Katalog podatności CVE

adm-zip do wersji 0.6.1 zawiera obejście walidacji zduplikowanych wpisów, które pozwala atakującym ominąć sprawdzenie readEntries() poprzez użycie kanonicznie równoważnych nazw wpisów, takich jak './hello.txt' i 'hello.txt'. Atakujący mogą spreparować archiwa ZIP, w których getEntry() lub readAsText() waliduje nieszkodliwą treść, podczas gdy extractAllTo() zapisuje złośliwą treść do tej samej ścieżki, omijając kontrole integralności.

ProjectSend w wersjach od 2.0.0 do 2.7.1 zawiera niekompletną lukę w autoryzacji w FileVersions::link(), która pozwala użytkownikom personelu udostępniać pliki bez autoryzacji poprzez łączenie wersji plików. Atakujący mogą podłączyć swój plik do pośredniej rewizji lub przypisać klientów spoza zakresu, powodując, że moveAssignmentsToRoot() ujawnia chronione oryginalne pliki nieuprawnionym klientom.

Leon przed commitem 50df142 zawiera lukę path traversal w getModelFileNameFromURL(), która pozwala atakującym zapisywać pliki poza katalogiem models poprzez separatory kodowane procentowo. Atakujący mogą nakłonić użytkownika do uruchomienia '/download model' ze spreparowanym URL zawierającym zakodowane sekwencje '../', aby zapisać kontrolowaną przez atakującego treść w dowolnych ścieżkach zapisywalnych przez Leon.

Infinity for Reddit do wersji 8.3.4 zawiera lukę cross-site request forgery w logowaniu, która pozwala atakującym zalogować ofiary na konto kontrolowane przez atakującego, ponieważ eksportowany handler przekierowania LoginChromeCustomTabActivity sprawdza stałą wartość OAuth state. Atakujący mogą autoryzować client ID aplikacji swoim własnym kontem Reddit, a następnie dostarczyć przekierowanie infinity://localhost zawierające ich kod i stały state, powodując, że posty, wiadomości i przeglądanie ofiary odbywają się na koncie atakującego.

rotki przed wersją 1.44.2 zawiera lukę słabego wyprowadzania klucza, która pozwala atakującym na brute-force kopii zapasowych, ponieważ klucz synchronizacji premium to pojedynczy, nieosolony SHA-256 hasła użytkownika. Atakujący, którzy zdobędą przesłany blob kopii zapasowej, mogą przeprowadzić równoległe na GPU zgadywanie hasła offline i odszyfrować bazę danych zawierającą klucze API giełd, sekrety, adresy portfeli i historię transakcji.

Docker-Proxy do wersji 5.1.9 zawiera lukę braku uwierzytelniania w hubcmdui routes/config.js, która pozwala nieuwierzytelnionym atakującym odczytywać i nadpisywać konfigurację poprzez /api/config. Atakujący mogą pobrać URL webhooka WeChat i token bota Telegram oraz nadpisać linki menuItems, proxyDomain i miejsce docelowe webhooka monitoringu otrzymującego alerty.

NiubiGEO przed wersją 0.3.2 zawiera nieuwierzytelnioną lukę server-side request forgery, która pozwala zdalnym atakującym zmusić serwer do pobierania adresów wewnętrznych poprzez podanie spreparowanej wartości domain do POST /audit-plan. Atakujący mogą przesyłać literały IP, localhost lub hosty prywatne i link-local, aby odczytać odpowiedzi z pętli zwrotnej, sieci wewnętrznej lub metadanych chmury zwracane w JSON siteEvidence planu.

Dokploy do wersji 0.30.10 zawiera lukę w autoryzacji, która pozwala właścicielom lub administratorom dowolnej organizacji kontrolować aplikacje innych najemców poprzez podanie obcych wartości applicationId. Atakujący mogą wywoływać procedury takie jak saveEnvironment, updateTraefikConfig, deploy lub stop, aby nadpisywać zmienne środowiskowe i sekrety budowania, przekierowywać źródła i zakłócać działanie aplikacji innych najemców.

Paisa przed wersją 0.7.8 zawiera lukę path traversal w handlerach GetFile, GetSheet, DeleteBackups i DeleteSheetBackups, która pozwala nieuwierzytelnionym atakującym czytać pliki i usuwać kopie zapasowe poprzez sekwencje ../ w nazwach plików. Atakujący mogą wysyłać spreparowane nazwy do endpointów editor file i delete_backups, aby odczytać dowolny plik dostępny dla serwera i usunąć pliki kopii zapasowych poza katalogiem journal lub sheets.

Firecrawl przed wersją 2.11.586 zawiera lukę server-side request forgery w proxy SSRF usługi Playwright, która pozwala atakującym obejść kontrole isInternalHost poprzez DNS rebinding. Atakujący kontrolujący DNS celu scrapowania może zwrócić adres publiczny podczas walidacji i adres prywatny w momencie połączenia, pobierając metadane chmury i zasoby wewnętrzne poprzez API scrapowania.

W systemie Employee Recruitment System (krupalshah) w pliku /source/registerform3.php wykryto podatność SQL Injection. Manipulacja argumentem pemail pozwala na zdalne wykonanie ataku, a publiczny exploit jest już dostępny. Produkt nie jest już wspierany przez maintainera, a dostawca nie odpowiedział na zgłoszenie.

W systemie EmployeeRecruitmentSystem (krupalshah) w pliku /source/registerform2.php, w funkcji mysql_query, wykryto podatność SQL Injection. Manipulacja argumentami university/institute/branch/degree/status/cpi/semester/experience umożliwia zdalny atak, a exploit został publicznie ujawniony. Produkt nie jest już wspierany, a dostawca nie odpowiedział na zgłoszenie.

Wykryto podatność SQL injection w systemie EmployeeRecruitmentSystem (krupalshah) w pliku /source/registerform1.php, w funkcji mysql_query. Manipulacja argumentami firstname, middlename, lastname, gender, birthdate, state, statespecify, city i cityspecify pozwala na wstrzyknięcie SQL. Exploit jest publicznie dostępny, a atak można przeprowadzić zdalnie.

W Privoce Vocechat do wersji 0.9.121 wykryto podatność typu cross-site scripting (XSS) w pliku widget.html, w obsłudze parametru zapytania 'welcome'. Manipulacja tym argumentem pozwala na wykonanie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W bibliotece eventcatalog sdk do wersji 2.29.0 wykryto podatność typu path traversal w funkcjach getCustomDoc, writeCustomDoc i rmCustomDoc w pliku packages/sdk/src/custom-docs.ts. Manipulacja argumentem options.path pozwala na przeprowadzenie ataku lokalnie. Problem naprawiono w wersji 2.30.0.

W 1999AZZAR designer-mcp do wersji 2.1.0 wykryto podatność path traversal w funkcji get_reference w pliku skills/motion-designer/references/motion-dev-guidelines.md w interfejsie MCP. Manipulacja argumentem Name umożliwia zdalny atak, a exploit jest publicznie dostępny. Produkt stosuje rolling releases, więc szczegóły wersji nie są dostępne; dostępny jest patch c8c2951dcbed9b1710a745993f028317f10a3f10.

Wtyczka WordPress Chikkili- Google Pay India for Woocommerce do wersji 1.0.6 nie weryfikuje, czy powiadomienie o płatności pochodzi od dostawcy płatności, przed oznaczeniem zamówienia jako opłacone. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka WordPress Duplicator przed wersją 5.0.0 nie ogranicza procedury aktualizacji jednym kliknięciem do użytkowników uprawnionych do instalacji wtyczek oraz udostępnia tę procedurę bez uwierzytelnienia. Administrator podrzędnej witryny multisite, który nie jest administratorem sieci, może zainstalować i uruchomić dowolny kod PHP w katalogu współdzielonym sieci.

Wtyczka WordPress Datawiza Proxy Auth Plugin przed wersją 1.1.1 nie weryfikuje, czy zaufane nagłówki HTTP tożsamości użytkownika i roli pochodzą od zaufanego odwrotnego proxy. Umożliwia to nieuwierzytelnionym atakującym utworzenie i uwierzytelnienie się jako administrator WordPress.