Katalog podatności CVE

Podatność uwierzytelniania organizatora w przetwarzaniu kalendarza e-mail Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy anulować lub zmodyfikować istniejące spotkanie w kalendarzu odbiorcy. Zimbra akceptuje komponenty iCalendar CANCEL i REQUEST bez weryfikacji, czy nadawca wiadomości jest upoważniony do działania jako podany organizator. Atakujący znający UID spotkania i adres organizatora może podać nieprzestarzały numer sekwencji, aby przenieść spotkanie odbiorcy do Kosza lub zastąpić jego szczegóły.

W Entire CLI przed wersją 0.7.7 występuje podatność path traversal. Złośliwe metadane checkpointów pobrane ze zdalnej gałęzi mogą spowodować zapis danych poza katalogiem sesji, nadpisując dowolne pliki na maszynie ofiary.

NetBox MCP Server w trybie TRANSPORT=http przed wersją 1.2.1 nie wymaga uwierzytelnienia na punkcie końcowym HTTP. Każdy klient z dostępem do portu uzyskuje pełny dostęp do wszystkich narzędzi NetBox bez tokenu.

W wtyczce GTM Server Side od stape.io (WordPress) w wersjach 2.0.0–2.1.47 mechanizm śledzenia zakupów WooCommerce pozwala nieuwierzytelnionemu atakującemu wywołać wyświetlenie pełnych danych zamówienia innego klienta, w tym danych osobowych (PII), w dataLayer JavaScript strony. Podatność naprawiono w wersji 2.1.48.

W odhcpd w wersjach 25.12 i wcześniejszych wykrywanie pętli DHCPv6 używa wartości długości DUID w kolejności bajtów sieciowych jako rozmiaru memcmp(). Na hostach little-endian pojedynczy nieuwierzytelniony pakiet DHCPv6 powoduje odczyt 2560 bajtów z bufora 128 bajtów.

W odhcpd (serwer DHCPv6/DHCPv4/RA w OpenWrt) przed wersją 25.12 występuje przepełnienie bufora stosu (512-bajtowy pdbuf) podczas przetwarzania odpowiedzi IA na pojedynczy pakiet DHCPv6 REQUEST z dużą liczbą opcji IA. Dwa niezależne miejsca przepełnienia są osiągalne przez sieć jednym nieuwierzytelnionym pakietem UDP. odhcpd działa jako root, a urządzenia embedded często nie mają canarków stosu ani ASLR, co czyni wykonanie kodu realnym.

W odhcpd (OpenWrt) w wersjach 17.01.0–25.12.2 parser DHCPv6 IA akceptuje opcję IA_NA lub IA_PD o treści krótszej niż struct dhcpv6_ia_hdr, rzutuje nagłówek i odczytuje ia->iaid przed sprawdzeniem, czy pole IAID istnieje. Krótka opcja IA na końcu 8192-bajtowego bufora odbioru powoduje odczyt poza bufor, a ujawnione bajty są odzwierciedlane w odpowiedzi IAID; może to ujawnić canarkę stosu i zawartość stosu przydatną do obejścia ASLR.

W odhcpd (OpenWrt) przed wersją 25.12 handler DHCPv6 IA utrzymuje wskaźnik first do dzierżawy, aby wiele opcji IA w jednej wiadomości używało tego samego klucza Reconfigure. Pakiet DHCPv6 REQUEST może sprawić, że pierwsza IA ustawi first, a późniejsza IA o tym samym IAID nie przejdzie sprawdzenia on-link i zwolni tę dzierżawę, pozostawiając wiszący wskaźnik; kolejna IA kopiuje first->key, powodując 16-bajtowy odczyt use-after-free na stercie. Skutkiem jest nieuwierzytelniona odmowa usługi w sieci sąsiedniej i mylenie kluczy Reconfigure/ForceRenew.

W pakiecie MTA Zimbra Collaboration Suite (ZCS) występuje lokalna eskalacja uprawnień: konto Unix zimbra może wykonywać dowolne polecenia jako root. Polityka sudo pozwala na bezhasłowe uruchamianie poleceń administracyjnych Postfix bez ograniczenia argumentów; atakujący może ustawić kontrolowany przez zimbra daemon_directory i wywołać postfix set-permissions, co uruchomi jego program jako root. Katalog konfiguracji Postfix jest również zapisywalny przez zimbra.

W launcherze zmmailboxdmgr Zimbra Collaboration Suite (ZCS) występuje lokalna eskalacja uprawnień: konto Unix zimbra może wykonywać dowolne polecenia jako root. Interfejs sudo bez hasła akceptuje niewystarczająco ograniczone argumenty JVM; atakujący może opóźnić zrzucenie uprawnień Jetty, zarejestrować polecenie OnOutOfMemoryError i wymusić wyczerpanie sterty podczas startu, powodując wykonanie polecenia, gdy JVM nadal działa jako root.

Podatność w Zimbra Collaboration Suite (ZCS) pozwala nieuwierzytelnionym żądaniom do /h/* nadpisywać atrybuty serwletu przeznaczone dla zaufanego wewnętrznego dispatchu. RestFilter kopiuje parametry URL (token uwierzytelniający, konto docelowe, element docelowy, stan dispatchu) do atrybutów żądania używanych przez Classic Web Client. W połączeniu z CVE-2026-10632 w ZCS 10.1.16 pozwala to atakującemu dostarczyć własny ważny token i identyfikatory dokumentów oraz wykonać JavaScript w zalogowanej sesji przeglądarki innego użytkownika.

W Zimbra Collaboration Suite (ZCS) występuje błąd rozliczania kwot skrzynki. Uwierzytelniony użytkownik może wielokrotnie udostępniać i cofać udostępnienie dokumentu, aby trwale zużywać kwotę skrzynki innego użytkownika.

W funkcji testowania źródeł danych Zimbra Collaboration Suite (ZCS) występuje wstrzyknięcie poleceń SMTP. Uwierzytelniony użytkownik może wstrzyknąć CR/LF do adresu e-mail w kopercie SMTP, a po pomyślnym logowaniu POP3/IMAP Zimbra wysyła wstrzyknięte polecenia do usługi SMTP.

serialize-javascript w wersjach od 7.0.1 przed 7.1.3 zawiera podatność cross-site scripting. Atakujący może wyłamać się z elementu script HTML, kończąc serializowane źródło funkcji nieescapowanym ciągiem </script.

W frameworku baserCMS funkcja PermissionGroupsService::build() odczytuje plik config/permission.php wtyczki, aby ustalić uprawnienia grup użytkowników. Gdy plik nie istnieje, zamiast tego zapisuje regułę zezwalającą na wszystko (wildcard) dla wszystkich grup niebędących administratorami. Wtyczka BcCustomContent nie zawiera takiego pliku w żadnym wydaniu, więc po jej zainstalowaniu domyślna grupa operators może przechowywać i wykonywać dowolny kod PHP w katalogu głównym dokumentów.

W baserCMS w wersjach 5.0.0 przed 5.3.2 i 5.4.0 przed 5.4.2 publiczny endpoint API dodawania wiadomości pocztowych nie wymusza ustawienia auth_captcha. Nieuwierzytelniony atakujący może zautomatyzować zgłoszenia bez rozwiązywania captchy.

W baserCMS w wersjach 5.2.5 przed 5.3.2 i 5.4.0 przed 5.4.2 nieuwierzytelniony odwiedzający może podać listę adresów rozdzieloną przecinkami w polu e-mail formularza, powodując wysłanie jednej automatycznej odpowiedzi do wielu osób trzecich.

W baserCMS globalne rozwijanie shortcode'ów odbywa się na całej wyrenderowanej stronie, w tym na komentarzach blogowych escapowanych w HTML, dostarczanych przez nieuwierzytelnionych odwiedzających. Komentarz zawierający shortcode BcBaser.getGoogleMaps może ustawić apiBaseUrl na kontrolowany przez atakującego URL skryptu, który jest emitowany jako src skryptu i wykonuje JavaScript w domenie witryny, gdy inny odwiedzający lub administrator otworzy artykuł z tym komentarzem. Escapowanie surowego HTML w komentarzach nie zapobiega temu przechowywanemu XSS, ponieważ przetwarzanie shortcode'ów następuje po renderowaniu HTML.

W baserCMS encja widget-area serializuje widgety tylko wtedy, gdy przesłana wartość jest tablicą, co pozwala na zapisanie ciągu znaków przesłanego przez administracyjne API JSON bez zmian. Odczyt encji, w tym renderowanie front-endu i odpowiedzi API, deserializuje zapisaną wartość za pomocą unserialize() bez ograniczenia allowed_classes, akceptując zarówno surowe, jak i base64-zakodowane dane serializowane. Administrator lub atakujący, który uzyska możliwość zapisu widgetów poprzez inną podatność, taką jak łańcuch XSS, może umieścić graf obiektów, który następnie uruchamia się przy nieuwierzytelnionych żądaniach stron.

W baserCMS w wersjach 5.0.0 przed 5.3.2 i 5.4.0 przed 5.4.2 uwierzytelniony użytkownik z uprawnieniem tylko do przeglądania plików motywu może wyjść poza katalog motywu przez opcjonalny plugin BcThemeFile. Może to ujawnić kod źródłowy aplikacji oraz dane dostępowe do bazy w config/install.php.