Katalog podatności CVE

W ApostropheCMS przed wersją 4.33.0 oraz passport-bridge przed wersją 1.6.1 migracja sesji między hostami lub lokalizacjami umieszcza jednorazowy token sesji bearer w URL przekierowania. Klient, który uzyska i wykorzysta wciąż ważny, niewykorzystany token przed jego pierwszym użyciem, może przejąć powiązaną sesję, w tym poprzez przepływ cross-locale passport-bridge. Problem naprawiono w ApostropheCMS 4.33.0 i passport-bridge 1.6.1.

ApostropheCMS przed wersją 4.33.0 ma trasę REST GET /api/v1/<piece-type>/:_id/locales (oraz równoważną trasę stron), która nie stosuje bramki publicApiCheckAsync wymuszanej przez inne trasy odczytu ApostropheCMS. Nieuwierzytelniony wywołujący może zapytać tę trasę dla dowolnego _id dokumentu i dowiedzieć się, czy dokument istnieje oraz w jakich lokalizacjach jest opublikowany — ujawnienie istnienia dokumentu i metadanych lokalizacji, które API odczytu powinno normalnie chronić. Problem naprawiono w wersji 4.33.0.

W integracjach CAPTCHA (Form, login-recaptcha, login-hcaptcha) dla ApostropheCMS token odpowiedzi użytkownika jest wstawiany bez kodowania do żądania weryfikacji u dostawcy. Spreparowane tokeny mogą przemycać parametry żądania i zakłócać weryfikację CAPTCHA oraz chronione nią formularze lub logowanie. Możliwe jest automatyczne sondowanie obejścia, ale nie potwierdzono skutecznego obejścia CAPTCHA ani ujawnienia sekretu.

W db-connect przed 1.1.0 i ApostropheCMS przed 4.33.0 konto z dostępem view-draft może przesłać ścieżkę wykluczenia projekcji przechodzącą przez łańcuch prototypu konstruktora do współdzielonego elementu prototypu, gdy używany jest adapter SQLite, PostgreSQL lub multipostgres. Helper unsetNestedField usuwa wtedy współdzielony element runtime, powodując trwałe skutki dla integralności i dostępności procesu; domyślny adapter MongoDB nie jest podatny.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 4.33.0 moduł powiadomień udostępnia endpointy REST PATCH i DELETE, które wykonują operacje bezpośrednio na kolekcji MongoDB bez weryfikacji uwierzytelnienia żądającego lub własności powiadomienia. W rezultacie nieuwierzytelniony atakujący, który uzyska prawidłowy identyfikator powiadomienia, może zmodyfikować lub trwale usunąć powiadomienie innego użytkownika.

W module import-export ApostropheCMS przed wersją 3.7.0 uwierzytelniony importer może przesłać wpis tar, którego znormalizowana ścieżka docelowa wskazuje katalog, omijając ochronę przed podciągiem ścieżki nadrzędnej. Otwarcie tego katalogu jako strumienia zapisu powoduje nieobsłużony błąd systemu plików, który może zakończyć proces Node.js. Źródło potwierdza ten statyczny prymityw, ale nie pełny exploit ani kontrolowany odczyt/zapis plików.

W module import-export ApostropheCMS przed wersją 3.7.0 uwierzytelniony użytkownik z dostępem do importu dla docelowego typu może podać obiekt lub operator jako wartość klucza aktualizacji, powodując dopasowanie zapytania importu do niezidentyfikowanego istniejącego dokumentu, który użytkownik ma ogólne uprawnienie do edycji. Normalny filtr uprawnień findForEditing nadal ogranicza kandydatów, więc luka nie pozwala na nadpisanie dowolnej chronionej treści bez uprawnień.

W sanitize-html przed wersją 2.18.0 konfiguracja niebędąca domyślną, która zezwala na elementy meta refresh oraz ich atrybuty http-equiv i content, może zachować niebezpieczne skrypty lub cele przekierowań osadzone w wartości content odświeżania. Problem dotyczy ApostropheCMS korzystającego z sanitize-html. Luka została naprawiona w sanitize-html 2.18.0.

W ApostropheCMS przed wersją 4.33.0 API exist-in-locale pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach ustalić, czy ograniczone dokumenty istnieją w określonym locale i trybie, w tym w trybie roboczym. Endpoint zwraca identyfikatory zlokalizowanych dokumentów bez stosowania kryteriów autoryzacji na poziomie dokumentu. Luka została naprawiona w wersji 4.33.0.

W ApostropheCMS przed wersją 4.33.0 nieuwierzytelniony atakujący może wysłać spreparowany link, którego query string jest automatycznie parsowany przez apos.http.parseQuery, gdy uwierzytelniona ofiara załaduje stronę z pakietem administracyjnym. Parser akceptuje specjalne klucze ścieżki __proto__, constructor i prototype, umożliwiając mutację prototypu w przeglądarce, która może dotrzeć do niebezpiecznego ujścia DOM i wykonać skrypt w sesji ofiary. Anonimowi odwiedzający nie ładują podatnego kontekstu administracyjnego. Luka została naprawiona w wersji 4.33.0.

W aaPanel do wersji 8.25.0 funkcja GetClientIp w pliku class/public/common.py manipuluje argumentem X-Real-Ip, co prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być użyty. Producent potwierdza, że zgłoszona luka obejścia IP przez X-Real-Ip została już naprawiona.

W aaPanel do wersji 8.25.0 wykryto podatność w funkcji ExecShell w pliku class/public/common.py komponentu File Manager. Manipulacja argumentami sfile/dfile/access/user prowadzi do wstrzyknięcia poleceń systemu operacyjnego, możliwego do wykorzystania zdalnie. Exploit został publicznie ujawniony, a producent potwierdza, że zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.

Wtyczka Participants Database (participants-database) dla WordPress od xnau webdesign do wersji 2.7.8.5 zawiera lukę obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji od n/a do 2.7.8.5.

Podatność w bibliotece follow-redirects (wersje 1.16.0 do 1.16.1) polega na tym, że przy przekierowaniu na inny host lub na mniej bezpieczny protokół nagłówki uwierzytelniające (Authorization, Proxy-Authorization, Cookie, sensitiveHeaders) nie są usuwane, jeśli aplikacja przekazała je w formie tablicy naprzemiennych nazw i wartości. Mechanizm filtrowania używa pętli for...in, która dla tablicy zwraca indeksy liczbowe, przez co żaden nagłówek nie zostaje dopasowany ani usunięty. W efekcie aplikacja wysyła poświadczenia do celu kontrolowanego przez atakującego bez ostrzeżenia.

Podatność Path Traversal (CWE-22) w FileArtifactService w Google ADK TypeScript (@google/adk) w wersjach 0.4.0 przed 0.6.0 pozwala zdalnemu nieuwierzytelnionemu atakującemu czytać pliki zgodne z układem katalogu artefaktów lub zapisywać pliki poza zamierzonym katalogiem głównym, gdy serwer API ADK jest wystawiony z włączonym niestandardowym FileArtifactService. Aplikacje korzystające z domyślnego InMemoryArtifactService nie są dotknięte.

Konto usługi z uprawnieniami do zarządzania użytkownikami w jednej organizacji może odczytywać, modyfikować, wyłączać lub usuwać użytkowników należących do innych organizacji w tej samej instancji Grafana poprzez API SCIM (niezabezpieczone bezpośrednie odwołanie do obiektu). Dotyczy tylko instancji Grafana Enterprise z włączonym SCIM.

SolarWinds Patch Manager ujawnia poufne informacje dostępne dla lokalnych użytkowników, co może zostać wykorzystane do podniesienia uprawnień. Podatność pozwala lokalnemu atakującemu na uzyskanie wrażliwych danych.

SolarWinds Observability Self-Hosted zawiera podatność typu stored XSS, która pozwala uwierzytelnionym atakującym wstrzyknąć złośliwą treść lub JavaScript, wyświetlaną lub wykonywaną w przeglądarkach innych uwierzytelnionych użytkowników odwiedzających dotknięte strony. Może to prowadzić do przejęcia sesji użytkowników.

W SolarWinds Observability Self-Hosted wykryto podatność Server-Side Request Forgery (SSRF), która pozwala uwierzytelnionym atakującym zmusić serwer aplikacji do wysyłania żądań do celów kontrolowanych przez atakującego lub do zasobów wewnętrznych.

W SolarWinds Observability Self-Hosted wykryto wadliwy schemat autoryzacji, który może umożliwić użytkownikom o niskich uprawnieniach dostęp do informacji i ich modyfikację poza przydzielonymi uprawnieniami.