Katalog podatności CVE

InvoicePlane, samodzielna aplikacja open source do zarządzania fakturami, klientami i płatnościami, w wersji 1.7.2 ma podatność umożliwiającą przejęcie konta głównego administratora. Wcześniejsza poprawka (PR #1638) zabezpieczała bezpośrednią zmianę hasła, ale nie chroni atrybutu user_email. Secondary administrator (user_type=1, user_id != 1) może edytować konto głównego administratora (user_id=1) i zmienić jego adres email, a następnie skorzystać z publicznego mechanizmu odzyskiwania hasła, aby otrzymać token resetujący i przejąć konto user_id=1.

LiteLLM zawiera lukę słabego uwierzytelniania, która pozwala atakującemu posiadającemu ważny JWT od skonfigurowanego dostawcy tożsamości na uwierzytelnienie się jako dowolny istniejący użytkownik poprzez wykorzystanie mechanizmu zapasowego wyszukiwania opartego na adresie e-mail w przepływie uwierzytelniania JWT, bez weryfikacji oświadczenia email_verified. Atakujący może przedstawić token z niezweryfikowanym adresem e-mail pasującym do konta ofiary, aby przejąć rolę ofiary, w tym uprawnienia proxy_admin, i trwale nadpisać powiązanie tożsamości ofiary, aby zachować stały nieautoryzowany dostęp do punktów końcowych administracyjnych ujawniających klucze API i zarządzanie użytkownikami.

Wtyczka ConvertPlus dla WordPressa jest podatna na deserializację niezaufanych danych we wszystkich wersjach do 3.6.3 włącznie, poprzez parametr style akcji AJAX cp_display_preview_modal. Podatność wynika z braku odpowiedniego zabezpieczenia nonce, braku kontroli uprawnień oraz niedostatecznego filtrowania danych, co pozwala uwierzytelnionemu atakującemu z dostępem na poziomie Subskrybenta na wstrzyknięcie obiektu PHP. Wpływ jest ograniczony, chyba że w systemie zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP.

W systemie Wind River VxWorks 7 przed wersją 26.09, określone argumenty wywołań systemowych mogą powodować uszkodzenie pamięci w podsystemie zarządzania pamięcią. Problem został naprawiony w wersji 26.09.

Podatność na przechodzenie po ścieżkach w obsłudze katalogu export/bin przez Flatpak podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na usunięcie wybranych przez atakującego plików poza katalogiem wdrożenia podczas instalacji lub aktualizacji aplikacji. W instalacjach systemowych usunięcie jest wykonywane z uprawnieniami roota.

W bibliotece moxygen przed commitem 004123dd24c3 funkcja MoQSession::dataStreamReadLoop nadal używa uchwytu odczytu strumienia po odczytaniu FIN, co unieważnia ten uchwyt w API WebTransport biblioteki proxygen. Zdalny peer może wywołać użycie nieaktualnego uchwytu, otwierając strumień danych, który wskazuje nieznany alias ścieżki i zawiera FIN w tym samym zapisie.

Znaleziono błąd w GCC. Gdy aplikacja wywołuje funkcję erase_if na kolejce priorytetowej typu binary heap w libstdc++, biblioteka ponownie alokuje pamięć, ale nie aktualizuje wewnętrznego wskaźnika wpisu. Atakujący, który może wywołać tę operację, może wykorzystać ten błąd use-after-free, prowadząc do odmowy usługi (DoS) poprzez awarię aplikacji lub potencjalne uszkodzenie pamięci.

FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.

Stringer to samodzielny, antyspołeczny czytnik RSS. Przed commit 75cb095 istnieje nieograniczona podatność na Server-Side Request Forgery (SSRF), która pozwala każdemu uwierzytelnionemu użytkownikowi zmusić serwer Stringer do wysyłania dowolnych żądań HTTP/HTTPS do sieci wewnętrznych, usług localhost i punktów końcowych metadanych chmury (np. AWS IMDS 169.254.169.254). Gdy włączona jest samodzielna rejestracja (Setting::UserSignup), nawet użytkownik z niskimi uprawnieniami może to wykorzystać do skanowania wewnętrznych usług lub kradzieży poświadczeń IAM w chmurze. Problem został naprawiony w commicie 75cb095.

Token Optimizer MCP mierzy oszczędności tokenów na agenta kodowania AI, optymalizuje kontekst i udostępnia lokalny graf wiedzy w czasie rzeczywistym dla 16 klientów CLI. Przed wersją 5.1.0 token-optimizer-mcp jest podatny na wstrzyknięcie poleceń systemu operacyjnego w narzędziu smart_user. Każdy klient MCP, który może wywołać narzędzie smart_user, może wykonywać dowolne polecenia powłoki przez argument username operacji get-user-info. Polecenia są wykonywane z uprawnieniami użytkownika uruchamiającego serwer token-optimizer-mcp. Problem został naprawiony w wersji 5.1.0.

FreePBX to open source IP PBX. Przed wersjami 16.0.40 i 17.0.7 istnieje krytyczna podatność na zdalne wykonanie kodu (RCE) w module superfecta z powodu niebezpiecznego dołączania dowolnych plików PHP, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP na serwerze z uprawnieniami użytkownika serwera WWW. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Podatność jest zakorzeniona w przypadkach options i save_options w module AJAX Superfecta. Kod dynamicznie dołącza pliki PHP z katalogu sources/ na podstawie danych dostarczonych przez użytkownika. Pozwala to atakującemu na wykonanie dowolnego kodu w połączeniu z tworzeniem dowolnych katalogów (np. przez moduł backup) i przesyłaniem plików ujawniających pełne ścieżki (np. przez moduł soundlang). Problem został naprawiony w wersjach 16.0.40 i 17.0.7.

FreePBX to open source IP PBX. Przed wersjami 16.0.72 i 17.0.7 istnieje krytyczna podatność w module kopii zapasowych FreePBX, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu na serwerze. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika, który ma wystarczające uprawnienia dostępu i/lub zapis do plików kopii zapasowych. Podatność jest spowodowana nieprawidłowym oczyszczaniem ścieżek w funkcji przywracania kopii zapasowych, co umożliwia atakującym przesyłanie złośliwych plików PHP do katalogu głównego WWW. Problem został naprawiony w wersjach 16.0.72 i 17.0.7.

FreePBX przed wersjami 16.0.10 i 17.0.5 zawiera krytyczną podatność w funkcji przesyłania i konwersji plików dźwiękowych, która pozwala uwierzytelnionemu atakującemu na zapis dowolnych plików, prowadzący do zdalnego wykonania kodu (RCE). Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Problem wynika z niedostatecznej sanityzacji ścieżek w procesie konwersji plików, umożliwiając ataki typu path traversal i umieszczenie złośliwych plików PHP w katalogu głównym serwera WWW.

FreePBX przed wersjami 16.0.39 i 17.0.7 pozwala użytkownikom uwierzytelnionym przez Panel Kontroli Użytkownika (UCP) na wykonywanie dowolnych poleceń na PBX jako użytkownik serwera WWW (zazwyczaj asterisk) przy użyciu specjalnie spreparowanych ciągów HTTP. Wymagany jest dostęp do UCP. Problem wynika z niedostatecznej sanityzacji niektórych parametrów URL używanych przez UCP, co pozwala na wykonanie binariów na serwerze poprzez staranne łączenie poleceń.

FreePBX przed wersjami 16.0.4 i 17.0.6 zawiera krytyczną wadę w module Music on Hold (MoH), która pozwala uwierzytelnionym atakującym na wykonywanie dowolnych poleceń systemowych z uprawnieniami usługi Asterisk. Wymagane jest konto administratora FreePBX. Przyczyną jest przyjmowanie parametru POST definiującego niestandardową aplikację Asterisk, która jest przechowywana w bazie danych bez sanityzacji, a następnie zapisywana bezpośrednio do pliku konfiguracyjnego musiconhold_additional.conf, co pozwala na wstrzyknięcie dowolnych poleceń.

Axios od wersji 0.28.0 do 0.34.0 oraz od 1.15.1 do 1.20.0 przetwarza dziedziczone opcje serializacji i właściwości odwiedzającego dostarczane przez zanieczyszczenie prototypu. Osobna wada zanieczyszczenia prototypu w tym samym procesie dostarcza dziedziczone wartości dots, indexes, metaTokens, maxDepth, visitor lub Blob przed serializacją obiektów. Dziedziczone opcje zmieniają nazewnictwo pól i interpretację danych, maxDepth może wymusić błąd żądania, Blob zmienia obsługę wartości, a zanieczyszczony visitor może wykonać kod, gdy atakujący ma już silniejszą zdolność wstrzyknięcia funkcji.

Axios od wersji 1.17.0 do 1.20.0 w adapterze fetch omija politykę przekierowań maxRedirects: 0. Żądanie Axios używające adaptera fetch z maxRedirects ustawionym na zero otrzymuje odpowiedź przekierowania, ale bazowa implementacja fetch podąża za przekierowaniem zamiast zwrócić odpowiedź bez zmian. Przekierowane żądanie może uzyskać dostęp do wewnętrznych odpowiedzi lub osiągnąć wewnętrzne punkty końcowe zmieniające stan, mimo że przekierowania są wyłączone.

Axios od wersji 1.15.0 do 1.20.0 w funkcji shouldBypassProxy stosuje kwadratowe wyrażenie regularne z kropkami na końcu do nazw hostów przekierowań. Gdy skonfigurowano HTTP_PROXY lub HTTPS_PROXY, NO_PROXY lub no_proxy nie jest puste, przekierowania są śledzone, a spreparowane przekierowanie Location zawiera wiele kropek po których następuje znak niebędący kropką, wyrażenie regularne może powodować kwadratowe cofanie się, blokując pętlę zdarzeń Node.js i powodując odmowę usługi.

Axios od wersji 1.15.2 do 1.20.0 w adapterze HTTP Node.js (lib/adapters/http.js) dostarcza opcje żądania bez własnej wartości createConnection. Osobna wada zanieczyszczenia prototypu w tym samym procesie umieszcza funkcję na Object.prototype.createConnection. Node.js rozwiązuje i wywołuje dziedziczoną fabrykę gniazd createConnection, pozwalając atakującemu kontrolować funkcję wyboru punktu końcowego transportu. Punkt końcowy atakującego może otrzymać nagłówki i treści żądań, w tym poświadczenia, i zwracać odpowiedzi kontrolowane przez atakującego, podczas gdy URL wydaje się legalny.