Katalog podatności CVE

Froxlor w wersjach od 0.10.0 przed 2.3.15 zawiera podatność obejścia autoryzacji w komendzie API Admins.get, która pozwala resellerom odczytać dowolny rekord administratora poprzez pomieszanie identyfikatorów. Atakujący mogą wysłać własną nazwę logowania z numerycznym identyfikatorem innego administratora, aby uzyskać adres e-mail kontaktowy, listy dozwolonych adresów IP, limity zasobów, notatki i historię logowania.

W FlexGet przed wersją 3.20.7 występuje podatność path traversal w pluginie dekompresji, pozwalająca zdalnym atakującym zapisywać dowolne pliki poprzez złośliwe ścieżki elementów archiwum. Atakujący może dostarczyć archiwa zip lub rar z sekwencjami ../ lub ścieżkami absolutnymi przez feed, zapisując pliki Python w katalogu pluginów w celu wykonania kodu.

SparkyFitness przed 0.17.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać warianty żywności innych użytkowników poprzez endpoint DELETE /api/foods/food-variants/:id. Atakujący mogą użyć identyfikatorów wariantów z publicznych endpointów odczytu żywności, aby usunąć warianty porcji i wartości odżywczych publicznie udostępnionej żywności, niszcząc dane ofiar.

Outline przed 1.8.0 zawiera podatność nieprawidłowego odbierania dostępu, która pozwala usuniętym administratorom nadal otrzymywać treści dokumentów, ponieważ UserDeletedProcessor nigdy nie wyłącza ich rekordów WebhookSubscription. Byli administratorzy, którzy zarejestrowali webhooki przed usunięciem, nadal otrzymują pełne treści dokumentów, w tym dane Markdown i Yjs, poprzez DeliverWebhookTask dla każdego pasującego zdarzenia w przestrzeni roboczej.

Xen Orchestra przed 6.9.0 zawiera podatność obejścia autoryzacji w metodzie API xo-server user.set, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami modyfikować preferencje innych użytkowników poprzez podanie dowolnego identyfikatora użytkownika docelowego. Atakujący mogą usunąć sekret TOTP preferences.otp, aby wyłączyć uwierzytelnianie dwuskładnikowe, uszkodzić go, aby zablokować logowanie, lub nadpisać przechowywane xsCredentials i sshKeys.

Bandisoft Bandizip przed wersją 7.47 nie propaguje znacznika Mark-of-the-Web do wyodrębnionych plików .ps1 i .psm1, co pozwala atakującym obejść ochronę wykonywania opartą na strefach. Atakujący mogą dostarczać niepodpisane skrypty lub moduły PowerShell w pobranych archiwach, które uruchamiają się w ramach polityki RemoteSigned, gdy użytkownik je wywoła.

Blok Configurable Reports dla Moodle (moodle-block_configurablereports) przed 5.3.1 zawiera podatność wstrzyknięcia SQL w report_sql::prepare_sql() poprzez parametr żądania filter_var w viewreport.php. Użytkownicy z niskimi uprawnieniami, którym pozwolono przeglądać raporty używające placeholdera %%FILTER_VAR%%, mogą wstrzykiwać podzapytania lub UNION SELECT, aby odczytać dowolne tabele bazy danych, w tym hasła użytkowników.

Blok Configurable Reports dla Moodle przed 5.3.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać zastrzeżone raporty poprzez usługę sieciową block_configurable_reports_get_report_data. Gdy check_permissions zawiedzie, funkcja dodaje jedynie ostrzeżenie i nadal zwraca pełną tabelę raportu, pozwalając każdemu zalogowanemu użytkownikowi podać dowolne identyfikatory raportów, aby odczytać raporty SQL dotyczące danych użytkowników i ocen.

W Stirling-PDF od wersji 3.0.0 do 3.2.0 występuje obejście autoryzacji, które pozwala uwierzytelnionym użytkownikom uzyskać dostęp do plików innych użytkowników poprzez wskazanie folderu przetwarzania na katalog przechowywania serwera. Atakujący może utworzyć folder przez POST /api/v1/processing-folders wskazujący storage/<victimUserId>, wylistować pliki i uruchomić pipeline'y, aby czytać, modyfikować lub niszczyć pliki ofiar.

W Stirling-PDF od wersji 2.13.2 do 3.2.0 występuje niekompletna lista blokad w DatabaseService.validateSqlContent(), pozwalająca administratorom obejść ograniczenia importu H2 za pomocą CREATE OR REPLACE ALIAS. Uwierzytelnieni administratorzy mogą przesłać spreparowaną kopię SQL do endpointu import-database, gdzie RUNSCRIPT definiuje aliasy funkcji Java H2 i przywraca wykonywanie metod Java.

Ghidra od 10.2 do 12.1.4 zawiera podatność odmowy usługi w klasie ElfHeader loadera ELF, która alokuje tablice o rozmiarze opartym na niezweryfikowanych rozszerzonych licznikach nagłówków sekcji i programów. Atakujący mogą dostarczyć spreparowany 128-bajtowy plik ELF, który wywołuje OutOfMemoryError podczas wykrywania load-spec przy imporcie lub w potokach analizy headless.

Rozszerzenie serwera x402 SIWX w @x402/extensions 2.3.1 do 2.28.0, x402 PyPI 2.11.0 do 2.25.0 oraz module Go 2.16.0 do 2.28.0 zawiera podatność obejścia autoryzacji, która pozwala płacącym klientom odblokować nieopłacone trasy poprzez podanie niezgodnego adresu URL PaymentPayload.resource. Atakujący mogą zapłacić za najtańszą trasę chronioną przez SIWX, ustawiając resource.url na drogą trasę, a następnie wielokrotnie uzyskiwać do niej dostęp wyłącznie za pomocą nagłówka SIGN-IN-WITH-X bez dalszej płatności.

json-smart do 2.6.0 zawiera podatność obejścia walidacji danych wejściowych, która pozwala atakującym ominąć kontrole danych końcowych w trybie ścisłym poprzez wstawienie znaku 0x1A. Atakujący mogą dołączyć 0x1A i zniekształconą treść, aby przejść walidację JSONValue.parseStrict lub isValidJsonStrict, tworząc różnice w parsowaniu z parserami niższego poziomu, takimi jak Jackson lub Gson.

W Memos przed wersją 0.27.0 występuje brak autoryzacji w metodach API ActivityService ListActivities i GetActivity, co pozwala uwierzytelnionym użytkownikom przeglądać aktywność wszystkich użytkowników. Atakujący z niskimi uprawnieniami mogą enumerować sekwencyjne identyfikatory aktywności, aby uzyskać identyfikatory twórców, znaczniki czasu i odniesienia do komentarzy, w tym aktywność na prywatnych notatkach innych użytkowników.

Fat Free CRM przed wersją 0.26.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować lub usuwać komentarze innych użytkowników, ponieważ CommentsController#update i #destroy używają nieskopowanego Comment.find bez sprawdzania autoryzacji. Atakujący mogą wysyłać żądania PUT lub DELETE do /comments/:id z enumerowalnymi sekwencyjnymi identyfikatorami, aby edytować lub usuwać komentarze do kontaktów, kont, leadów i szans sprzedaży należących do innych.

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.

Blinko do wersji 1.8.8 zawiera podatność typu insecure direct object reference w routerze tRPC tagów, która pozwala uwierzytelnionym użytkownikom odczytywać i modyfikować tagi innych użytkowników poprzez podanie dowolnych identyfikatorów tagów. Atakujący mogą enumerować sekwencyjne identyfikatory za pomocą fullTagNameById, updateTagIcon i updateTagOrder, aby ujawnić prywatne tematy notatek i manipulować ikonami oraz kolejnością tagów.

Webstudio przed wersją 0.256.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytywać dane projektów innych użytkowników poprzez procedury tRPC publishedBuilds i findManyByIds. Atakujący znający UUID projektu innego użytkownika może odpytać handler /trpc, aby uzyskać historię publikacji, tytuły, domeny, obrazy podglądu i najnowsze buildy.

Sharkord przed wersją 0.0.26 zawiera brak autoryzacji w mutacji tRPC others.changeLogo, która pozwala każdemu uwierzytelnionemu członkowi modyfikować logo serwera bez uprawnienia MANAGE_SETTINGS. Atakujący mogą usunąć obecne logo i zastąpić je przesłanym obrazem, który jest publikowany dla wszystkich połączonych klientów.