Katalog podatności CVE

W Joplin od wersji 1.4.0 do 3.7.2 plik katex.ts włącza opcję trust dla treści notatek, pozwalając autorowi notatki umieścić URL \href w renderowanym wyniku bez przechodzenia przez normalną listę dozwolonych URL. W systemie Windows kliknięcie linku wskazującego na kontrolowaną przez atakującego ścieżkę UNC powoduje, że pathExists() inicjuje uwierzytelnianie SMB i ujawnia odpowiedź NTLMv2 bieżącego użytkownika bez ostrzeżenia. Problem naprawiono w wersji 3.7.2.

W module Redis w Thinkst Canary OpenCanary 0.9.9 występuje podatność typu Denial-of-Service. Nieuwierzytelniony zdalny atakujący może spowodować nieograniczone zużycie pamięci.

W Warpgate ścieżka powrotu SSO response_mode=form_post w sso_provider_list.rs używa serde_json::to_string bez neutralizacji sekwencji zamykającej skrypt. Wartość może trafić do bloku script przez kontrolowany przez atakującego parametr next lub przez komunikaty błędów IdP konkatenowane bez kodowania URL. Ścieżka IdP jest osiągalna, gdy atakujący kontroluje skonfigurowanego dostawcę tożsamości lub kontroluje roszczenie email/username na swoim koncie. Ofiara musi ukończyć przepływ form_post SSO, aby wstrzyknięty znacznik został wyrenderowany. CSP Warpgate blokuje wstrzyknięty JavaScript, więc skutkiem jest podszywanie się pod treść, fałszywy formularz logowania lub meta refresh. Problem naprawiono w wersji 0.27.6.

draw.io przed wersją 30.2.7 w pliku ExportProxyServlet.java używa request.getPathInfo() do budowy proxyPath i dołącza go bezpośrednio do EXPORT_URL bez odrzucania segmentów kropkowych ani weryfikacji, że znormalizowany cel pozostaje w skonfigurowanej ścieżce eksportu. Nieuwierzytelnione żądanie z segmentami traversal może trafić do nieprzewidzianych tras wewnętrznego serwera eksportu, a serwlet przekazuje wszystkie nagłówki i treść żądania, umożliwiając wstrzyknięcie dowolnych nagłówków.

Hatchet przed wersją 0.95.3 w handlerze strumienia V1 DurableTask zapisuje wartości task_external_id dostarczone przez workera w mapie routingu durableInvocations przed weryfikacją własności tenanta, a dostarczanie callbacków rozwiązuje tę mapę po UUID zadania bez tożsamości tenanta. Uwierzytelniony worker jednego tenanta, znający UUID zadania innego tenanta i utrzymujący otwarty strumień na tym samym procesie dyspozytora, może odebrać ładunek wyniku callbacku tego zadania.

Pole emoji w punkcie aktualizacji emoji strony nieprawidłowo waliduje dane wejściowe użytkownika. Poprzez wstrzyknięcie długiego tekstu i znaków nowej linii układ paska bocznego ulega zepsuciu i może ukrywać inne elementy.

GoCD przed wersją 26.1.0 może zwracać niezamaskowane poświadczenia, które administratorzy zapisali w części userinfo adresów URL materiałów kontroli źródła, poprzez kilka API tylko do odczytu dostępnych dla zwykłych uwierzytelnionych użytkowników. Uwierzytelniony użytkownik z dostępem do dotkniętego pipeline'u może uzyskać poświadczenia osadzone w adresie URL materiału, natomiast dedykowane pola haseł pozostają zaszyfrowane i nie są ujawniane przez ten problem. Problem naprawiono w wersji 26.1.0.

GoCD od wersji 13.1.0 do 26.1.0 nie egzekwuje zamierzonej autoryzacji tylko dla administratora w punkcie /go/api/support/process_list. Uwierzytelniony użytkownik wewnętrzny może odpytać ten punkt, gdy działają procesy potomne kontroli źródła, i zobaczyć argumenty wiersza poleceń, nazwy użytkowników, zdalne adresy URL materiałów oraz wewnętrzne ścieżki materiałów, do których normalnie nie ma dostępu. Wykorzystanie zależy od nieprzewidywalnego czasu procesów, a poświadczenia, zmienne środowiskowe i sekrety zdefiniowane przez użytkownika pozostają zamaskowane lub pominięte. Problem naprawiono w wersji 26.1.0.

Podatność w usłudze Redis honeypota Thinkst Canary pozwala nieuwierzytelnionemu zdalnemu atakującemu przeprowadzić atak odmowy usługi (DoS) przeciwko honeypotowi. Podatność występuje tylko wtedy, gdy usługa Redis jest włączona; Canary nie jest dotknięty, jeśli Redis jest wyłączony. Thinkst rozwiązał problem na wszystkich obsługiwanych platformach, udostępniając nowe pliki aktualizacji (z wyjątkiem Docker, dla którego opublikowano nowy obraz) oraz obejścia dla klientów, którzy nie mogą zaktualizować.

Podatność w Hyve5 Leantime do wersji 3.9.8 dotyczy nieznanej funkcjonalności pliku /app/Domain/Dashboard/Templates/show.blade.php w komponencie Project Dashboard. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty. Wymagane jest uprawnienie "EDIT perm" do umieszczenia ładunku; atak działa na wszystkich użytkowników przeglądających pulpit projektu, ponieważ zatruta nazwa etykiety jest wyświetlana bez escapowania. Dostawca został wcześnie powiadomiony, ale nie odpowiedział.

W Hyve5 Leantime do wersji 3.9.8 wykryto lukę w funkcji getAllGrouped w pliku app/Domain/Tickets/Services/Tickets.php w komponencie Kanban Board. Manipulacja powoduje cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty. Nazwa poprawki: a30a6837b4071ac05a4f58d0e1baa2c62aa8695e. Zaleca się wdrożenie poprawki.

W Eclipse iceoryx2 w wersjach nowszych niż v0.8.0 StaticString udostępnia swoją zawartość jako mutowalne bajty poprzez bezpieczne API, podczas gdy String::as_str() konwertuje te bajty na wycinek stringa Rust bez walidacji UTF-8. Aplikacja może zatem utworzyć nieprawidłowy &str i wywołać niezdefiniowane zachowanie przy użyciu w pełni bezpiecznego Rusta.

W produkcie Omega Solution HRM OS w wersji do 20260717 wykryto podatność w nieznanej funkcji pliku /media/view/ w komponencie SVG File Upload. Manipulacja prowadzi do cross site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka WordPress To Do List Member w wersji do 1.6 nie posiada kontroli autoryzacji ani nonce w procedurze importu oraz nie waliduje lokalizacji, z której pobiera importowane dane. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie dowolnych opublikowanych wpisów i terminów taksonomii w witrynie.

Znaleziono błąd w zarządzaniu sesjami uwierzytelniania w Keycloak. Gdy administrator wymusza silniejszy przepływ uwierzytelniania, np. obowiązkowe skonfigurowanie dwuskładnikowego uwierzytelniania (2FA), użytkownik może ominąć ten wymóg, ręcznie odwiedzając konkretny link restartu sesji podczas logowania. To działanie czyści wewnętrzne znaczniki śledzące wymagane kroki bezpieczeństwa, umożliwiając zalogowanie się tylko hasłem bez ukończenia wymaganego 2FA.

Znaleziono błąd w implementacji User-Managed Access (UMA) w Keycloak. Problem występuje w punkcie końcowym tokenów autoryzacji podczas przetwarzania biletów uprawnień. Jeśli dwóch różnych użytkowników posiada zasoby o tej samej nazwie, system błędnie scala uprawnienia z obu zasobów, gdy jeden użytkownik żąda tokena autoryzacji. Pozwala to atakującemu uzyskać zakresy dostępu do zasobu ofiary, które nigdy nie były przeznaczone do udostępnienia.

Znaleziono podatność w xuxueli xxl-job do wersji 3.4.2/3.5.0. Podatność dotyczy nieznanego kodu w pliku JobInfoController.java w komponencie Task Management Interface. Manipulacja argumentem name/author prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

Zidentyfikowano podatność w Hangzhou Shunwang Technology shzh 10.7.2.693 w funkcji sub_180004AC0 pliku shdrv_x64.sys (IRP_MJ_DEVICE_CONTROL Handler). Manipulacja argumentem PID prowadzi do odmowy usługi. Atak musi być przeprowadzony lokalnie.

W aplikacji newbee-mall (do wersji 1.0.0) wykryto podatność typu cross-site scripting (XSS) w pliku controller/common/UploadController.java, w komponencie odpowiedzialnym za zapis towarów. Manipulacja argumentem goodsName pozwala na zdalne wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany do ataków.

W systemie SourceCodester Drug Recommendation System 1.0 znaleziono podatność. Problem dotyczy nieznanego przetwarzania w pliku /drug_recommender/Admin/change_password komponentu Zmiana hasła. Manipulacja argumentami txtoldpassword/txtnewpassword prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.