Katalog podatności CVE

YesWiki w wersji przed 4.6.7 zawiera podatność cross-site request forgery (CSRF) w handlerze ajaxdeletepage, który trwale usuwa stronę przy każdym żądaniu GET zawierającym parametr jsonp_callback, bez sprawdzania tokenu CSRF. Atakujący mogą zwabić zalogowanego administratora lub właściciela strony do spreparowanego linku, aby usunąć dowolne strony wraz z ich ACL, linkami, trójkami, komentarzami i odsyłaczami.

YesWiki w wersji przed 4.6.7 zawiera podatność cross-site request forgery (CSRF) w autoupdate UpdateAction, która pozwala atakującym usuwać zainstalowane pakiety poprzez niechronione żądania GET. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku z action=delete i parametrem package, aby usunąć rozszerzenia takie jak bazar, psując podstawową funkcjonalność serwisu.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia uwierzytelniania w skrzynce odbiorczej ActivityPub, która nie wiąże zweryfikowanego podpisującego sygnaturę HTTP z aktorem aktywności. Nieuwierzytelniony atakujący z dowolną parą kluczy ActivityPub może wysyłać podpisane aktywności Delete lub Update odwołujące się do sourceUrl zlustrowanego wpisu, aby usuwać lub nadpisywać sfederowane wpisy innych aktorów.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w trasie editComment API komentarzy, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach nadpisywać dowolne strony lub komentarze, podając własną stronę jako pole pagetag. Atakujący może wysłać żądanie POST do punktu końcowego api/comments, celując w tag ofiary, omijając ACL zapisu dla poszczególnych stron, aby zastąpić treść i przeparentować istniejące strony lub komentarze.

YesWiki w wersji przed 4.6.7 zawiera obejście zakresu pustego filtra w API usuwania trójek, które pozwala każdemu uwierzytelnionemu użytkownikowi usuwać lub fałszować dowolne trójki semantyczne niezależnie od własności. Atakujący może wysłać pusty filtr do punktu końcowego usuwania trójek, aby usunąć trójkę członkostwa w grupie admins, opróżniając grupę administratorów i powodując blokadę autoryzacji w całej witrynie.

Zebra w wersji przed 4.4.0 zawiera podatność rozbieżności konsensusu w weryfikacji przezroczystych sygnatur V5, obliczając skrót ZIP-244 dla wejść SIGHASH_SINGLE bez odpowiadających wyjść zamiast zgłosić błąd. Atakujący może tworzyć transakcje V5 z mniejszą liczbą wyjść niż wejść, które Zebra akceptuje i szablonuje przez getblocktemplate, produkując bloki odrzucane przez zcashd.

Zebra zebrad 4.4.0 i zebra-script 6.0.0 nie egzekwują reguły konsensusu ZIP-244, akceptując przezroczyste wejścia V5 podpisane z SIGHASH_SINGLE, które nie mają odpowiadającego wyjścia. Atakujący może rozgłaszać spreparowane transakcje V5 z większą liczbą wejść niż wyjść, które Zebra akceptuje, ale zcashd odrzuca, powodując rozdzielenie konsensusu sieci.

Zebra w wersji przed 6.0.0 zawiera podatność typu denial of service, która pozwala nieuwierzytelnionym peеrом blokować wątki Tokio poprzez przesyłanie transakcji do mempoola wymagających kosztownej synchronicznej weryfikacji skryptów. Atakujący może wysyłać niestandardowe transakcje P2SH o wysokiej liczbie sigop, które docierają do CachedFfiTransaction::is_valid() przed sprawdzeniami standardowości, nasycając bufor weryfikatora i czyniąc węzeł nieodpowiadającym.

Zebra zebrad 4.5.0 i zebra-script 7.0.0 liczą operacje podpisu skryptu redeem P2SH w trybie legacy zamiast dokładnego trybu P2SH zcashd, przeliczając CHECKMULTISIG poprzedzony OP_1 do OP_16 jako 20 sigopów i powodując rozbieżność konsensusu. Zdalni atakujący mogą rozgłaszać wydatki P2SH używające skryptów redeem multisig o niskim progu, tak że blok akceptowany przez zcashd przekracza zawyżony licznik MAX_BLOCK_SIGOPS Zebry, powodując odrzucenie go przez węzły Zebra i zatrzymanie ich poza łańcuchem.

Zebra (zebrad) w wersji przed 6.2.1 zawiera asymetryczną podatność zużycia zasobów, która pozwala nieuwierzytelnionym peеrом blokować weryfikację bloków poprzez przesyłanie transakcji V6 do mempoola z nieprawidłowymi dowodami Halo2. Atakujący może zalać współdzieloną kolejkę weryfikacji Halo2 bez priorytetu transakcjami o zerowej opłacie z wypełnionymi zerami dowodami Orchard i Ironwood, powodując opóźnienie węzłów względem końca łańcucha.

Ścieżka pobierania synchronizacji bloków w Zebra (zebrad) w wersji przed 6.3.0 odczytuje wysokość bloku z niezwalidowanego scriptSig coinbase i odrzuca bloki, które wydają się zbyt daleko za końcem łańcucha, przed walidacją konsensusu, bez karania dostarczającego peera. Ponieważ identyfikatory transakcji V5 wykluczają scriptSig, złośliwy peer może wielokrotnie dostarczać kanoniczny blok, którego coinbase twierdzi, że ma wysokość 1, zachowując żądany hash, opóźniając odkrycie najnowszego bloku przez węzeł.

Ghost od wersji 6.10.3 przed 6.64.0 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom uruchamiać kod poprzez nadużycie ładowania plików tłumaczeń motywu. Atakujący z dostępem administratora może przesłać spreparowany motyw zawierający złośliwe pliki tłumaczeń, aby wykonać dowolny kod na serwerze Ghost.

Ghost w wersjach od 4.39.0 do 6.64.0 zawiera podatność ujawnienia informacji w Admin API, która pozwala użytkownikom personelu na przeglądanie tajnych tokenów oczekujących zaproszeń dla personelu. Użytkownicy z uprawnieniem do przeglądania zaproszeń mogą zaakceptować oczekujące zaproszenia o wyższych uprawnieniach, co prowadzi do eskalacji uprawnień.

Ghost w wersjach od 2.5.0 do 6.64.0 zawiera podatność przechowywanego XSS, która pozwala atakującym wstrzykiwać niezaufane skrypty do treści postów poprzez odpowiedzi oEmbed ze zdjęciami. Atakujący mogą hostować złośliwe odpowiedzi oEmbed, aby osadzenie ich URL przechowywało skrypty uruchamiane w edytorze Ghost, opublikowanej witrynie i e-mailach newslettera, kompromitując sesje administratorów personelu.

Ghost w wersjach od 5.94.0 do 6.64.0 zawiera podatność przechowywanego XSS, która pozwala użytkownikom personelu, w tym współpracownikom, hostować dowolny HTML poprzez nadużycie pobierania obrazów w kartach zakładek. Atakujący mogą tworzyć karty zakładek, które przechowują pliki niebędące obrazami z zewnętrznych witryn jako ikony lub miniatury, aby skompromitować sesje administracyjne innych użytkowników personelu.

Ghost w wersjach od 6.22.1 do 6.64.0 zawiera podatność przechowywanego XSS, która pozwala użytkownikom personelu hostować skrypty poprzez przesyłanie plików serwowanych z typami treści opartymi na rozszerzeniu w domyślnym adapterze pamięci lokalnej. Atakujący mogą przesyłać pliki zawierające skrypty do domeny witryny, aby skompromitować sesje administracyjne innych użytkowników personelu.

SiYuan w wersjach przed 3.8.5 zawiera podatność ujawnienia informacji, która pozwala czytelnikom publikacji na odczyt wierszy bazy danych chronionych hasłem i wyłączonych z publikacji poprzez endpoint /api/export/preview. Atakujący mogą zażądać podglądu eksportu publicznego dokumentu osadzającego widok bazy danych, aby uzyskać tekst klucza głównego i wartości komórek chronionych wierszy.

Podatność polegająca na alokacji zasobów bez limitów lub ograniczeń w powiązaniach Erlang Apache Thrift. Brak ograniczeń może prowadzić do wyczerpania zasobów. Problem dotyczy wersji przed 0.25.0.

Podatność w powiązaniach Java Apache Thrift polegająca na nieprawidłowym obsługiwaniu wyjątkowych warunków oraz braku zwolnienia zasobów po zakończeniu ich życia. Problem dotyczy wersji przed 0.25.0.

Podatność niekontrolowanej rekurencji w powiązaniach c_glib Apache Thrift. Nadmierna rekurencja może prowadzić do przepełnienia stosu i awarii procesu. Problem dotyczy wersji przed 0.25.0.