Katalog podatności CVE

MISP zawiera podatność na cross-site scripting (XSS) w stronie podglądu zdarzeń zdalnych. Gdy skonfigurowany jest połączony (zdalny) serwer MISP, podgląd zdarzenia renderuje identyfikatory tagów wewnątrz atrybutu onclick JavaScript. Wartość ID tagu była HTML-escape'owana, ale nie sanityzowana dla kontekstu stringa JavaScript, co oznacza, że złośliwy połączony serwer mógł dostarczyć ID tagu zawierające znaki (takie jak pojedynczy cudzysłów), które wyłamują się z literału stringa JavaScript i wstrzykują dowolny skrypt. Warunki: skonfigurowany i połączony zdalny serwer MISP, serwer dostarcza spreparowany ID tagu w zdarzeniu, uwierzytelniony użytkownik przegląda podgląd zdarzenia i wchodzi w interakcję z dotkniętym elementem tagu. Wpływ: wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki użytkownika, potencjalnie umożliwiające przejęcie sesji, eksfiltrację danych lub nieautoryzowane działania w imieniu użytkownika. Dotyczy wersji MISP przed commit naprawczy (v2.5.48 lub później, dokładna granica niepotwierdzona).

MISP zawiera podatność na cross-site scripting (XSS) w przeglądarce obiektów TAXII. Podczas wyświetlania zdalnego obiektu TAXII, zawartość JSON właściwości string była renderowana bezpośrednio w bloku HTML pre bez kodowania HTML. Atakujący, który może kontrolować lub wpływać na zawartość obiektu TAXII (np. publikując złośliwy obiekt na serwerze TAXII, do którego subskrybuje instancja MISP ofiary), może wstrzyknąć dowolny HTML lub JavaScript, który wykonuje się w kontekście sesji MISP ofiary. Warunki: ofiara musi być uwierzytelnionym użytkownikiem MISP z dostępem do przeglądarki obiektów TAXII oraz musi otworzyć lub wyświetlić spreparowany obiekt TAXII. Wpływ: wykonanie dowolnego JavaScriptu w przeglądarce ofiary w kontekście aplikacji MISP, potencjalna kradzież tokenów sesji, kluczy API lub innych wrażliwych danych dostępnych z interfejsu MISP oraz możliwość wykonywania działań w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.

MISP zawiera podatność na cross-site scripting (XSS) w funkcji ID Translator. Gdy użytkownik przegląda stronę ID Translator, aplikacja odpytuje połączone (zdalne) serwery MISP o odpowiadające identyfikatory zdarzeń. Identyfikator zdarzenia zwrócony przez zdalny serwer był renderowany w wyjściu HTML bez odpowiedniego kodowania wyjścia. Złośliwy lub skompromitowany połączony serwer mógł zwrócić spreparowany identyfikator zdarzenia zawierający dowolny HTML lub JavaScript. Ten markup był renderowany w przeglądarce każdego użytkownika w organizacji gospodarza, który przegląda stronę ID Translator, umożliwiając przejęcie sesji, kradzież poświadczeń lub inne ataki po stronie klienta. Warunki: ofiara musi być uwierzytelnionym użytkownikiem instancji MISP gospodarza, połączony serwer musi być skonfigurowany na instancji gospodarza, a ofiara musi nawigować do strony ID Translator dla danego zdarzenia. Dotyczy wersji <2.5.48.

MISP zawiera podatność na przechowywane cross-site scripting (XSS) w renderowaniu tabeli indeksu podglądu zdarzeń zdalnych. Szablon pola count escapował powiązany URL linku, ale renderował wartość pola bez kodowania HTML. Atakujący z możliwością tworzenia lub modyfikowania zdarzeń na połączonym (zdalnym) serwerze MISP mógł spreparować identyfikator zdarzenia zawierający HTML lub JavaScript. Gdy użytkownik na lokalnej instancji MISP przegląda indeks podglądu zdarzeń zdalnych, nieescapowana wartość jest renderowana bezpośrednio w przeglądarce, umożliwiając wykonanie dowolnego skryptu w sesji ofiary. Warunki: skonfigurowany i połączony zdalny serwer MISP, atakujący ma wystarczający dostęp na połączonym serwerze do tworzenia lub modyfikowania zdarzenia ze spreparowanym identyfikatorem, a ofiara na lokalnej instancji przegląda stronę indeksu podglądu zdarzeń zdalnych. Wpływ: wykonanie dowolnego JavaScriptu w kontekście aplikacji webowej MISP, potencjalne przejęcie sesji, eksfiltracja danych lub nieautoryzowane działania w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.

PostCSS Selector Parser przed wersją 7.1.6 ma problem z wydajnością — parsowanie złośliwego selektora CSS może być kwadratowe, co pozwala na zablokowanie wątku parsera. Problem dotyczy tylko przypadków, gdy niezaufane selektory są parsowane synchronicznie w ścieżce żądań.

uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.

Przepełnienie liczby całkowitej w Skia w Google Chrome przed wersją 154.0.8037.97 pozwoliło zdalnemu atakującemu na wyciek danych między pochodzeniem (cross-origin) za pomocą spreparowanej strony HTML. (Poziom ważności Chromium: Wysoki)

Podatność typu information leak w komponencie SVG w Google Chrome przed wersją 154.0.8037.97. Zdalny atakujący mógł uzyskać dostęp do poufnych informacji za pomocą spreparowanej strony HTML.

Podatność typu integer overflow w komponencie Compositing w Google Chrome przed wersją 154.0.8037.97. Zdalny atakujący mógł wyciekać dane cross-origin za pomocą spreparowanej strony HTML.

Produkt TurkHotspot firmy MRV Technology Foreign Trade Ltd. Co. zawiera podatność Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 2026-10-02. Producent został poinformowany, ale produkt nie jest już wspierany.

Podatność polegająca na braku autoryzacji w wtyczce LearnPress dla WordPressa, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność typu Open Redirect w wtyczce Aculect AI Companion firmy Mehul Gohil pozwala na przekierowanie użytkownika do niezaufanej witryny. Problem dotyczy wersji od n/a do 0.8.2 i może być wykorzystany do ataków phishingowych.

PublishPress Series (wtyczka WordPress) do wersji 3.1.3 ma podatność na obejście autoryzacji przez kontrolowany przez użytkownika klucz, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

WebSamurai (wtyczka WordPress) do wersji 1.0.7 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Airano MCP Bridge (wtyczka WordPress) do wersji 2.11.0 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Smart One Click Setup – Complete Demo Import & Export (wtyczka WordPress) do wersji 1.4.3 ma podatność na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych.

onetwothreeneth HospitalManagementSystem (do wersji 9ef91ed6007314b6473110ed699dff76d158f61d) ma podatność w pliku php/sessions.php, gdzie manipulacja argumentem ID prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zdalny i został publicznie ujawniony.

W systemie CodeAstro Simple Loan Management System 1.0 odkryto podatność SQL injection w pliku /admin/index.php, dotyczącą argumentu g_name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność typu path traversal w module logback-classic (Java) pozwala na zapisywanie plików logów poza zamierzonym katalogiem, gdy wartość dyskryminatora MDC (np. z nagłówka HTTP) jest niesanityzowana i trafia do ścieżki FileAppender. Dotyczy wersji od 0.9.14 do 1.6.4.

W systemie CodeAstro Simple Pharmacy Management System 1.0 odkryto podatność SQL injection w pliku /SimplePharmacy-PHP/product/delete.php, dotyczącą argumentu ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.