Katalog podatności CVE

Bytebase przed wersją 3.16.0 zawiera obejście autoryzacji w GetTaskRunLog, GetTaskRunSession i PreviewTaskRunRollback, które pozwala uwierzytelnionym użytkownikom uzyskać dostęp do uruchomień zadań innych projektów po UID. Atakujący z uprawnieniami w jednym projekcie może podać obce UID zadań lub uruchomień zadań, aby odczytać logi wykonania, szczegóły sesji bazy danych i SQL wycofania z innych projektów.

Bytebase przed wersją 3.16.0 zawiera obejście autoryzacji w handlerze UpdateIssueComment, które pozwala użytkownikom projektów o niskich uprawnieniach modyfikować komentarze w innych projektach poprzez podanie obcego UID komentarza. Atakujący z dowolną rolą w projekcie, w tym Project Viewer, może ustawić zgłoszenie własnego projektu jako rodzica i odwołać się do UID komentarza innego projektu, aby nadpisać komentarze, do których nie ma dostępu.

fzf w wersjach 0.36.0–0.74.5 zawiera podatność na wyczerpanie zasobów (złożoność kwadratowa) w maskActionContents, umożliwiającą lokalnym atakującym zablokowanie serwera HTTP --listen. Wielokrotne wysyłanie ciał POST o rozmiarze ~1 MB do nieuwierzytelnionego portu localhost blokuje jednowątkowy serwer na około 30 sekund.

W GNU patch wykryto lukę, która pozwala atakującemu na utworzenie dowolnego pliku poza zamierzonym katalogiem roboczym poprzez nakłonienie użytkownika lub zautomatyzowanego przepływu pracy do zastosowania specjalnie spreparowanego pliku patch. Z powodu braku walidacji podczas automatycznego odwracania patcha, bezwzględne ścieżki plików w nagłówkach patcha są akceptowane zamiast odrzucane. W konsekwencji narzędzie może tworzyć pliki w dowolnych lokalizacjach z uprawnieniami użytkownika wykonującego.

Goploy 1.18.0 przed wersją 1.18.1 zawiera podatność typu link following w endpointach /deploy/fileDiff i /deploy/fileCompare, która pozwala uwierzytelnionym członkom odczytywać dowolne pliki. Atakujący z prawem zapisu do repozytorium mogą zatwierdzić dowiązanie symboliczne wskazujące poza katalog projektu, aby odczytać konfigurację bazy danych i prywatne klucze SSH do wdrożeń.

Wtyczka Paid Member Subscriptions do WordPressa (do wersji 3.1.2) ma błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawniony dostęp do funkcji lub danych objętych subskrypcją.

Wtyczka WordPress Rootblox od CozyThemes w wersjach do 1.0.6 zawiera podatność niewłaściwej kontroli nazwy pliku w instrukcjach include/require w PHP (PHP Remote File Inclusion), co umożliwia lokalne włączenie pliku PHP (PHP Local File Inclusion).

Wtyczka Workreap Core firmy AmentoTech zawiera podatność na niewłaściwą neutralizację specjalnych elementów w poleceniach SQL (wstrzyknięcie SQL), która pozwala na ślepą iniekcję SQL. Problem dotyczy wersji Workreap Core od n/a przed 3.4.4.

Wtyczka Academist Core firmy Elated-Themes zawiera podatność na niewłaściwą kontrolę nazwy pliku w instrukcjach include/require w PHP (zdalne włączenie pliku PHP), która pozwala na lokalne włączenie pliku PHP. Problem dotyczy wersji Academist Core od n/a do 1.4.1.

Wtyczka ACF Extended zawiera podatność na niewłaściwą neutralizację danych wejściowych podczas generowania stron internetowych (cross-site scripting), która pozwala na trwałe XSS. Problem dotyczy wersji ACF Extended od n/a do 0.9.2.7.

W Goose wykryto lukę. Gdy funkcja integracji z terminalem jest włączona, aplikacja przechwytuje historię poleceń powłoki i wysyła ją dosłownie, bez sanityzacji, do skonfigurowanych punktów końcowych dostawcy dużego modelu językowego (LLM) podczas zapytań. Jeśli użytkownik wprowadzi w terminalu poufne dane, takie jak tokeny API, hasła lub zmienne środowiskowe zawierające sekrety, te nieocenzurowane informacje są przesyłane przez granice zaufania.

Weaver E-cology w wersjach 8.0, 9.0 i 10.0 przed 10.76 zawiera podatność na wstrzyknięcie SQL bez uwierzytelnienia w endpoincie /api/doc/out/more/list poprzez parametr elementmore z srcType=2. Atakujący mogą wstrzykiwać SQL przez pola doc_datefrom/doc_dateto i odczytywać wyniki przez /api/ec/dev/table/counts w celu wyciągnięcia informacji z bazy danych.

YouDataSum CPAS Audit Management System V4 zawiera podatność na path traversal umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez manipulację parametrem fileId. Atakujący mogą wysyłać żądania GET do /cpasm4/plugInManController/downPlugs z sekwencjami ../ w fileId, aby pobrać pliki systemowe, takie jak /etc/passwd.

Retool przed wersją 3.88.0 zawiera podatność na cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wykonanie skryptów poprzez proxy złośliwych plików SVG przez /api/imageProxy. Atakujący może podać w parametrze url plik SVG hostowany na własnym serwerze, który jest serwowany z domeny Retool bez Content Security Policy, wykonując JavaScript w sesjach ofiar.

i-Netsolution Readymade Unilevel Ecommerce MLM (build z 2024-03-15) zawiera podatność na wstrzyknięcie SQL umożliwiającą nieuwierzytelnionym atakującym manipulację zapytaniami do bazy poprzez parametr 'id'. Atakujący mogą wysyłać żądania GET do /product-details.php z payloadami boolean-based, stacked lub time-based SLEEP w 'id', aby wyciągnąć informacje z bazy danych.

Wtyczka WPML Multilingual CMS dla WordPressa przed wersją 4.6.1 zawiera podatność na odbity cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie skryptu poprzez spreparowany parametr wp_lang. Atakujący może nakłonić użytkowników do odwiedzenia /wp-login.php z wartością wp_lang wstrzykującą pole obrazu z zaciemnionym handlerem onfocus, aby wykonać JavaScript w przeglądarce ofiary.

Penta Security WAPPLES w wersjach 4.0.54.1, 5.0 i 6.0 zawiera podatność na path traversal, która pozwala uwierzytelnionym atakującym na pobranie dowolnych plików poprzez parametr name w /webapi/file/transfer. Atakujący może wysłać żądania GET z type=db_backup i sekwencjami ../ w parametrze name, aby odczytać pliki takie jak /etc/passwd, a hardcoded konto systemi sprawia, że uwierzytelnienie jest praktycznie trywialne.

Kavita 0.5.2 przed 0.5.4.1 zawiera podatność na path traversal umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez podanie sekwencji '../' w parametrze filename. Atakujący mogą wysyłać żądania GET do /api/image/cover-upload z wartościami filename takimi jak ../appsettings.json, aby pobrać pliki konfiguracyjne spoza katalogu tymczasowego.

PHPOK 4.5.000 przed 5.4.081 zawiera podatność na wstrzyknięcie SQL umożliwiającą nieuwierzytelnionym atakującym manipulację klauzulami ORDER BY poprzez parametr sort. Atakujący mogą wysyłać żądania GET do /api.php?c=project&f=index z payloadami extractvalue w sort, aby wyciągnąć informacje z bazy danych poprzez komunikaty błędów.

YiShaAdmin w wersjach 2.2–3.1 (naprawione w commicie 025b062) zawiera nieuwierzytelnioną podatność path traversal w endpoincie /admin/File/DownloadFile, pozwalającą atakującym czytać i usuwać dowolne pliki przez parametr filePath. Atakujący mogą wysyłać spreparowane żądania GET z sekwencjami przejścia katalogów i ustawionym parametrem delete, aby odczytać lub usunąć pliki systemowe, takie jak etc/passwd.