Katalog podatności CVE

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na podniesienie uprawnień do poziomu administratora. Ograniczenie funkcji administracyjnych zmniejsza ekspozycję, ale nie stanowi pełnego rozwiązania. Podatność naprawiono w wersji 7.3.0.

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi na przeglądanie i edycję zasobu należącego do innego użytkownika bez autoryzacji. Ścieżka edycji/aktualizacji klucza API w `ApiKeyController` wybiera rekordy po identyfikatorze bez sprawdzenia zgodności `user_id` z wywołującym. Podatność naprawiono w wersji 7.3.0.

W bibliotece sevenz-rust2 w wersjach przed 0.21.1 rozpakowanie archiwum 7z dostarczonego przez atakującego może zapisywać lub nadpisywać pliki poza katalogiem docelowym. W src/util/decompress.rs funkcja decompress_impl oblicza każdą ścieżkę docelową przez dest.join(entry.name()) bez normalizacji nazwy wpisu UTF-16 ani weryfikacji zawierania, a default_entry_extract_fn zapisuje do niej przez File::create. Komponenty katalogu nadrzędnego pozwalają uciec z katalogu rozpakowywania, a bezwzględna ścieżka wpisu powoduje całkowite odrzucenie katalogu docelowego. Wszystkie wygodne punkty wejścia decompress, decompress_file, decompress_with_password i decompress_file_with_password używają tej domyślnej ścieżki. Nadpisanie zapisywalnych plików konfiguracyjnych, startowych, cron lub build może prowadzić do wykonania kodu lub trwałego utrzymania dostępu.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE. Brak dalszych informacji o podatności.

W platformie OpenRemote przed wersją 1.26.0 API eksportu datapointów konstruuje zapytanie SQL CSV crosstab poprzez konkatenację nazwy assetu i nazwy atrybutu, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie metaznaków SQL. Poprzez żądanie eksportu crosstab możliwe jest zwrócenie wyników wstrzykniętego SELECT w odpowiedzi ZIP/CSV, co umożliwia eksfiltrację danych z bazy. W środowisku wielodostępnym może to ujawnić dane innych najemców.

W serwerze Netopeer2 niskouprzywilejowany uwierzytelniony użytkownik NETCONF może zdalnie spowodować awarię netopeer2-server, wysyłając RPC get z nieprawidłowym filtrem subtree zawierającym specyfikatory formatu. W src/log.c sformatowany bufor jest przekazywany do np2log() jako ciąg formatujący, co powoduje, że vsyslog() interpretuje sekwencje procentowe kontrolowane przez atakującego. Potwierdzono odmowę usługi na wersji 2.8.7; nie potwierdzono niezawodnego zdalnego wykonania kodu.

W narzędziu dotnet refitter przed wersją 2.1.1 biblioteka NJsonSchema jest wywoływana z niebezpiecznymi domyślnymi ustawieniami rozwiązywania $ref podczas generowania interfejsów Refit z opisów OpenAPI kontrolowanych przez atakującego. Zdalne odwołania http(s) powodują żądania z hosta dewelopera lub CI i wstawianie niezaufanej treści do wygenerowanego wyniku, a bezwzględne ścieżki lokalne i przejścia ../ pozwalają na ujawnienie dowolnych plików lokalnych. Łańcuch kończy się na SSRF, zdalnym i lokalnym włączaniu plików, bez wykonania kodu.

W bibliotece LightSAML przed wersjami 4.7.1 i 5.0.1 występuje niezgodność z xmlseclibs co do tego, którą asercję obejmuje podpis SAML. XMLSecurityDSig::validateReference() usuwa podpis z współdzielonego DOM, ale processRefNode() rozwiązuje Reference URI="#id" w całym dokumencie przez XPath //*[@Id] i bierze item(0), co nie musi być asercją, której dane LightSAML wykorzystuje. Atakujący z przechwyconą prawdziwie podpisaną asercją może umieścić jej bajty bez podpisu w samlp:Extensions i przedstawić sfałszowaną asercję z tym samym ID i skopiowanym podpisem, co umożliwia obejście uwierzytelniania lub eskalację uprawnień.

W politykach Kubewarden w wersjach przed 2.1.2 polityka trusted-repos-policy porównuje nazwę hosta rejestru obrazu z listami odrzuconych i dozwolonych w sposób wrażliwy na wielkość liter, mimo że nazwy DNS rejestrów są niewrażliwe na wielkość liter. Obraz z wielkimi lub mieszanymi literami w nazwie hosta rejestru może ominąć regułę odrzucenia dla równoważnego hosta zapisanego małymi literami, co powoduje, że polityka dopuszcza zasób, którego środowisko uruchomieniowe pobiera ten sam zabroniony obraz.

W serwerze ActivityPub dla Ghost w wersjach od 1.0.0 do 1.2.6 procedura obsługi Undo pozwala zdalnemu serwerowi federacyjnemu spowodować, że usługa działa na obserwacji (follow) lub repostowaniu (repost) tak, jakby aktywność pochodziła z innego konta. Umożliwia to usunięcie istniejącej relacji obserwacji lub repostu należącego do innego konta bez jego udziału.

Aplikacja Element Call w wersji standalone SPA (od 0.16.0 do 0.20.3) zapisuje w logach parametr zapytania URL o nazwie `password`. Gdy użytkownik zgłasza raport błędu (rageshake), logi te są udostępniane operatorowi aplikacji, co może ujawnić współdzielone hasło szyfrujące rozmowę.

W LubeLogger przed wersją 1.6.8 funkcja `PrintRecordStickers` sprawdza uprawnienia do podanego `vehicleId`, ale pobiera rekordy o identyfikatorach `recordIds` bez weryfikacji, czy należą one do autoryzowanego pojazdu. Uwierzytelniony użytkownik może w ten sposób uzyskać rekordy innych użytkowników z wielu modułów serwisu.

W niezałatanych migawkach repozytorium uhttpd funkcja `client_parse_header()` porównuje wartość nagłówka `Transfer-Encoding` z `chunked` z rozróżnianiem wielkości liter, mimo że tokeny kodowania transferu są niewrażliwe na wielkość liter. Mieszana wielkość liter jest akceptowana bez włączenia obsługi chunked, co na połączeniu keep-alive pozwala na przemyt żądań HTTP.

W niezałatanych migawkach repozytorium uhttpd funkcja `uh_ubus_data_send()` może desynchronizować granice żądań HTTP, gdy ciało JSON żądania `POST /ubus` przychodzi w wielu segmentach TCP. Nieprzeczytany sufiks ciała jest następnie przetwarzany jako nowe żądanie na tym samym połączeniu keep-alive.

uhttpd to mały serwer HTTP. W niezałatanych migawkach repozytorium funkcja client_poll_post_data() w client.c przetwarza nieprawidłową linię długości fragmentu (np. rozmiar przekraczający INT_MAX), a następnie czyści r->content_length i r->transfer_chunked bez opróżnienia pozostałej treści lub ustawienia request.connection_close. Kontrolowane przez atakującego bajty treści wyrównane jako kompletne żądanie HTTP są następnie przetwarzane jako kolejne żądanie w tym samym połączeniu, powodując przemyt żądań HTTP (HTTP request smuggling) i desynchronizację granic żądań.

W LORIS w wersjach od 22.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 API modułu `imaging_browser` pozwala na edycję danych obrazowania bez sprawdzania uprawnień edycji obowiązujących w interfejsie Imaging Browser. Uwierzytelniony wywołujący API może modyfikować dane bez wymaganej autoryzacji.

W LORIS w wersjach od 16.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 backend `issue_tracker` nieprawidłowo weryfikuje uprawnienia edycji, mimo że interfejs ogranicza edytowane zgłoszenia. Uwierzytelniony użytkownik może zmieniać zgłoszenia spoza swojego zakresu uprawnień.

Biblioteka fickling w wersjach do 0.1.12 błędnie uznaje za bezpieczne wywołania funkcji pochodzących z modułów biblioteki standardowej Pythona, bez analizy ich rzeczywistego zachowania. W efekcie mechanizm check_safety() zwraca werdykt LIKELY_SAFE dla złośliwych payloadów pickle, które poprzez takie funkcje (np. dataclasses._create_fn, mailcap.findmatch, readline.write_history_file) prowadzą do wykonania dowolnego kodu lub zapisu plików. Ponieważ fickling.load() wykorzystuje ten werdykt jako bramkę bezpieczeństwa przed pickle.loads(), payload zostaje zdeserializowany i wykonany z uprawnieniami procesu ofiary.

Podatność w bibliotece fickling (do wersji 0.1.12) polega na tym, że operacja STACK_GLOBAL z kropkowaną nazwą __qualname__ (np. "Values.read_file") jest rozwiązywana przez pickle.find_class do dowolnej ścieżki atrybutu, a nie do funkcji na poziomie modułu. Fickling śledzi tylko pierwszy człon nazwy i wyświetla operację jako zwykły import, przez co końcowe odwołanie do atrybutu nie jest analizowane jako wywołanie. W efekcie analiza OvertlyBadEvals nie wykrywa zagrożenia, a check_safety() zwraca LIKELY_SAFE z zerową liczbą ustaleń, co pozwala atakującemu na osiągnięcie metody klasy wykonującej kod (optparse.Values.read_file uruchamia exec(open(filename).read(), vars)) i uzyskanie dowolnego wykonania kodu przy ładowaniu spreparowanego pickla przez fickling.load().

Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.