Katalog podatności CVE

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

MISP zawiera podatność typu reflected XSS w formularzu potwierdzenia eksportu wyszukiwania REST zdarzeń. Szablon widoku app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp umieszcza listę identyfikatorów zdarzeń z URL w literale JavaScript ograniczonym pojedynczymi cudzysłowami, używając json_encode() bez flag kodowania szesnastkowego, co pozwala na wstrzyknięcie znaku pojedynczego cudzysłowu i wykonanie dowolnego kodu JavaScript. Podatność dotyczy motywów Default i UiBeta; motyw Overmind nie jest nią objęty.

W aplikacji sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8 wykryto podatność XSS w funkcji Public Search Handlers, w pliku HospitalController.java. Manipulacja argumentem Search prowadzi do ataku XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_admin_vendors_ajax, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na pobranie pełnego katalogu sprzedawców. Wysyłając spreparowane żądanie AJAX, mogą uzyskać wewnętrzne ID, nazwy użytkowników i adresy e-mail wszystkich zarejestrowanych sprzedawców, ujawniając dane osobowe.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.

MISP zawiera odzwierciedlone XSS w widoku histogramu atrybutów. Zmienna $selectedTypes, pochodząca z segmentu ścieżki URL, jest interpolowana bezpośrednio do literału tablicy JavaScript wewnątrz atrybutu onClick HTML bez kodowania. Atakujący, który zmusi uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, może wykonać dowolny JavaScript w przeglądarce ofiary w kontekście aplikacji MISP. Wersja dotknięta: <2.5.47.

MISP zawiera odzwierciedlone XSS w akcji AnalystDataController::viewForObject. Metoda przyjmuje parametr typu obiektu nadrzędnego z URL bez walidacji i przekazuje go do elementu widoku wątku AnalystData w motywie Overmind, gdzie jest interpolowany do dwóch przetłumaczonych stringów i renderowany do odpowiedzi HTML bez kodowania wyjścia. Uwierzytelniony atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co pozwala na wstrzyknięcie dowolnego JavaScript w przeglądarce ofiary w kontekście MISP. Wersja dotknięta: <2.5.47.

Kontroler WorkflowsController w MISP udostępnia akcję moduleStatelessExecution na liście unlockedActions w komponencie Security. W CakePHP umieszczenie akcji na tej liście wyłącza zarówno sprawdzanie tokenu CSRF, jak i walidację skrótu pól. Ponieważ moduleStatelessExecution wykonuje metodę exec() modułu przepływu pracy z danymi i parametrami dostarczonymi przez wywołującego, brak ochrony CSRF pozwala atakującemu na sfałszowanie żądania z innego pochodzenia, które po wysłaniu przez uwierzytelnionego administratora wywoła akcję na instancji MISP. Atakujący może wybrać dowolny moduł, w tym moduły zapisu wpisów blokowanych, i dostarczyć własne dane. Podatność została wykryta podczas wewnętrznego przeglądu. Poprawka jest zawarta w MISP v2.5.47.

W aplikacji changedetection.io do wersji 0.60.7 wykryto podatność typu path traversal w funkcji static_content w pliku changedetectionio/flask_app.py, w komponencie visual_selector_data. Manipulacja argumentem filename pozwala na przeprowadzenie ataku zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

LibreOffice może importować obrazy PICT, które mogą być osadzone w dokumentach. Podczas importu obrazu używającego palety kolorów występuje odczyt poza granicami bufora, ponieważ indeks palety nie jest sprawdzany względem liczby wpisów. W wersjach poprawionych indeks palety jest ograniczany do istniejących wpisów.

W LibreOffice można skonstruować adresy URL, które rozwijają zmienne środowiskowe lub wartości z plików INI, co może prowadzić do eksfiltracji poufnych informacji na zdalny serwer po otwarciu dokumentu zawierającego takie linki. Sprawdzenie dodane dla CVE-2024-12426 nie rozpoznawało wszystkich sposobów nazywania dostawcy treści pakietu, więc adres URL nazywający go inaczej nadal podlegał rozwinięciu. W wersjach poprawionych dostawca treści pakietu jest dopasowywany podczas sprawdzania adresu URL.

LibreOffice konwertuje czcionki CFF do Type 1 podczas podzbioru czcionek, co ma miejsce przy eksporcie dokumentu do PDF; czcionki CFF mogą być osadzone w dokumentach. W tej konwersji występuje przepełnienie bufora stosu, ponieważ konwertowane operatory są zapisywane do bufora o stałym rozmiarze bez sprawdzenia, czy się mieszczą. W wersjach poprawionych śledzona jest pozostała pojemność i konwersja zatrzymuje się, gdy zostanie wyczerpana.

LibreOffice może odczytywać czcionki CFF, które mogą być osadzone w dokumentach. Występuje przepełnienie bufora stosu podczas odczytu hintów glifu, ponieważ liczba hintów jest sprawdzana względem niewłaściwego ograniczenia. W wersjach poprawionych liczba hintów jest sprawdzana względem rzeczywistej pojemności tablicy.

LibreOffice Draw może importować dokumenty PDF. Występuje przepełnienie bufora sterty podczas importu obiektu strumienia, ponieważ długość strumienia jest brana z jego własnego słownika i nie jest sprawdzana względem rzeczywistej liczby bajtów. W wersjach poprawionych zadeklarowana długość jest ograniczana do faktycznie odczytanych bajtów.

LibreOffice Draw może importować dokumenty PDF. Występuje przepełnienie bufora sterty podczas importu zaszyfrowanego dokumentu, ponieważ długość klucza deszyfrującego jest brana ze słownika szyfrowania dokumentu i używana do wypełnienia bufora klucza o stałym rozmiarze bez sprawdzenia. W wersjach poprawionych zadeklarowana długość klucza większa niż bufor jest odrzucana.

LibreOffice może importować grafikę WMF, która może być osadzona w dokumentach. Występuje przepełnienie bufora sterty podczas importu rekordu tekstowego zawierającego własne szerokości znaków. Liczba wartości szerokości i długość tekstu są odczytywane osobno i nie muszą się zgadzać, co prowadzi do wyjścia poza tablicę. W wersjach poprawionych tablica szerokości krótsza niż tekst jest ignorowana.

Wtyczka Tauri HTTP waliduje żądane adresy URL względem skonfigurowanej listy dozwolonych tylko raz, przy początkowym żądaniu. Gdy zdalny serwer odpowie przekierowaniem HTTP 3xx, reqwest podąża za przekierowaniem bez ponownego sprawdzenia nowego adresu URL względem zakresu, co pozwala atakującemu osiągnąć niedozwolone cele, takie jak punkty końcowe metadanych chmury, usługi localhost lub hosty w sieci wewnętrznej.

W Checkmk w wersjach <2.5.0p15, <2.4.0p38, <2.3.0p51 i 2.2.0 (EOL) poświadczenia w konfiguracji hosta i folderów w REST API są niewystarczająco chronione. Uwierzytelniony użytkownik, który może przeglądać konfigurację hosta, może odczytać w postaci jawnej tekstu ciągi społeczności SNMP, hasła SNMPv3 i hasła IPMI z odpowiedzi GET, mimo że GUI ich nie wyświetla.

Nieprawidłowa neutralizacja znaków nowej linii w wartościach filtrów w interfejsach API listy hostów i usług monitoringu w Checkmk <2.5.0p14 pozwala uwierzytelnionemu użytkownikowi wstrzyknąć dodatkowe nagłówki zapytań Livestatus, omijając ograniczenia widoczności obiektów w zapytaniach zliczających, aby wywnioskować informacje o hostach i usługach spoza ich grup kontaktowych oraz zajmować procesy robocze serwera i Livestatus na czas kontrolowany przez atakującego.