Katalog podatności CVE

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_duplicate_product, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na duplikowanie dowolnych produktów sprzedawców. Atakujący mogą pominąć weryfikację właściciela, skopiować listę produktów każdego sprzedawcy, w tym prywatne metadane, i przypisać kopię do własnego konta bez zgody ofiary.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera brak autoryzacji w akcji AJAX marketking_send_refund, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na tworzenie żądań zwrotu dla dowolnych zamówień. Podając dowolne ID zamówienia, atakujący mogą składać fałszywe żądania zwrotu, co prowadzi do zakłóceń na rynku i nieautoryzowanych działań na zamówieniach innych użytkowników.

MISP zawiera odzwierciedlone XSS w widoku histogramu atrybutów. Zmienna $selectedTypes, pochodząca z segmentu ścieżki URL, jest interpolowana bezpośrednio do literału tablicy JavaScript wewnątrz atrybutu onClick HTML bez kodowania. Atakujący, który zmusi uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, może wykonać dowolny JavaScript w przeglądarce ofiary w kontekście aplikacji MISP. Wersja dotknięta: <2.5.47.

MISP zawiera odzwierciedlone XSS w akcji AnalystDataController::viewForObject. Metoda przyjmuje parametr typu obiektu nadrzędnego z URL bez walidacji i przekazuje go do elementu widoku wątku AnalystData w motywie Overmind, gdzie jest interpolowany do dwóch przetłumaczonych stringów i renderowany do odpowiedzi HTML bez kodowania wyjścia. Uwierzytelniony atakujący może nakłonić ofiarę do odwiedzenia spreparowanego URL, co pozwala na wstrzyknięcie dowolnego JavaScript w przeglądarce ofiary w kontekście MISP. Wersja dotknięta: <2.5.47.

Kontroler WorkflowsController w MISP udostępnia akcję moduleStatelessExecution na liście unlockedActions w komponencie Security. W CakePHP umieszczenie akcji na tej liście wyłącza zarówno sprawdzanie tokenu CSRF, jak i walidację skrótu pól. Ponieważ moduleStatelessExecution wykonuje metodę exec() modułu przepływu pracy z danymi i parametrami dostarczonymi przez wywołującego, brak ochrony CSRF pozwala atakującemu na sfałszowanie żądania z innego pochodzenia, które po wysłaniu przez uwierzytelnionego administratora wywoła akcję na instancji MISP. Atakujący może wybrać dowolny moduł, w tym moduły zapisu wpisów blokowanych, i dostarczyć własne dane. Podatność została wykryta podczas wewnętrznego przeglądu. Poprawka jest zawarta w MISP v2.5.47.

W aplikacji changedetection.io do wersji 0.60.7 wykryto podatność typu path traversal w funkcji static_content w pliku changedetectionio/flask_app.py, w komponencie visual_selector_data. Manipulacja argumentem filename pozwala na przeprowadzenie ataku zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

LibreOffice może importować obrazy PICT, które mogą być osadzone w dokumentach. Podczas importu obrazu używającego palety kolorów występuje odczyt poza granicami bufora, ponieważ indeks palety nie jest sprawdzany względem liczby wpisów. W wersjach poprawionych indeks palety jest ograniczany do istniejących wpisów.

W LibreOffice można skonstruować adresy URL, które rozwijają zmienne środowiskowe lub wartości z plików INI, co może prowadzić do eksfiltracji poufnych informacji na zdalny serwer po otwarciu dokumentu zawierającego takie linki. Sprawdzenie dodane dla CVE-2024-12426 nie rozpoznawało wszystkich sposobów nazywania dostawcy treści pakietu, więc adres URL nazywający go inaczej nadal podlegał rozwinięciu. W wersjach poprawionych dostawca treści pakietu jest dopasowywany podczas sprawdzania adresu URL.

LibreOffice konwertuje czcionki CFF do Type 1 podczas podzbioru czcionek, co ma miejsce przy eksporcie dokumentu do PDF; czcionki CFF mogą być osadzone w dokumentach. W tej konwersji występuje przepełnienie bufora stosu, ponieważ konwertowane operatory są zapisywane do bufora o stałym rozmiarze bez sprawdzenia, czy się mieszczą. W wersjach poprawionych śledzona jest pozostała pojemność i konwersja zatrzymuje się, gdy zostanie wyczerpana.

LibreOffice może odczytywać czcionki CFF, które mogą być osadzone w dokumentach. Występuje przepełnienie bufora stosu podczas odczytu hintów glifu, ponieważ liczba hintów jest sprawdzana względem niewłaściwego ograniczenia. W wersjach poprawionych liczba hintów jest sprawdzana względem rzeczywistej pojemności tablicy.

LibreOffice Draw może importować dokumenty PDF. Występuje przepełnienie bufora sterty podczas importu obiektu strumienia, ponieważ długość strumienia jest brana z jego własnego słownika i nie jest sprawdzana względem rzeczywistej liczby bajtów. W wersjach poprawionych zadeklarowana długość jest ograniczana do faktycznie odczytanych bajtów.

LibreOffice Draw może importować dokumenty PDF. Występuje przepełnienie bufora sterty podczas importu zaszyfrowanego dokumentu, ponieważ długość klucza deszyfrującego jest brana ze słownika szyfrowania dokumentu i używana do wypełnienia bufora klucza o stałym rozmiarze bez sprawdzenia. W wersjach poprawionych zadeklarowana długość klucza większa niż bufor jest odrzucana.

LibreOffice może importować grafikę WMF, która może być osadzona w dokumentach. Występuje przepełnienie bufora sterty podczas importu rekordu tekstowego zawierającego własne szerokości znaków. Liczba wartości szerokości i długość tekstu są odczytywane osobno i nie muszą się zgadzać, co prowadzi do wyjścia poza tablicę. W wersjach poprawionych tablica szerokości krótsza niż tekst jest ignorowana.

Wtyczka Tauri HTTP waliduje żądane adresy URL względem skonfigurowanej listy dozwolonych tylko raz, przy początkowym żądaniu. Gdy zdalny serwer odpowie przekierowaniem HTTP 3xx, reqwest podąża za przekierowaniem bez ponownego sprawdzenia nowego adresu URL względem zakresu, co pozwala atakującemu osiągnąć niedozwolone cele, takie jak punkty końcowe metadanych chmury, usługi localhost lub hosty w sieci wewnętrznej.

W Checkmk w wersjach <2.5.0p15, <2.4.0p38, <2.3.0p51 i 2.2.0 (EOL) poświadczenia w konfiguracji hosta i folderów w REST API są niewystarczająco chronione. Uwierzytelniony użytkownik, który może przeglądać konfigurację hosta, może odczytać w postaci jawnej tekstu ciągi społeczności SNMP, hasła SNMPv3 i hasła IPMI z odpowiedzi GET, mimo że GUI ich nie wyświetla.

Nieprawidłowa neutralizacja znaków nowej linii w wartościach filtrów w interfejsach API listy hostów i usług monitoringu w Checkmk <2.5.0p14 pozwala uwierzytelnionemu użytkownikowi wstrzyknąć dodatkowe nagłówki zapytań Livestatus, omijając ograniczenia widoczności obiektów w zapytaniach zliczających, aby wywnioskować informacje o hostach i usługach spoza ich grup kontaktowych oraz zajmować procesy robocze serwera i Livestatus na czas kontrolowany przez atakującego.

Podatność polegająca na uszkodzeniu pamięci podczas przetwarzania specjalnie spreparowanego pliku ELF w Primary Bootloader.

Wtyczka Product Feed Manager for WooCommerce – CTX Feed dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 6.6.43 włącznie poprzez parametr 'provider'. Uwierzytelniony atakujący z poziomem dostępu shop manager lub wyższym może usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu krytycznych plików. Wykorzystanie wymaga dwóch sekwencyjnych wywołań REST API.

Wtyczka WP-CRM System dla WordPressa w wersjach do 3.4.6 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'contact_id'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wyliczać ten parametr i wyciągać dane kontaktowe CRM, takie jak imiona i nazwiska, adresy e-mail, numery telefonów, faksów oraz adresy.

W Keycloak wykryto lukę w dostawcy federacji Kerberos. Gdy używane jest uwierzytelnianie hasłem Kerberos bez SPNEGO, system nie weryfikuje tożsamości Centrum Dystrybucji Kluczy (KDC), co pozwala atakującemu w tej samej sieci podszyć się pod KDC i ominąć proces uwierzytelniania.