Katalog podatności CVE

Hugo w wersjach od v0.161.0 do v0.165.0 uruchamia narzędzia Node.js (css.PostCSS, css.TailwindCSS, js.Babel) w modelu uprawnień Node.js, aby ograniczyć odczyt systemu plików do katalogu projektu i skonfigurowanych montowań. Ponieważ model uprawnień Node.js waliduje tylko ścieżkę leksykalną i podąża za dowiązaniami symbolicznymi wskazującymi poza dozwolony zbiór, Hugo nie wykrywał dowiązań symbolicznych wychodzących z piaskownicy. Atakujący mogący wnosić treść do projektu Hugo może zatwierdzić dowiązanie symboliczne, takie jak assets/css/x.css -> /etc/passwd, wraz z pluginem PostCSS, który je odczytuje, umożliwiając ujawnienie dowolnego pliku czytelnego przez proces budowania Hugo i potencjalne osadzenie go w opublikowanej witrynie. Dotyczy to kompilacji używających domyślnej konfiguracji bezpieczeństwa; projekty, które nie wywołują narzędzi Node.js, nie są dotknięte. Naprawiono w v0.166.0, który skanuje dozwolone ścieżki i przerywa kompilację, gdy dowiązanie symboliczne wskazuje poza nie.

Budibase w wersjach przed 3.45.0 nie weryfikuje autoryzacji na poziomie aplikacji w punkcie końcowym POST /api/global/groups/:groupId/apps, umożliwiając builderom przypisywanie ról aplikacji poza granicami obszaru roboczego. Builder jednego obszaru roboczego może wykorzystać brak sprawdzania autoryzacji na poziomie aplikacji, aby przyznać sobie role administratora w innych obszarach roboczych poprzez modyfikację mapowań ról grup użytkowników.

Budibase przed wersją 3.45.0 nieprawidłowo ogranicza zakres endpointu GET /api/chat-links do workspace'u, co pozwala builderom wyliczać rekordy powiązań tożsamości czatu we wszystkich workspace'ach w tenancie. Atakujący z dostępem builder do jednego workspace'u może odczytać wrażliwe dane powiązań tożsamości czatu, w tym identyfikatory użytkowników i zewnętrzne identyfikatory usług czatu z innych workspace'ów, do których nie ma uprawnień.

Budibase w wersjach od 3.41.0 do 3.45.0 zawiera obejście uwierzytelniania w ścieżce logowania OIDC/SSO w @budibase/server. Gdy żaden istniejący użytkownik nie pasuje do przychodzącego podmiotu SSO, serwer wyszukuje oczekujące zaproszenia użytkowników wyłącznie po adresie e-mail potwierdzonym przez IdP — bez weryfikacji kodu zaproszenia i bez sprawdzenia email_verified. Atakujący mogący zarejestrować się w zaufanym IdP i podać zaproszony adres e-mail ofiary przejmuje oczekujące zaproszenie i dziedziczy wszystkie przyznane uprawnienia, w tym builder i admin.global.

Budibase (@budibase/server) przed wersją 3.45.0 buduje DDL zmiany nazwy kolumn MySQL i MSSQL w packages/backend-core/src/sql/sqlTable.ts, interpolując identyfikatory bezpośrednio do surowego zapytania bez użycia helperów quoteMySqlIdentifier / quoteSqlServerIdentifier. Atakujący z uprawnieniami DDL na podłączonym źródle danych MySQL/MSSQL może utworzyć kolumnę zawierającą backtick lub apostrof oraz dodatkowy SQL; gdy builder zmieni nazwę tej kolumny przez UI, wstrzyknięty SQL zostanie wykonany.

Budibase Server przed wersją 3.45.0 zawiera podatność na dowolny zapis plików w endpointcie przesyłania ikon PWA, który rozpakowuje dostarczone przez użytkownika archiwa ZIP bez odpowiedniej walidacji dowiązań symbolicznych. Atakujący z rolą BUILDER może stworzyć złośliwy ZIP z dowiązaniami symbolicznymi i zduplikowanymi wpisami plików, aby zapisać dowolne pliki jako root.

Budibase w wersjach przed 3.45.0 nie wyłącza rozwiązywania zewnętrznych referencji JSON w walidatorze importu OpenAPI/Swagger, co pozwala uwierzytelnionym builderom odczytywać dowolne pliki lokalne. Atakujący z dostępem builder może osadzić referencje file:// w specyfikacjach OpenAPI przesyłanych do endpointu importu, aby eksfiltrować wrażliwe pliki, w tym zmienne środowiskowe zawierające sekrety JWT, klucze API i poświadczenia baz danych.

stoatchat przed wersją 0.15.5 nie weryfikuje, czy bilety MFA należą do uwierzytelnionego użytkownika, co pozwala atakującym obejść MFA, używając własnego ważnego biletu z tokenem sesji innego użytkownika. Atakujący może uzyskać bilet ze swojego konta i użyć go z tokenem sesji ofiary, aby wyłączyć TOTP, wyświetlić kody odzyskiwania lub wykonać inne wrażliwe operacje bez podawania poświadczeń ofiary.

January, usługa proxy/embed mediów stoatchat, przed wersją 0.15.5 nieprawidłowo rozwiązuje wartości SVG <image href> jako lokalne ścieżki systemu plików, gdy pobrany zasób jest serwowany jako image/svg+xml. Nieuwierzytelniony zdalny atakujący, który spowoduje, że usługa pośredniczy w hostowanym przez atakującego SVG, może ustalić istnienie plików lokalnych na podstawie różnic w czasie odpowiedzi oraz ujawnić obsługiwane lokalne pliki obrazów po ponownym kodowaniu.

Wtyczka Grav Data Manager w wersjach od 1.0.1 do 1.4.4 renderuje przechowywane wpisy danych w widoku szczegółów elementu bez escapowania, stosując filtr Twig `raw`. Nieuwierzytelniony odwiedzający, który wyśle formularz front-endowy, którego zgłoszenia są zapisywane w user/data, może zapisać ładunek HTML, który wykona się jako JavaScript w sesji i origin administratora, gdy ten otworzy wpis w klasycznym panelu administracyjnym.

Wtyczka Comments dla Grav CMS do wersji 1.2.10 rejestruje handler administracyjny, który zwraca dane komentarzy jako JSON bez sprawdzenia uwierzytelnienia. Handler opiera się na isAdmin(), co wskazuje jedynie, że usługa administracyjna jest zarejestrowana na bieżącej trasie, a nie że odwiedzający jest uwierzytelniony. Na stronie z klasyczną wtyczką Admin i włączoną wtyczką Comments nieuwierzytelniony zdalny atakujący może zażądać /admin/comments/page:<n> i pobrać wszystkie komentarze z ostatnich 7 dni, w tym adresy e-mail komentujących i bezwzględną ścieżkę systemu plików do pliku danych.

Grav to flat-file CMS. W wersjach 2.0.19 do 2.0.24 — oraz w 2.0.0 do 2.0.18 i 1.7.x tylko tam, gdzie Twig treści został jawnie włączony — treść strony autorstwa użytkownika z uprawnieniem tylko do zapisu strony jest renderowana przez sandbox Twig, który zezwala na get_cookie(), zwracający dowolny cookie wysłany z bieżącym żądaniem, w tym cookie sesji odwiedzającego. Grav przechowuje gotowy wynik po Twig w cache treści strony kluczowanym tylko na tożsamości strony i sumie kontrolnej konfiguracji, bez wymiaru sesji, użytkownika czy żądania.

Grav CMS 2.0.14 do 2.0.24 zawiera podatność na eskalację uprawnień w blueprintach grup i kont. Klucze kropkowe, takie jak `access.admin.super`, omijają zabezpieczenia i pozwalają operatorowi z uprawnieniami admin.users na nadanie sobie pełnych uprawnień super-admina.

Grav przed wersją 2.0.25 zawiera przykładowe pliki konfiguracji serwera WWW, w których reguły blokowania dostępu są dopasowywane z uwzględnieniem wielkości liter. W pliku web.config (IIS) każda reguła deny ustawia ignoreCase="false", co pozwala ominąć zabezpieczenia przez zmianę wielkości liter w ścieżce lub rozszerzeniu pliku. Na systemach plików NTFS (niewrażliwych na wielkość liter) nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych, takich jak sekrety konfiguracyjne czy hashe haseł.

Netty HttpServerCodec do wersji 4.2.17.Final i 4.1.137.Final niepoprawnie paruje odpowiedzi z żądaniami przy pipeliningu HTTP/1.1 z nagłówkiem Expect: 100-continue, co prowadzi do rozdzielania odpowiedzi i niebezpiecznego ponownego użycia połączenia.

Netty w wersjach od 4.2.11.Final do 4.2.18.Final ma niekompletną weryfikację nazwy hosta w ścieżce certyfikacji QUIC przy użyciu zwykłego X509TrustManager, co pozwala atakującemu na przedstawienie certyfikatu dla niewłaściwej nazwy hosta.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.2.Final do 4.2.17.Final buduje pseudo-nagłówek :authority na podstawie nagłówka Host, ignorując nadrzędność authority z absolute-form request-target, co prowadzi do konfuzji autorytetu.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.2.Final do 4.2.17.Final nie obsługuje specjalnie metody CONNECT z formą authority-form, co prowadzi do tworzenia wadliwych żądań CONNECT w HTTP/3 z autorytetem kontrolowanym przez atakującego.

Kodek HTTP/3 w Netty (netty-codec-http3) od 4.2.0.Final do 4.2.17.Final zawiera podatność na niekontrolowane zużycie zasobów w dekoderze instrukcji strumienia QPACK, pozwalając atakującemu na zadeklarowanie ogromnej długości literału, co prowadzi do nieograniczonego wzrostu bufora i wyczerpania pamięci (OOM).

Dekoder prefiksowanych liczb całkowitych QPACK w Netty (netty-codec-http3) od 4.2.0.Final do 4.2.17.Final nie ogranicza liczby bajtów kontynuacji, co pozwala atakującemu na wywołanie wysokiego zużycia CPU (O(N^2)) i wzrostu pamięci, prowadząc do OOM i zagłodzenia event-loop.