Katalog podatności CVE

Przed wersją 1.4.0 narzędzia Plane, nieuwierzytelniony endpoint publicznych zgłoszeń przyjmuje parametry group_by i sub_group_by bez listy dozwolonych wartości i przekazuje je do paginatorów, gdzie są używane jako nazwy pól ORM. Atakujący może podać dowolne ścieżki pól, co powoduje nieobsłużone błędy FieldError lub KeyError i odpowiedź HTTP 500, lub może wykorzystać to jako wyrocznię do ślepej eksploracji relacyjnych ścieżek. Poprawka z wcześniejszej wersji nie objęła tych parametrów.

Przed wersją 1.4.0 narzędzia Plane, członek projektu z rolą 15 może wysłać żądanie PATCH do endpointu aktualizacji członków projektu i zmienić rolę innego użytkownika. Logika aktualizacji roli blokuje tylko nową rolę wyższą niż rola żądającego, więc przypisanie równej roli Member omija walidację i awansuje Gościa projektu z rolą 5 do roli Member bez zgody administratora projektu.

Przed wersją 1.4.0 narzędzia Plane, endpoint modułów przyjmuje identyfikatory UUID zgłoszeń w ścieżce URL bez walidacji, czy należą one do workspace wywołującego. Uwierzytelniony użytkownik może linkować zgłoszenia z dowolnego workspace do modułów w swoim własnym workspace.

Przed wersją 1.4.0 narzędzia Plane, endpoint GET /api/users/api-tokens/ pozwala uwierzytelnionemu użytkownikowi pobierać rekordy tokenów API, a PATCH /api/users/api-tokens/{token_id}/ pozwala modyfikować pole allowed_rate_limit bez walidacji po stronie serwera. Użytkownik może dowolnie podnieść limit i ominąć limity API, co umożliwia wysoką liczbę automatycznych żądań i potencjalne wyczerpanie zasobów.

Rozszerzenie Joomla Event Gallery w wersji < 6.6.0 zawiera podatność na SSRF w selektorze Google Photos na stronie przesyłania plików. Selektor pobiera miniatury wybranych obrazów przez serwer, używając tokena OAuth konta Google Photos. Zadanie pobiera adres z żądania bez sprawdzenia i nie wymaga tokena formularza. Przygotowana strona na innym serwisie może sprawić, że serwer wyśle token dostępu konta na dowolny adres lub pobierze adresy wewnątrz sieci serwera w imieniu zalogowanego administratora.

ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na iniekcję SQL w punkcie końcowym user-list GET /admin/User/getUsers poprzez parametr gid.

Wtyczka LearnPress dla WordPressa do wersji 4.4.9.1 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym instruktorom wstrzykiwać skrypty przez pola wskazówki i wyjaśnienia w quizach. Atakujący z rolą Instruktora mogą wysyłać niezdezynfekowane payloady przez handler AJAX update_question, które wykonują się w sesji każdego studenta rozwiązującego quiz.

W TallCMS do wersji 4.8.0 wykryto podatność w komponencie PluginManager, w pliku ThemeManager.php. Poprzez manipulację danymi wejściowymi możliwa jest zdalna iniekcja kodu. Exploit został publicznie ujawniony i może być wykorzystany.

W rozszerzeniu Joomla Event Gallery w wersjach poniżej 6.6.0 występuje XSS i otwarte przekierowanie na stronie mini udostępniania. Adres artykułu z udostępnionego linku jest wyświetlany bez sprawdzenia i escapowania, a przy typie linku "Image Page with Redirect" następuje natychmiastowe przekierowanie.

W rozszerzeniu Joomla Event Gallery w wersjach poniżej 6.6.0 osiem zadań wywoływanych przyciskami list backendu nie sprawdza tokenu formularza. Przygotowana strona na innej witrynie może wywołać te zadania w imieniu zalogowanego administratora i zmienić ustawienia oraz flagi.

W dodatku Dynamic Content Filter w SP Page Builder Pro w wersjach 3.0.0–5.6.1p2 występuje reflected XSS. Wartości minimalna i maksymalna suwaka są pobierane z parametru dc_filter_<fieldId>, dzielone na "l-r", escapowane w atrybucie data-value, a następnie wyświetlane bez escapowania jako tekst elementu span.

W mcp-k6 osoba mogąca wywołać prompt convert_playwright_script może podać samą ścieżkę pliku jako argument playwright_script i uzyskać zawartość dowolnego pliku czytelnego dla użytkownika uruchamiającego serwer, w tym kluczy SSH i poświadczeń chmurowych (path traversal). Ograniczenie katalogu roboczego dla ścieżek z prefiksem '@' można obejść za pomocą dowiązania symbolicznego wskazującego poza katalog roboczy.

W wtyczce Kit (dawniej ConvertKit) for WooCommerce w wersjach do 2.2.0 występuje brak autoryzacji. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

W Progress Telerik Fiddler Classic dla Windows w wersjach przed v6.0.20262.10021 występuje warunek wyścigu TOCTOU podczas instalacji głównego certyfikatu przechwytywania HTTPS do magazynu certyfikatów komputera lokalnego. Fiddler zapisuje certyfikat do pliku tymczasowego w lokalizacji zapisywalnej przez użytkownika, a następnie uruchamia pomocnika TrustCert, który z uprawnieniami podniesionymi importuje certyfikat z tego pliku.

W Progress Telerik Fiddler Classic dla Windows w wersjach przed v6.0.20262.10021 możliwy jest przemyt żądań HTTP w komponencie przekazywania żądań proxy. Żądania z wieloma nagłówkami Content-Length o sprzecznych wartościach są przekazywane dosłownie do serwera źródłowego, podczas gdy Fiddler ramkuje ciało żądania tylko na podstawie pierwszej wartości.

W django-haystack do wersji 3.3.0 wykryto podatność w funkcji _to_python w pliku elasticsearch_backend.py, w komponencie obsługi tagu szablonu more_like_this. Manipulacja argumentem result_class prowadzi do niewłaściwej neutralizacji dyrektyw w dynamicznie ewaluowanym kodzie.

Podatność w LibreOffice umożliwia skonstruowanie adresów URL, które rozwijają wartości zmiennych środowiskowych lub plików INI, co może prowadzić do wycieku wrażliwych informacji na zdalny serwer po otwarciu dokumentu zawierającego takie linki. Poprzednia poprawka dla CVE-2024-12426 nie obejmowała wszystkich miejsc, w których dokument może dostarczyć URL, a dane instancji XForms oraz dostawcy danych CSV i SQL w Calc nadal umożliwiały tę ekspansję. W naprawionych wersjach te miejsca odrzucają URL-e z wewnętrznymi schematami, gdy pochodzą z dokumentu.

LibreOffice może linkować do plików audio i wideo z dokumentu, a na Linuksie odtwarza je przez GStreamer. Złośliwy plik multimedialny może być listą odtwarzania HLS, która powoduje, że GStreamer czyta lokalne pliki i zdalne URL-e wymienione na liście podczas ładowania dokumentu, a ich zawartość może trafić do dokumentu. W naprawionych wersjach LibreOffice nie podąża za listami odtwarzania, które wymieniają dodatkowe zasoby, a linkowane multimedia są kontrolowane przez ustawienia aktualizacji linków.

LibreOffice Calc może linkować zakres komórek do zewnętrznego źródła danych, a link jest zapisywany w dokumencie. Link typu sql może wskazywać na folder lokalnych plików tekstowych jako bazę danych, więc otwarcie dokumentu może odczytać lokalny plik tekstowy do arkusza. W naprawionych wersjach tylko dostawcy danych csv, html i xml są przywracani podczas ładowania dokumentu.

LibreOffice Calc może linkować zakres komórek do zewnętrznego źródła danych csv, a link jest zapisywany w dokumencie. Taki link był pobierany podczas ładowania dokumentu, więc otwarcie dokumentu mogło odczytać lokalny plik do arkusza lub wysłać żądanie do wybranego przez dokument hosta. W naprawionych wersjach zewnętrzne linki danych są aktualizowane pod tą samą kontrolą aktualizacji linków co inne linki w arkuszu.