Katalog podatności CVE

W NginxProxyManager (nginx-proxy-manager) w wersjach do 2.15.1 wykryto podatność w funkcji internalCertificate.validate w pliku backend/internal/certificate.js (komponent Validate Route). Manipulacja prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; endpoint jedynie przetwarza i odsyła certyfikat przesłany przez wywołującego, a rzeczywiste ryzyko polega na nieuwierzytelnionym przetwarzaniu danych wejściowych atakującego przez openssl.

W systemie itsourcecode Leave Management System 1.0 wykryto podatność w nieznanej funkcji pliku /module/department/controller.php. Manipulacja argumentem DEPTID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Dromara UJCMS do wersji 12.3.1 odkryto błąd w funkcji usernameExist w pliku ujcms-cms/src/main/java/com/ujcms/cms/core/web/api/UserController.java komponentu UserController. Manipulacja argumentem Username prowadzi do nieprawidłowej autoryzacji. Atak może być zdalny. Projekt nie odpowiedział na zgłoszenie.

Podatność w Pixelfed do wersji 0.12.11 dotyczy funkcji instancePeers w pliku app/Http/Controllers/Api/ApiV1Controller.php komponentu OAuth Scope Handler. Manipulacja argumentem ID prowadzi do braku uwierzytelnienia. Atak może być zdalny, a exploit jest publiczny. Zalecana jest aktualizacja do wersji 0.12.10 (mimo że opis mówi o wersji 0.12.11, zalecana jest 0.12.10 – prawdopodobnie błąd w opisie).

Aplikacja SmartLife dynamicznie generuje nowe parametry uwierzytelniania w czasie wykonania. Z ich użyciem atakujący może bezpośrednio zarejestrować konto na dowolny adres e-mail przez interfejs /account/person/signup.serv. Własność adresu e-mail nie jest weryfikowana przed rejestracją.

Podatność w olivier-ls PHP-FTS do wersji 1.1.3 dotyczy funkcji SearchEngine::matchesSingleFilter w pliku src/SearchEngine.php komponentu Filter Matching. Manipulacja prowadzi do nieprawidłowego porównania. Atak może być zdalny, a exploit jest publiczny. Aktualizacja do wersji 1.1.4 rozwiązuje problem.

Exim w wersjach przed 4.100.1 pozwala na SMTP smuggling, w którym odebrana wiadomość nie pasuje do żadnej wysłanej wiadomości, lecz zależy od spreparowanych danych wysłanych po odrzuceniu podczas przetwarzania DATA.

QloApps do wersji 1.7.0 zawiera podatność path traversal w akcji getEmailHTML w pliku admin/ajax.php, która pozwala uwierzytelnionym użytkownikom back-office na odczyt dowolnych plików. Atakujący mogą podać sekwencje ścieżek względnych w parametrze email, aby obejść ograniczenia katalogowe i uzyskać dostęp do poufnych plików, w tym danych uwierzytelniających do bazy danych i danych konfiguracyjnych.

Wykryto podatność w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji streamFileToResponse w pliku backend/src/main/java/org/booklore/controller/KoboController.java komponentu Download Endpoint. Manipulacja argumentem bookId prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.

Wykryto podatność bezpieczeństwa w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji AppSettingController.getAppSettings w pliku backend/src/main/java/org/booklore/controller/AppSettingController.java komponentu Settings API Endpoint. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Nazwa poprawki to 2b66ca6df8110f6b512e030b54c16b9fbe318f17. Zaleca się zastosowanie poprawki.

Podatność niespójnej interpretacji żądań HTTP (HTTP Request/Response Smuggling) w elixir-mint pozwala złośliwemu serwerowi HTTP/1 na desynchronizację ścisłego pośrednika i klienta Mint na połączeniu z puli, umożliwiając zatrucie kolejki odpowiedzi dla kolejnych żądań współdzielących połączenie. Mint.HTTP1.Parse.chunk_size/1 zatrzymuje się na pierwszym nieheksadecymalnym bajcie linii rozmiaru chunka i zwraca resztę niezbadaną, a Mint.HTTP1.decode_body/5 odrzuca bajty do CRLF, przez co akceptowane są linie takie jak 5ZZZZZ i 5 9 jako rozmiar chunka 5, a 0ZZZZ jako kończący chunk. Problem dotyczy mint od 0.1.0 przed 1.10.1.

W Admin REST API Keycloak, rozwiązania do zarządzania tożsamością i dostępem, wykryto lukę. Endpoint służący do usuwania poświadczeń użytkownika nie sprawdza poprawnie szczegółowych uprawnień do resetowania hasła, co pozwala delegowanemu administratorowi, który powinien być ograniczony od resetowania haseł, na usunięcie poświadczeń hasła użytkownika i uniemożliwienie mu zalogowania się.

W Admin REST API Keycloak, rozwiązania do zarządzania tożsamością i dostępem, wykryto lukę w endpointach członkostwa w grupach. System nie sprawdza, czy grupa przyznaje uprawnienia administracyjne, przed dodaniem użytkownika, co pozwala delegowanemu administratorowi z ograniczonymi uprawnieniami na dodanie siebie do grupy o wysokich uprawnieniach i potencjalne przejęcie pełnej kontroli nad całym realmem.

W implementacji protokołu OIDC w Keycloak, rozwiązaniu do zarządzania tożsamością i dostępem, wykryto lukę. Podczas odświeżania tokenu, gdy serwer przywraca żądane odbiorców z przechowywanych identyfikatorów klientów, Keycloak nie sprawdza, czy docelowy klient odbiorcy jest nadal włączony, przed wydaniem nowego tokenu dostępu. Pozwala to aplikacji z istniejącym tokenem odświeżania na dalsze uzyskiwanie ważnych tokenów dostępu dla wyłączonego klienta, potencjalnie omijając administracyjne kontrole dostępu dla serwerów zasobów opierających się na offline walidacji JWT.

OpenPanel API do wersji 2.3.0 nie weryfikuje kryptograficznego skrótu sekretu klienta przed autoryzacją zdarzeń przychodów i filtrowania botów. Atakujący z publicznym ID klienta może podać dowolny fałszywy sekret, aby wstrzyknąć sfałszowane metryki przychodów i ominąć filtry antybotowe.

OpenPanel do wersji 2.3.0 nie escapuje kluczy właściwości w zapytaniach SQL do ClickHouse, co pozwala uwierzytelnionym użytkownikom na wstrzykiwanie logicznych warunków SQL. Atakujący może podać spreparowane nazwy filtrów, aby ominąć izolację projektów i uzyskać dostęp do metryk innych projektów.

hono w wersjach przed 4.13.7 nie escapuje znaków HTML w zwykłych łańcuchach renderowanych przez hono/jsx w kilku kontekstach, m.in. jako dziecko lub fallback Suspense, jako dziecko ErrorBoundary z asynchronicznym rodzeństwem, jako jedyne dziecko Context.Provider oraz jako wartość główna przekazywana do renderToString() lub renderToReadableStream(). W tych ścieżkach dane wejściowe są konwertowane na łańcuch i traktowane jako już zescapowany znacznik, co pozwala atakującemu wstrzyknąć dowolny HTML i wykonać skrypt w kontekście domeny aplikacji.

Wtyczka Partial Shipment for Woocommerce dla WordPressa w wersjach do 3.4 włącznie jest podatna na brak autoryzacji w akcjach AJAX 'wxp_order_shipment', 'wxp_order_item_shipment' i 'wxp_order_set_shipped'. Brak kontroli uprawnień, weryfikacji nonce i sprawdzenia właściciela zamówienia pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na odczyt szczegółów zamówień innych klientów oraz modyfikację statusu wysyłki dowolnego zamówienia.

Wtyczka Empik for Woocommerce dla WordPressa w wersjach do 1.5.1 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika do wykonania akcji, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na modyfikację dowolnych metadanych produktów WooCommerce, w tym klasy logistycznej Empik, stanu produktu i flag eksportu.

Wtyczka Datalogics Ecommerce Delivery – Datalogics dla WordPressa w wersjach do 2.6.65 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na tworzenie i anulowanie rzeczywistych zamówień wysyłkowych przez zewnętrzne API logistyczne, modyfikację metadanych zamówień WooCommerce, nadpisanie tokenu API wtyczki i wyzwalanie e-maili z powiadomieniami o wysyłce.