

Podatność w JeecgBoot do wersji 3.9.2 umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach pełny dostęp do zarządzania poświadczeniami OpenAPI. Brak autoryzacji Shiro w kontrolerach OpenApiAuthController i OpenApiPermissionController pozwala na tworzenie, odczyt, aktualizację i usuwanie wszystkich par AK/SK, a punkt końcowy listy zwraca sekretne klucze w postaci jawnego tekstu.

W Dolibarr do wersji 23.0.3 (załatanym w commicie 14db36e) wykryto podatność na iniekcję SQL. Uwierzytelnieni użytkownicy API mogą wyodrębnić dowolne dane z bazy, podając złośliwe wartości w parametrze sqlfilters w endpointach REST API dla słowników i walut wielowalutowych.

JimuReport w wersji do 2.5.0 udostępnia endpoint POST /jmreport/auto/export bez wymaganego uwierzytelnienia. Adnotacja @JimuNoLoginRequired powoduje pominięcie wszystkich kontroli dostępu, a usługa eksportu strumieniuje raport dla dowolnego identyfikatora bez weryfikacji flagi konfiguracji automatycznego eksportu. Nieuwierzytelniony atakujący może enumerować identyfikatory raportów Snowflake i wyeksportować pełną zawartość dowolnego raportu, w tym dane z zapytań SQL oraz poświadczenia osadzone w źródłach danych.

Podatność w CVAT przed wersją 2.69.0 w klasie QualityReportViewSet.get_queryset pozwala uwierzytelnionym atakującym na enumerację identyfikatorów raportów jakości należących do innych organizacji. Brak wywołania check_object_permissions na parametrze parent_id w API raportów jakości umożliwia rozróżnienie istniejących i nieistniejących raportów na podstawie odpowiedzi HTTP 500 vs 404.

SeaweedFS przed wersją 4.34 zawiera podatność na przechodzenie po ścieżkach w handlerze DeleteMultipleObjectsHandler bramy S3. Uwierzytelniony podmiot S3 z prawem zapisu do jednego bucketa może usunąć dowolne obiekty w innych bucketach, podając klucze obiektów z sekwencją ../ w żądaniu XML DeleteObjects.

Podatność w SeaweedFS przed wersją 4.30 polega na braku walidacji parametru callback w funkcji writeJson, co pozwala na odbicie go w odpowiedziach JavaScript. Brak nagłówka X-Content-Type-Options: nosniff oraz listy dozwolonych CORS umożliwia ataki typu cross-origin na niezabezpieczonych punktach końcowych.

Podatność w Woodpecker przed wersją 3.15.0 pozwala na obejście listy ApprovalAllowedUsers poprzez manipulację polem pipeline.Author. Dla integracji z GitLab, autor potoku jest pobierany z nazwy autora commita (commit.author.name) w webhooku, która jest kontrolowana przez atakującego i nie jest weryfikowana przez GitLab. Użytkownik otwierający merge request z forka może ustawić nazwę autora commita tak, aby pasowała do wpisu na liście ApprovalAllowedUsers, co powoduje, że needsApproval zwraca false i potok uruchamia się bez wymaganej zgody.

Woodpecker przed wersją 3.15.0 udostępnia endpoint /api/orgs/lookup/*org_full_name bez uwierzytelniania, a procedura obsługi LookupOrg bezwzględnie wyłuskuje użytkownika sesji (user.ForgeID przez ForgeFromUser) przy wyborze forga do zapytania. Dla nieuwierzytelnionego żądania session.User zwraca nil, co powoduje wyłuskanie wskaźnika NULL i panikę. Panika jest przechwytywana przez middleware gin recovery, a serwer kontynuuje działanie (zwracając HTTP 500), ale każde żądanie zapisuje wieloliniowy ślad paniki do dziennika błędów.

W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.

Podatność w Hermes WebUI przed wersją 0.51.521 pozwala na ominięcie izolacji profili. Podczas importowania sesji przez endpoint /api/session/import, obiekt sesji jest tworzony bez ustawienia profilu, co powoduje, że importowana sesja ma profil null. Ponieważ profil null jest traktowany jako domyślny, użytkownik na profilu domyślnym może wyeksportować transkrypt sesji i użyć jej identyfikatora do odczytu plików z przestrzeni roboczej nazwanego profilu.

Podatność typu path traversal w Vibe-Trading przed wersją 0.1.10 pozwala atakującym na zapisywanie plików poza zamierzonym katalogiem głównym pamięci poprzez podanie złośliwej wartości parametru memory_type zawierającej sekwencje nawigacji po ścieżkach. Atakujący mogą manipulować parametrem memory_type w trwałym magazynie pamięci, co powoduje zapis dowolnych plików Markdown w nieprzeznaczonych lokalizacjach w systemie plików.

Ocelot do wersji 24.1.0 zawiera podatność umożliwiającą ominięcie kontroli bezpieczeństwa. Zablokowani klienci mogą wysyłać żądania uaktualnienia WebSocket, które są przetwarzane bez uwzględnienia listy dozwolonych/zablokowanych adresów IP.

Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na odczyt i nadpisanie plików run.json poza katalogiem runs. Atakujący może dostarczyć spreparowany identyfikator uruchomienia przez narzędzia MCP swarm, co prowadzi do nieautoryzowanego dostępu do plików.

Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na wstrzyknięcie ścieżki (path traversal) podczas budowania ścieżki pliku propozycji. Atakujący może dostarczyć identyfikator propozycji zawierający sekwencje nawigacji po katalogach, co powoduje załadowanie kontrolowanego pliku JSON jako autorytatywnego mandatu handlowego.

Podatność DNS rebinding w Vibe-Trading przed wersją 0.1.10 umożliwia ominięcie uwierzytelniania bearer-token poprzez wykorzystanie zaufania serwera do adresów TCP dla klientów loopback oraz brak walidacji nagłówka Host przy wiązaniu do 0.0.0.0 z uwierzytelnionym CORS. Atakujący może stworzyć złośliwą stronę DNS rebinding, wysyłać uwierzytelnione żądania do lokalnego API, dotrzeć do endpointu wykonania powłoki z presetem bash i uzyskać zdalne wykonanie kodu jako użytkownik procesu API, a także nadpisać ustawienia LLM i źródła danych w celu kradzieży poświadczeń.

Podatność w DeepTutor przed wersją 1.4.10 umożliwia ominięcie autoryzacji, przez co użytkownicy z niskimi uprawnieniami mogą wywoływać nieograniczone narzędzia MCP. Funkcja allowed_mcp_tools zwraca None zamiast odmowy, gdy mcp_tools jest pominięte w konfiguracji użytkownika.

Podatność w Nightingale (n9e) przed wersją 9.0.0-beta.2 umożliwia każdemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami (rola Standard) odczyt pełnych konfiguracji źródeł danych, w tym haseł baz danych, tokenów HTTP Bearer, haseł HTTP Basic Auth oraz kluczy klienckich mTLS. Dzieje się tak przez endpoint POST /api/n9e/datasource/list, który nie wymaga autoryzacji administratora, a filtr DatasourceFilter nie usuwa pól zawierających sekrety.

OpenBMB ChatDev do wersji 2.2.0 zawiera podatność na path traversal w punkcie końcowym przesyłania plików. Nieuwierzytelniony atakujący może zapisać lub usunąć dowolne pliki na serwerze, wysyłając złośliwą nazwę pliku z sekwencjami nawigacji po ścieżce.

W OpenZiti do wersji 2.0.0 (poprawione w commicie 3027fdf) występuje podatność na eskalację uprawnień. Uwierzytelniony użytkownik niebędący administratorem, posiadający szczegółowe uprawnienia do zarządzania rejestracjami, może utworzyć token rejestracyjny dla dowolnej tożsamości, w tym domyślnego administratora, ponieważ funkcja ApplyCreate w controller/model/enrollment_manager.go sprawdza tylko istnienie docelowej tożsamości, bez autoryzacji wiążącej żądającego z tą tożsamością.