Katalog podatności CVE

Wtyczka Mentoring dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 1.2.8 włącznie. Problem wynika z niewłaściwego ograniczenia ról, które użytkownicy mogą rejestrować w funkcji mentoring_process_registration().

Wtyczka MoreConvert Pro dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.9.14. Problem wynika z braku unieważnienia lub regeneracji tokenów weryfikacyjnych, gdy zmienia się adres e-mail klienta.

Nginx UI, interfejs webowy dla serwera Nginx, przed wersją 2.3.8, udostępniał punkt końcowy przywracania kopii zapasowej (POST /api/restore), który był całkowicie nieautoryzowany przez pierwsze 10 minut po uruchomieniu procesu na świeżej instalacji. Nieautoryzowany zdalny atakujący mógł przesłać spreparowaną archiwum kopii zapasowej, co prowadziło do nadpisania pliku konfiguracyjnego aplikacji oraz bazy danych SQLite.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzykiwanie poleceń systemowych w binarnym pliku firewall.cgi, wynikającą z niewystarczającej walidacji danych wejściowych. Atakujący mogą wstrzykiwać dowolne polecenia powłoki przez podatne parametry, co prowadzi do ich trwałego przechowywania w NVRAM.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzyknięcie poleceń systemowych w funkcji reboot_time binarnego pliku adm.cgi. Umożliwia to nieautoryzowanym atakującym zdalne wykonywanie dowolnych poleceń powłoki poprzez wstrzyknięcie złośliwego wejścia do parametru POST reboot_time.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzykiwanie poleceń systemowych w binarnym pliku makeRequest.cgi. Umożliwia to nieautoryzowanym atakującym zdalne wykonanie dowolnych poleceń powłoki poprzez wstrzykiwanie złośliwego wejścia w funkcje set_time lub StartSniffer.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzykiwanie poleceń systemowych w binarnym pliku internet.cgi, co pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń powłoki poprzez wstrzykiwanie złośliwego wejścia do parametru POST bramy.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzyknięcie poleceń systemowych w binarnym pliku wireless.cgi, co pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń powłoki poprzez wstrzykiwanie złośliwego wejścia w parametrach POST sz11gChannel lub PIN. Atakujący mogą wykorzystać nieprawidłowe przetwarzanie parametrów w funkcjach set_wifi_basic i set_wifi_do_wps do zdalnego wykonania kodu bez autoryzacji.

n8n to platforma automatyzacji procesów, która przed wersjami 1.123.32, 2.17.4 i 2.18.1 była podatna na atak nieautoryzowanego użytkownika, który mógł zarejestrować złośliwego klienta OAuth. Po autoryzacji przez ofiarę, złośliwy skrypt mógł zostać wykonany w sesji przeglądarki ofiary.

Arelle w wersjach przed 2.39.10 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia w punkcie końcowym /rest/configure, który akceptuje parametr zapytania plugins. Atakujący mogą dostarczyć URL do złośliwego pliku Python, co prowadzi do pobrania i wykonania kodu kontrolowanego przez atakującego.

OpenC3 COSMOS przed wersją 7.0.0-rc3 umożliwia użytkownikom wykonywanie skryptów Python i Ruby z kontenera openc3-COSMOS-script-runner-api. Umożliwia to obejście kontroli uprawnień API i wykonywanie działań administracyjnych, w tym modyfikację danych w bazie Redis.

W wersjach od 6.7.0 do przed 7.0.0-rc3 w komponencie bazy danych czasowych (TSDB) OpenC3 COSMOS występuje podatność na wstrzykiwanie SQL. Funkcja tsdb_lookup w pliku cvt_model.rb bez sanitizacji wprowadza dane użytkownika do zapytania SQL, co pozwala na wykonanie dowolnych poleceń SQL.

Aplikacja do robienia notatek Note Mark w wersji 0.19.2 ma lukę, w której funkcja IsPasswordMatch w backendzie używa twardo zakodowanego hasła bcrypt("null") dla użytkowników bez zapisanych haseł. Użytkownicy zarejestrowani w OIDC są tworzeni z pustym hasłem, co pozwala na uzyskanie ważnej sesji przez przesłanie hasła: "null" do wewnętrznego punktu końcowego logowania.

W Apache Polaris istnieje luka w zabezpieczeniach, która pozwala użytkownikowi mogącemu zmieniać ustawienia tabeli na ominięcie weryfikacji lokalizacji przechowywania podczas zapisu metadanych. Zmiana właściwości `write.metadata.path` przez `ALTER TABLE` omija gałąź walidacji commit-time, co może prowadzić do zapisu metadanych w lokalizacji wybranej przez atakującego, a następnie do wycieku danych lub ich modyfikacji poprzez późniejsze wydawanie poświadczeń dostępu do magazynu.

Apache Polaris generuje krótkotrwałe poświadczenia GCS z ograniczeniem ścieżki (CEL) budowanym bez escapowania identyfikatora namespace lub tabeli. Złośliwy identyfikator zawierający apostrof i fragmenty CEL pozwala złamać warunek i rozszerzyć uprawnienia poświadczeń na cały skonfigurowany bucket. Potwierdzono to w testach na Polaris 1.4.0 z prawdziwym Google Cloud Storage.

Apache Polaris akceptuje znaki `*` w nazwach przestrzeni nazw i tabel, a następnie używa ich bez escapowania w politykach IAM S3 oraz warunkach `s3:prefix`. Ponieważ w dopasowywaniu polityk S3 `*` jest traktowany jako wildcard, tymczasowe poświadczenia wydane dla spreparowanej tabeli (np. `f*.t1`, `*.*`) mogą dawać dostęp do ścieżek S3 innych tabel. Potwierdzono odczyt metadanych, listowanie prefiksu oraz tworzenie i usuwanie obiektów w lokalizacji innej tabeli.

Apache Polaris podczas tworzenia tabeli w trybie staged wydaje szerokie tymczasowe poświadczenia do magazynu (vended credentials), zanim lokalizacja tabeli zostanie zweryfikowana lub trwale zarezerwowana. Atakujący może wskazać własną lokalizację (pole location lub write.data.path/write.metadata.path), przez co zakres poświadczeń staje się kontrolowany przez atakującego.

D-Link DIR-456U w wersji sprzętowej A1 zawiera twardo zakodowane tylne wejście telnet. Urządzenie uruchamia demona telnet przy starcie, co pozwala na dostęp do powłoki root z pełną kontrolą administracyjną.

D-Link DIR-600L w wersji sprzętowej A1 zawiera wbudowane tylne wejście telnet. Urządzenie uruchamia demona telnet przy starcie z domyślną nazwą użytkownika 'Alphanetworks' oraz statycznym hasłem 'wrgn35_dlwbr_dir600l'.

D-Link DIR-600L w wersji sprzętowej B1 zawiera wbudowane tylne wejście telnet. Urządzenie uruchamia demona telnet przy starcie z wbudowanym użytkownikiem 'Alphanetworks' i statycznym hasłem 'wrgn61_dlwbr_dir600L'.