Katalog podatności CVE

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce User Submitted Posts, umożliwiająca atak Stored XSS. Dotyczy wersji od n/a do 20260810.

OpenSave przed wersją 2.4.0-beta.1 nie weryfikuje tożsamości nadawcy w żądaniach przekaźnika WAN, co pozwala nieparowanym członkom pokoju na podszywanie się pod sparowane urządzenia poprzez fałszowanie pola From w RelayMessage. Atakujący, którzy znają kod pokoju, mogą dołączyć, odczytać identyfikatory sparowanych urządzeń z ogłoszeń i wysyłać sfałszowane żądania do chronionych tras synchronizacji, w tym danych zapisu, migawek i operacji na plikach.

bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.

MISP zawiera podatność na trwały skrypt XSS w obsłudze ikon galaktyk. Pole ikony obiektu galaktyki jest zapisywane bez walidacji po stronie serwera, a następnie bezpośrednio wstawiane do kodu HTML przez skrypty renderujące graf korelacji. Użytkownik z uprawnieniami perm_galaxy_editor może zapisać dowolny kod HTML lub JavaScript, który wykona się w przeglądarce innego użytkownika otwierającego graf korelacji.

MISP renderuje pole źródła klastra galaktyki jako klikalny link, jeśli wartość przechodzi walidację FILTER_VALIDATE_URL, która akceptuje schemat javascript:. Użytkownik z uprawnieniami edytora galaktyk może zapisać adres javascript: jako źródło klastra, a po kliknięciu przez inną osobę skrypt wykona się w jej przeglądarce.

LightLLM do wersji 1.2.0 nie waliduje parametrów image_url i audio_url w punktach końcowych multimodalnych, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SSRF. Mogą oni podać dowolne adresy URL do pobierania zasobów wewnętrznych, a przetwarzanie przez model wizyjny może ujawnić zawartość lub błędy odpowiedzi.

GPAC do wersji 26.07.0 ma podatność na przepełnienie bufora w funkcji gf_dash_resolve_url w pliku src/media_tools/dash_client.c w komponencie DASH Client. Atak może być przeprowadzony zdalnie. Zalecane jest zaktualizowanie do wersji abi-16.26 lub zastosowanie poprawki.

W Artifex Ghostscript do wersji 10.07.0 wykryto podatność w funkcji type1_callsubr w pliku devices/vector/gdevpsfx.c komponentu Pdfwrite. Manipulacja danymi prowadzi do przepełnienia bufora na stosie, a zdalne wykorzystanie podatności jest możliwe. Exploit jest publicznie dostępny i może być użyty.

Blosc C-Blosc2 do wersji 3.3.2 ma podatność na przepełnienie liczby całkowitej w funkcji blosclz_decompress w pliku blosc/blosclz.c w komponencie blosclz Decompression. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Zalecane jest zaktualizowanie do wersji 3.3.3.

Astro od wersji 5.2.0 do 8.2.4 ma podatność w adapterze @astrojs/netlify, która generuje wyrażenia regularne dla list dozwolonych obrazów Netlify Image CDN bez zakotwiczenia ich do początku URL. Pozwala to atakującemu kontrolować host URL, podczas gdy dozwolony origin pojawia się tylko w ścieżce lub zapytaniu. Nieuwierzytelnione żądanie do publicznego punktu /.netlify/images może spowodować, że Image CDN pobierze adresy URL wybrane przez atakującego, potencjalnie docierając do usług wewnętrznych. Problem naprawiono w wersji 8.2.4.

Brak kontroli autoryzacji w komponencie Vaadin Spreadsheet pozwala uwierzytelnionemu użytkownikowi aplikacji wyświetlającej arkusz kalkulacyjny dodawać lub zastępować komentarze w komórkach na chronionym arkuszu, w tym w komórkach zablokowanych. Zapis komentarza do nieistniejącej komórki powoduje również utworzenie wiersza i komórki.

W bibliotekach Vaadin Charts oraz Vaadin Component Base występuje podatność prototype pollution w mechanizmach głębokiego scalania obiektów (deep merge). Wstrzyknięcie niezaufanego obiektu do konfiguracji wykresu lub właściwości i18n komponentu powoduje zapis właściwości na Object.prototype, przez co stają się one widoczne dla wszystkich obiektów w działającej aplikacji.

GraphicsMagick do wersji 1.3.47 ma podatność na niekontrolowaną rekurencję w funkcji ExtractPostscript w pliku coders/wpg.c w komponencie WPG File Handler. Atak może być przeprowadzony zdalnie. Zalecane jest zainstalowanie poprawki o nazwie 627b5b1b2fc2.

Wtyczka MPG w wersjach do 4.2.3 włącznie pozwala nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych. Brak wymaganego uwierzytelnienia umożliwia ujawnienie poufnych informacji.

Wtyczka Cool Formkit Lite w wersjach do 2.7.8 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Razorpay Payment Links for WooCommerce w wersjach do 2.1.5 włącznie jest podatna na Cross Site Request Forgery (CSRF) bez wymaganego uwierzytelnienia. Nieuwierzytelniony atakujący może wymusić na ofierze wykonanie niechcianych akcji.

Wtyczka King Addons for Elementor w wersjach do 51.1.86 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka YITH WooCommerce Tab Manager w wersjach do 2.15.0 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Author. Pozwala to na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka OAuth Server w wersjach do 4.5.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.