Katalog podatności CVE

Network-AI w wersjach od 5.13.4 przed 5.15.5 zawiera podatność path traversal w FileJobStore, która pozwala atakującym na odczyt lub usunięcie dowolnych plików .json poprzez podanie sekwencji traversal w identyfikatorze zadania. Atakujący kontrolujący id przekazywane do FileJobStore.get(), FileJobStore.delete() lub JobQueue.getJob() może ujawnić dane uwierzytelniające i tokeny uprawnień lub usunąć pliki konfiguracyjne, osłabiając autoryzację AuthGuardian.

Parse Server przed 8.6.109 oraz 9.0.0 przed 9.10.6-alpha.1 zwraca przechowywane wartości pól w odpowiedziach aktualizacji obiektów bez sprawdzania uprawnień odczytu. Klienci, których uprawnienia klasowe lub ACL obiektu pozwalają na aktualizację, ale nie na odczyt, mogą zobaczyć dane obiektu, w tym wyniki operacji atomowych, wartości ustawiane przez Cloud Code oraz całe pola nadrzędne przy notacji kropkowej.

Nuxt od wersji 4.6.0 przed 4.6.2 zawiera podatność mylenia parametrów trasy w getRouterParam i getRouterParams. Atakujący może zwrócić wartość parametru inną niż dopasowana przez h3, wysyłając ścieżki z zakodowanym znakiem zapytania (%3F), przez co kontrole autoryzacji używają wartości z helpera Nuxt, a wybór zasobu opiera się na event.context.params.

W samanhappy MCPHub do wersji 1.0.45/1.1.7 wykryto lukę w pliku src/utils/passthroughHeaders.ts. Manipulacja argumentem passthroughHeaders prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Zalecana jest aktualizacja do wersji 1.1.8.

W Termix-SSH Termix do wersji 2.9.2 wykryto podatność w pliku /plugin-api/file-manager/transferToHost. Manipulacja argumentem destPath prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.

W jxxghp MoviePilot do wersji 3.1.2 wykryto podatność w funkcji WorkflowExecutor.restore_context w pliku app/chain/workflow.py. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.

W Sanluan PublicCMS 4.x/5.x/6.x wykryto podatność w funkcji TradeRefundService.updateAmound w komponencie publiccms-trade. Manipulacja argumentem refundId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W urządzeniu Linksys E8450 (wersja 1.2.00.360516) wykryto podatność w funkcji strcpy w pliku /www/cgi-bin/portal.cgi. Manipulacja argumentem hidden_timezone prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a producent nie odpowiedział na zgłoszenie.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507) wykryto podatność w funkcji host_black w pliku /protocol.csp. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie OpenVPN Handler wykryto podatność w funkcji strcpy w pliku /protocol.csp. Manipulacja argumentem openvpn_ip powoduje przepełnienie bufora na stosie. Exploit został upubliczniony i atak można przeprowadzić zdalnie.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie WireGuard wykryto podatność w funkcji wireguard_cli_group w pliku /protocol.csp. Manipulacja argumentami group_id/group_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został ujawniony publicznie i atak można zainicjować zdalnie.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie openvpn_cli Handler wykryto podatność w nieznanej funkcji pliku /protocol.csp. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został opublikowany i atak można przeprowadzić zdalnie.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcjach sub_416d48/sub_41a7c0 pliku /bin/ioos, w komponencie obsługi listy klientów VPN. Manipulacja argumentem opt prowadzi do braku uwierzytelnienia (missing authentication). Atak można zainicjować zdalnie, a exploit jest już publiczny.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcji sub_41a1d8 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) zidentyfikowano słabość w funkcji sub_416760 pliku /bin/ioos, w komponencie interfejsu zarządzania webowego. Manipulacja argumentem group_name powoduje wstrzyknięcie poleceń systemowych (OS command injection). Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.

Apache Wicket generuje kod JavaScript odwołujący się do renderowanych elementów, umieszczając w literałach tekstowych w pojedynczych cudzysłowach wartości markup id oraz nazwy pól formularza bez odpowiedniego escapowania. Wartość zawierająca apostrof lub backslash może przerwać literał, a następnie wstrzyknąć kod wykonywany w kontekście aplikacji przy załadowaniu strony. Problem dotyczy wicket-core oraz wicket-extensions w wersjach 8.0.0–8.19.0, 9.0.0–9.24.0 i 10.0.0–10.11.0.

Apache Wicket w wersjach 10.10.0, 10.11.0 i 9.24.0 nie ustawia nagłówków Content-Security-Policy na stronach, których procedura obsługi żądania renderowania jest opakowana w więcej niż jeden IRequestHandlerDelegate. Framework odpakowuje tylko jeden poziom delegata przy podejmowaniu decyzji o renderowaniu strony, więc przy głębszym łańcuchu (np. delegujący mapper żądań aplikacji w połączeniu z CryptoMapper) strona jest serwowana bez nagłówka CSP, mimo że CSP jest włączone i nie jest zgłaszany żaden błąd ani ostrzeżenie. Ochrona oparta na nonce dla skryptów i stylów inline oraz inne skonfigurowane dyrektywy CSP są tracone dla tych stron, narażając je na wstrzyknięcie treści, któremu polityka miała zapobiegać. Aplikacje na standardowym Wicket, które same nie opakowują procedur obsługi żądań, nie są dotknięte. Wersje przed 10.10.0 i 9.24.0 obsługiwały zagnieżdżone delegaty poprawnie.

Podatność typu cross-site scripting (XSS) w Apache Wicket wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Komponent ExternalLink, powiązany z elementem innym niż a, link lub area, wstawia URL z modelu do literału JavaScript w atrybucie onclick bez odpowiedniego escapowania, co pozwala na wykonanie złośliwego skryptu w kontekście aplikacji.

W Apache Wicket występuje błąd kolejności sprawdzeń: ścieżka pliku jest walidowana przez PackageResourceGuard zanim framework dołączy do niej atrybuty style, variation i locale. W rezultacie otwierany plik może być innym plikiem niż zatwierdzony przez guard, co pozwala na odczytanie szablonów HTML komponentów, których nazwy klas zawierają podkreślenie (np. Report_v2).

W Apache Wicket mechanizm PackageResourceGuard błędnie zezwala na serwowanie szablonów znaczników komponentów jako zasobów pakietowych, gdy wicket-core jest ładowany przez class loader, który nie widzi klas aplikacji. W takiej konfiguracji sprawdzenie obecności pliku klasy obok szablonu kończy się niepowodzeniem, a żądanie URL zasobu pakietowego zwraca szablon komponentu ze statusem 200. Ujawnieniu podlegają treści szablonów tworzone przez deweloperów, takie jak struktura komponentów, komentarze, skrypty inline i nazwy endpointów.