Katalog podatności CVE

Nieprawidłowe domyślne uprawnienia w katalogu instalacyjnym WatchDog Anti-Virus w systemie Windows pozwalają lokalnym użytkownikom z niskimi uprawnieniami na modyfikację, zastąpienie lub usunięcie plików binarnych i konfiguracyjnych programu antywirusowego, ponieważ instalator przyznaje grupie Użytkownicy pełną kontrolę nad C:\Program Files (x86)\Watchdog Anti-Virus. Może to wyłączyć ochronę antywirusową lub umożliwić wykonanie kodu z podwyższonymi uprawnieniami, jeśli zmodyfikowane pliki binarne zostaną załadowane przez proces WatchDog działający z podwyższonymi uprawnieniami.

Frappe ERPNext w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność na ujawnienie informacji w biało-listowanych punktach końcowych timesheet, które nie egzekwują uprawnień doctype. Uwierzytelnieni atakujący mogą wywołać get_projectwise_timesheet_data, get_timesheet_detail_rate i get_timesheet, aby wyliczyć i pobrać rozliczane dzienniki czasu, w tym nazwy projektów, kwoty rozliczeń i opisy prac, bez odpowiednich kontroli autoryzacji.

mayswind ezBookkeeping przed wersją 2.0.0 nie unieważnia kodów TOTP po ich użyciu, co pozwala atakującym na powtórne użycie przechwyconych kodów w oknie akceptacji. Atakujący ze skradzionymi poświadczeniami mogą się uwierzytelnić i ponownie użyć przechwyconego kodu w wielu próbach autoryzacji przez około 90 sekund bez wykrycia.

Tencent BrowserSkill do wersji 0.3.0 zawiera podatność na obejście uwierzytelniania w walidacji pochodzenia WebSocket lokalnego demona, która akceptuje dowolne pochodzenie chrome-extension z 32 znakami w zakresie a-p. Atakujący mogą zarejestrować złośliwe rozszerzenie jako klienta przeglądarki, aby przechwytywać i manipulować treścią strony, DOM-em i zrzutami ekranu zwracanymi do agenta AI.

getID3 do wersji 1.9.26 zawiera podatność na wstrzyknięcie zewnętrznych encji XML w funkcji pomocniczej XML2array, która nie wyłącza poprawnie ładowania encji w PHP przed wersją 8.0. Atakujący mogą stworzyć złośliwe metadane XML w plikach multimedialnych, aby ujawnić lokalne pliki, przeprowadzić atak SSRF lub spowodować odmowę usługi przez ekspansję encji.

NivoCart do wersji 2.4.0 zawiera destrukcyjną podatność na zapis konfiguracji w kontrolerze resetowania hasła administratora, która pozwala nieuwierzytelnionym atakującym na wyłączenie odzyskiwania hasła poprzez podanie nieprawidłowego parametru code. Atakujący mogą wysłać żądanie GET z brakującym lub nieprawidłowym kodem, aby przepisać ustawienie config_password na 0, wyłączając samodzielne odzyskiwanie hasła, dopóki administrator ręcznie go nie włączy ponownie.

Aplikacja ZTE SmartLife zawiera zakodowany na stałe klucz. Klucz używany do odszyfrowania informacji o serwerze konta jest przechowywany w kodzie w postaci jawnej. Po uzyskaniu klucza informacje o serwerze mogą zostać odszyfrowane i ujawnione.

W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto słabość w nieznanej funkcji pliku backend/sxdevops/settings.py, która prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie. Dostępna jest poprawka o nazwie 2b4bf8585c3e731e7a8af30801ea46680bc783f9.

Aplikacja SmartLife dynamicznie generuje nowe parametry uwierzytelniające w swoim procesie działania. Dzięki uzyskanym parametrom atakujący może bezpośrednio wywołać interfejs backendu /account/verify.serv, aby ustalić, czy dany adres e-mail jest zarejestrowany w SmartLife, a jeśli konto istnieje, może również uzyskać rzeczywiste identyfikator konta backendu.

W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji generate_host_task w pliku backend/aiops/services.py (komponent Command Handler). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.

W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji paramiko.SSHClient.exec_command w pliku backend/ops/host_tasks.py (komponent TASK_RUN_COMMAND). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.

Wtyczka Meow Gallery dla WordPressa w wersji przed 5.5.5 nie sanityzuje prawidłowo wartości dostarczonej przez użytkownika przed dołączeniem jej do ciągu shortcode przekazywanego do parsera shortcode'ów WordPressa na publicznie dostępnym punkcie końcowym. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych zarejestrowanych shortcode'ów i ujawnienie niepublicznej zawartości galerii.

Wtyczka Sign-up Sheets dla WordPressa w wersji przed 2.4.0 nie waliduje prawidłowo nonce CSRF chroniącego akcję usuwania zapisów. Umożliwia to atakującym usunięcie rekordów zapisów poprzez sfałszowane żądanie obsłużone w sesji zalogowanego użytkownika posiadającego wymagane uprawnienia.

Wtyczka Tripzzy dla WordPressa w wersji przed 1.5.1 nie wykonuje żadnych kontroli uprawnień ani własności w swoich administracyjnych akcjach zarządzania rezerwacjami. Akcje te są dodatkowo dostępne dla nieuwierzytelnionych użytkowników i chronione jedynie tokenem, który wtyczka wydaje każdemu anonimowemu odwiedzającemu na żądanie. Umożliwia to nieuwierzytelnionym atakującym zmianę zawartości, zapisanych sum i notatek dowolnych rezerwacji.

Wtyczka Forminator Forms dla WordPressa w wersji przed 1.57.2.1 nie stosuje walidacji ról, którą egzekwuje w innych miejscach, gdy formularz rejestracji jest zagnieżdżony w zaimportowanym quizie. Umożliwia to użytkownikowi mogącemu importować quizy opublikowanie aktywnego, publicznie dostępnego formularza, który przyznaje dowolną rolę, w tym administratora, każdemu, kto go wyśle. Ten sam użytkownik jest odrzucany przy identycznym formularzu poprzez zwykły edytor formularzy i zwykły import formularzy.

Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.

Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy użytkownik działający na obrazie jest właścicielem galerii, do której on należy. Pozwala to użytkownikom, którym administrator przyznał uprawnienie do zarządzania galerią, usuwać, kopiować i ponownie tagować dowolne obrazy w witrynie, w tym obrazy w galeriach należących do innych użytkowników.

Wtyczka WordPress Import and export users and customers przed wersją 2.4.5 nie waliduje adresu URL dostarczonego przez użytkownika przed wykonaniem żądania po stronie serwera podczas importu CSV. Pozwala to użytkownikom o wysokich uprawnieniach przeprowadzać ataki typu Server-Side Request Forgery.

Wtyczka Master Slider do WordPressa do wersji 3.11.2 nie dezynfekuje i nie escapuje niektórych atrybutów shortcode'ów przed wypisaniem ich w kontekście skryptu inline, co umożliwia użytkownikom z rolą Contributor i wyżej przeprowadzenie ataków Stored Cross-Site Scripting (XSS) podczas wyświetlania zaatakowanego wpisu.

W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji subprocess.Popen w pliku backend/aiops/services.py (komponent MCP STDIO Server Management). Manipulacja argumentem endpoint_or_command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.