Katalog podatności CVE

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 przekazuje potencjalnie niebezpieczną zawartość do ImageMagick podczas zmiany rozmiaru obrazów. Formaty SVG i EPS były akceptowane jako prawidłowe typy obrazów przy przesyłaniu zdjęć kontaktów i mogą odwoływać się do zewnętrznych zasobów oraz wywoływać delegaty ImageMagick.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność wstrzyknięcia nagłówków poczty w akcji Bounce (resend). rcube_mime::decode_address_list() nie usuwał znaków kontrolnych z zdekodowanej nazwy wyświetlanej, więc wiadomość, której nazwa wyświetlana w polu From zawiera sekwencje CRLF w encoded word, mogła wstrzyknąć dowolne nagłówki do wiadomości emitowanej przy odbiciu.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie nagłówków wiadomości e-mail. Funkcja rcmail_sendmail usuwała znaki nowej linii tylko z nagłówków Subject i Organization, pozostawiając inne wartości nagłówków pobierane z parametrów żądania bez sanityzacji, co pozwala uwierzytelnionemu zdalnie atakującemu wstrzyknąć dowolne nagłówki do wychodzącej wiadomości poprzez parametry References, In-Reply-To, Message-ID i From.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera prymityw wstrzykiwania obiektów w rcube_session::unserialize(). Klucz sesji z prefiksem „!” był traktowany jako pozbawiony wartości, a rekonstruowany ciąg serializowany był emitowany z kluczem bez odpowiadającej wartości, co desynchronizowało resztę danych wejściowych i powodowało interpretację kolejnych danych sesji jako wartości serializowanej. Daje to atakującemu mogącemu wpływać na przechowywane dane sesji prymityw wstrzykiwania obiektów PHP.

W Roundcube Webmail przed 1.6.20 oraz w gałęzi 1.7.x przed 1.7.5 można obejść limity zasobów ImageMagick podczas generowania miniatur. Gdy rcube_image przechodzi na GD, sprawdzanie dostępnej pamięci było stosowane tylko na Windows, więc na innych platformach spreparowany obraz o dużych wymiarach był przetwarzany przez GD bez limitu zasobów i mógł wyczerpać pamięć serwera. Poprawka stosuje sprawdzanie pamięci na wszystkich platformach.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera obejście ograniczania zakresu CSS w wiadomościach HTML. Funkcja rcube_utils::mod_css_styles() nie traktowała prologu reguły @layer jako granicy selektora, przez co selektory po regule @-rule nie były ograniczane do treści wiadomości i mogły stylizować cały interfejs.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 pozwala na obejście ustawienia konfiguracyjnego disabled_actions. Sprawdzenie porównywało jedynie nazwę akcji z żądania, więc zdalny uwierzytelniony atakujący mógł wywołać akcję z listy disabled_actions, żądając jej przez przestarzały alias. Poprawka przenosi sprawdzenie do rcmail::action_handler() i rozwiązuje aliasy przed porównaniem.

Roundcube Webmail przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie poleceń IMAP. Zdalny uwierzytelniony atakujący może wykorzystać sekwencje CRLF wstrzyknięte do parametru _flag akcji mail/mark, aby wykonać dowolne polecenia IMAP.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na obejście walidacji CSRF w akcji oznaczania jako spam w pluginie markasjunk. Plugin odczytywał parametr _uid z danych POST, ale przekazywał go do rcmail::get_uids() bez ograniczenia trybu wejścia, więc wartości ponownie odczytane w tej funkcji mogły pochodzić z ciągu zapytania, a akcja została wykonana bez ważnego tokenu CSRF. Poprawka przekazuje jawnie rcube_utils::INPUT_POST.

Roundcube Webmail przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na cross-site scripting w pluginie password. Tekst błędu zwracany przez sterownik hasła był wstawiany do komunikatu bez escapowania HTML, więc backend mogący wpłynąć na ten tekst (np. DirectAdmin API) mógł wstrzyknąć skrypt do interfejsu Roundcube.

W Roundcube Webmail przed wersją 1.6.20 oraz 1.7.x przed 1.7.5 występuje podatność wstrzyknięcia nagłówków poczty podczas przekazywania wiadomości jako załącznika. Temat przekazywanej wiadomości był używany dosłownie do generowania nazwy załącznika, więc odebrana wiadomość z sekwencjami CRLF w temacie mogła wstrzyknąć dowolne nagłówki części MIME do wychodzącej wiadomości.

Roundcube Webmail w wersjach przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie nagłówka wiadomości e-mail. Funkcja rcmail_sendmail::extract_inline_images() używała typu MIME pobranego z URI danych obrazu wbudowanego bez jego walidacji, więc zdalny uwierzytelniony atakujący mógł wstrzyknąć dowolne nagłówki części MIME do wychodzącej wiadomości, umieszczając sekwencje CRLF w tym typie MIME. Poprawka upstream waliduje typ MIME za pomocą rcube_mime::is_mimetype_valid().

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność nieprawidłowej autoryzacji w sterowniku Modoboa pluginu password. Sterownik brał pierwszy wpis wyniku wyszukiwania kont zwróconego przez API Modoboa zamiast dopasować uwierzytelnionego użytkownika, więc zmiana hasła mogła zostać zastosowana do innego konta.

Frappe Framework przed wersją 16.33.0 zawiera podatność blind SQL injection w metodzie frappe.desk.doctype.event.event.get_events, która nie neutralizuje poprawnie danych wejściowych użytkownika przed umieszczeniem ich w zapytaniach SQL. Uwierzytelnieni atakujący mogą wysyłać spreparowane dane do get_events i wnioskować o wynikach zapytań na podstawie zachowania aplikacji, aby wyodrębnić poufne informacje z bazy danych.

Vyper w wersjach od 0.4.0b1 do 0.5.0b1 błędnie kompiluje stałe, których nie można rozwinąć, oraz pominięte argumenty domyślne z importowanych modułów, ponieważ parse_Name rozwiązuje ich nazwy w zakresie funkcji używającej, a nie w miejscu deklaracji. Gdy parametr, zmienna lokalna lub zmienna pętli kontraktu dzieli taką nazwę, dane wejściowe pod wpływem atakującego mogą zastąpić zamierzoną wartość, w tym wartości poza zakresem dla wąskich typów, takich jak uint8, psując logikę walidacji lub księgowania.

Obot przed wersją 0.26.0 zawiera podatność obejścia uwierzytelniania w przepływie logowania CLI, która pozwala nieuwierzytelnionym atakującym ukraść klucze API poprzez wybór identyfikatorów żądań tokenów. Atakujący może utworzyć żądanie tokenu przez POST /api/token-request, wysłać link logowania zalogowanemu użytkownikowi i pobrać wynikowy nie wygasający klucz API, aby przejąć konto ofiary.

OpenRemote w wersjach od 1.2.0 do 1.31.0 zawiera lukę braku autoryzacji w GatewayServiceResource, która pozwala każdemu uwierzytelnionemu użytkownikowi na uruchamianie, zatrzymywanie i odpytywanie tuneli bramy bez roli administracyjnej. Atakujący może wysyłać żądania POST lub DELETE do punktu końcowego tunelu bramy, aby otworzyć trwałe dwukierunkowe obwody TCP do sieci bramy brzegowej lub zniszczyć tunele operatora.

Grav od wersji 2.0.0 przed 2.2.5 zawiera lukę w kontroli dostępu w FlexDirectory::dynamicFlexField(), która pozwala autorom stron wywoływać dowolne metody obiektów Flex poprzez dyrektywy flex-*@ w frontmatterze strony. Gdy użytkownik z prawem edycji strony otwiera stronę, dyrektywy wywołujące setStorageKey() i delete() wykonują się w jego sesji, usuwając chronione strony, których żadne z kont nie może usunąć.

Wtyczka Grav Flex Objects 1.4.0 przed 1.4.17 zawiera obejście autoryzacji, ponieważ ogólne trasy API /api/v1/flex-objects/pages sprawdzają tylko uprawnienia admin.pages na poziomie katalogu, nie egzekwując uprawnień api.pages.read/write ani reguł na poziomie strony. Uwierzytelnieni użytkownicy niebędący superadministratorami mogą czytać źródła stron, modyfikować treść lub usuwać strony, do których nie mają uprawnień.

Wtyczka Grav Login od 3.6.0 przed 3.9.13 zawiera lukę braku autoryzacji w zadaniu login.invite, która pozwala autorom stron na uzyskanie kont superużytkownika. Atakujący może zdefiniować w frontmatter strony formularz zaproszenia przyznający uprawnienia super, przesłać go bez uwierzytelnienia i zarejestrować zaproszony adres z pełną kontrolą nad witryną.