Katalog podatności CVE

W Trudesk do wersji 1.2.11 w funkcji accountsController.uploadImage występuje path traversal i obejście autoryzacji, umożliwiające uwierzytelnionym użytkownikom nadpisywanie awatarów innych użytkowników poprzez pola _id i username. Atakujący mogą podać nazwę użytkownika taką jak /../../../x, aby obejść niekompletną sanityzację z CVE-2022-1752 i zapisać pliki png, jpg, jpeg lub gif poza public/uploads/users.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia wyrażeń regularnych, która pozwala nieuwierzytelnionym atakującym na enumerację nazw użytkowników poprzez wysyłanie wzorców regex do POST /api/v1/login. Atakujący może rozróżnić odpowiedzi 'Invalid User' i 'Invalid Password', aby odkryć prawidłowe konta.

Trudesk do wersji 1.2.11 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym pobierać prywatne załączniki zgłoszeń z katalogu /uploads. Ponieważ express.static udostępnia katalog public/ przed chronionym przez hasAuth punktem montowania /uploads, atakujący znający lub zgadujący ObjectId zgłoszenia i nazwę pliku może pobrać poufne załączniki.

Trudesk do wersji 1.2.11 zawiera podatność path traversal, która pozwala administratorom usuwać dowolne pliki poprzez podanie zakodowanych sekwencji przejścia katalogów do DELETE /api/v1/backup/:backup. Atakujący mogą również przekazać niezwalidowane wartości plików do POST /api/v1/backup/restore, aby przywracać archiwa z lub rozpakowywać je do ścieżek poza zamierzonymi katalogami.

Trudesk do wersji 1.2.11 zawiera podatność nieograniczonego przesyłania plików, która pozwala każdemu uwierzytelnionemu użytkownikowi umieszczać pliki HTML lub SVG w publicznym katalogu webroot poprzez endpointy uploadlogo, uploadpagelogo i uploadfavicon. Atakujący mogą podszyć się pod typ MIME obrazu, aby przesłać pliki zawierające skrypty, serwowane bez uwierzytelnienia z /assets/.

Trudesk w wersji do 1.2.11 zawiera podatność polegającą na braku uwierzytelniania w trasach debugowania, które są aktywne, gdy zmienna NODE_ENV nie jest ustawiona. Nieuwierzytelniony atakujący może zdalnie wywołać te trasy, w tym /debug/populatedb, co pozwala usunąć wszystkie grupy, tagi i zgłoszenia, a następnie zalogować się na wbudowane konta przy użyciu hasła 'password'.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia kodu JavaScript po stronie serwera, która pozwala uwierzytelnionym użytkownikom na wstrzyknięcie kodu do klauzuli $where MongoDB poprzez parametr wyszukiwania. Atakujący mogą zamknąć wyrażenie regularne w GET /api/v1/tickets/search, aby zapętlić mongod w celu odmowy usługi lub wycieku pełnych dokumentów zgłoszeń, w tym notatek wewnętrznych.

W Trudesk do wersji 1.2.11 w apiMessages.send występuje obejście autoryzacji, umożliwiające uwierzytelnionym użytkownikom publikowanie wiadomości jako inni użytkownicy z powodu niekompletnej poprawki CVE-2022-1931. Atakujący mogą podać dowolne wartości owner i cId w żądaniu POST /api/v1/messages/send, aby wstrzyknąć sfałszowane wiadomości do konwersacji, do których nie należą.

Trudesk w wersjach do 1.2.11 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom publikować treści przypisane innym użytkownikom poprzez dostarczanie kontrolowanych przez użytkownika identyfikatorów właściciela. Atakujący mogą ustawić ownerId lub owner w żądaniach postComment, postInternalNote i tworzenia zgłoszenia, aby sfałszować komentarze, notatki wewnętrzne i zgłoszenia autorstwa administratora w dowolnym zgłoszeniu.

Trudesk do wersji 1.2.11 zawiera lukę w kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować zgłoszenia poza jego grupami poprzez PUT /api/v1/tickets/:id oraz PUT /api/v2/tickets/batch. Atakujący może podać dowolne ObjectIds zgłoszeń, aby zmienić status, temat, grupę, priorytet lub przypisanego użytkownika, albo masowo zamykać zgłoszenia, ponieważ sprawdzane jest tylko domyślne uprawnienie roli tickets:update.

Trudesk do wersji 1.2.11 zawiera lukę w kontroli dostępu, która pozwala uwierzytelnionym użytkownikom czytać zgłoszenia poza ich grupami poprzez GET /api/v1/tickets/:uid. Atakujący może enumerować kolejne uid zgłoszeń, aby odczytać temat, treść, komentarze, właściciela i przypisanego użytkownika każdego zgłoszenia, ponieważ handler apiTickets.single pomija sprawdzanie przynależności do grupy.

ZenTao PMS przed wersją 22.3 zawiera podatność obejścia autoryzacji w commonModel::isOpenMethod(), która pozwala zalogowanym użytkownikom pominąć kontrole ACL oparte na grupach dla dowolnej metody zawierającej „ajax”. Użytkownicy z minimalnymi uprawnieniami mogą wywoływać metody takie jak task.ajaxGetByID, system.ajaxDBAuthUrl i admin.ajaxChangeTableEngine, aby czytać dane, uzyskiwać poświadczenia bazy danych, uruchamiać zadania CI i modyfikować tabele.

Chamilo LMS w wersjach od 2.0.0-alpha.1 do przed 2.0.0-RC.3 zawiera podatność braku autoryzacji w starszych handlerach AJAX w katalogu public/main/inc/ajax/. Nieuwierzytelnieni lub nisko uprzywilejowani użytkownicy mogą wywoływać akcje takie jak get_users_by_group_course, user_by_all_roles i export_all_certificates, aby pozyskiwać nazwy użytkowników oraz pliki PDF certyfikatów innych kursantów.

Chamilo LMS od wersji 2.0.0-alpha.4 przed 2.0.0-RC.3 zawiera podatność braku autoryzacji w AiController::openAnswerGrade, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać ocenę AI prób egzaminacyjnych innych studentów. Atakujący mogą wyliczać wartości exeId i questionId wysyłane do punktu końcowego open_answer_grade, aby ujawnić odpowiedzi innych studentów poprzez informację zwrotną i zużyć limit AI.

Chamilo LMS w wersjach pre-release 2.0.0 (od 2.0.0-alpha.1 do przed 2.0.0-RC.3) zawiera podatność braku kontroli dostępu w GradebookController, która pozwala nieuwierzytelnionym użytkownikom modyfikować certyfikaty dziennika ocen. Atakujący może wywołać endpoint set_default_certificate z dowolnym identyfikatorem kursu i dokumentu, aby zmienić konfigurację certyfikatów dla dowolnego kursu.

W aplikacji Shopper od wersji 2.0.0 do 2.6.0 występuje brak autoryzacji, który pozwala użytkownikom panelu administracyjnego z uprawnieniem `access_dashboard` na tworzenie administratorów i nadawanie uprawnień. Atakujący mogą wywołać `CreateTeamMember::store()` lub `Permissions::togglePermission()` bezpośrednio przez `/livewire/update`, aby utworzyć konta administratorów i eskalować uprawnienia.

Pydantic AI Harness przed 0.59.0 nie egzekwuje limitu UsageLimits.tool_calls_limit dla zagnieżdżonych wywołań narzędzi uruchamianych z run_code w zestawie narzędzi CodeMode. Użytkownicy lub wstrzyknięta treść promptu mogą wywoływać narzędzia przez run_nested_call() bez check_before_tool_call, przekraczając limity operatora dla kosztownych lub mających skutki uboczne narzędzi.

W aplikacji Insurance-Management-System wykryto podatność SQL Injection w funkcji mysqli_query w pliku /Agent/ManagePolicy/EditPolicyHolder.php. Manipulacja argumentem Policy_no/Name pozwala na wstrzyknięcie kodu SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

SchedulePress w wersjach przed 5.3.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na poziomie Contributor zmieniać status i datę publikacji dowolnego wpisu poprzez akcję AJAX wpsp_el_editor_form. Atakujący mogą ponownie użyć nonce wpsp-el-editor z modala Elementor, aby cofnąć publikację lub zmienić harmonogram wpisów administratora albo opublikować oczekujące lub robocze wpisy innych użytkowników.

Podatność w komponencie streaming RPC Apache bRPC (wersje < 1.18.0) pozwala zdalnemu atakującemu na wyczerpanie pamięci serwera i wywołanie odmowy usługi (DoS) poprzez wysłanie pojedynczego żądania RPC deklarującego nadmierną liczbę strumieni. Serwer tworzy osobny strumień odpowiedzi dla każdego identyfikatora z pola extra_stream_ids, bez limitu liczby akceptowanych strumieni w jednym RPC, a każdy strumień alokuje własną kolejkę bthread i zasoby.