Katalog podatności CVE

Sharkord przed wersją 0.0.8 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu członkowi zmieniać ustawienia serwera poprzez wywołanie mutacji tRPC others.updateSettings bez uprawnienia MANAGE_SETTINGS. Atakujący mogą ustawić hasło dołączania, wyłączyć rejestrację, wyzerować limity przesyłania lub przełączać ładowanie wtyczek, aby odmówić usługi innym członkom.

Baserow przed wersją 2.3.0 zawiera brak autoryzacji, który pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać wartości pól z innych przestrzeni roboczych poprzez endpoint API unique_row_values. Atakujący mogą enumerować sekwencyjne identyfikatory pól, aby pobrać do 100 różnych wartości komórek na pole z tabel w przestrzeniach roboczych, do których nie należą.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 3.7.1 modułu import-export, kontynuacja duplikatu importu akceptuje wybory zamiany kontrolowane przez klienta bez powiązania ich z analizą po stronie serwera należącą do użytkownika lub autoryzacji kanonicznego celu. W przypadku typu lokalizowanego z włączonym importem, współpracownik z uprawnieniami do edycji szkiców może przekroczyć granicę publikacji, wybierając opublikowany dokument do zamiany, chociaż obecna ocena opiera się na przeglądzie poprawek, a nie na powtórzonej reprodukcji end-to-end. Problem został naprawiony w wersji 3.7.1.

ApostropheCMS to open-source'owy system zarządzania treścią dla Node.js. Przed wersją 3.7.1 modułu import-export, uwierzytelniony importer może przesłać archiwa, których zdekompresowane bajty, liczba wpisów i rozmiary wpisów nie są ograniczone przed autoryzacją typu dokumentu, a błędy ekstrakcji lub parsowania mogą pozostawić artefakty staging i wyodrębnione bez bezwarunkowego czyszczenia. Już wzmocnione ścieżki przed uwierzytelnieniem i błędów zapisu są oddzielne, a obecny wpływ end-to-end na odmowę usługi z tej pozostałej ścieżki pozostaje przedmiotem walidacji przez opiekunów. Problem został naprawiony w wersji 3.7.1.

W ApostropheCMS przed wersją 4.34.0 publiczny typ REST API korzystający z publicApiProjection może ujawniać informacje o wykluczonych polach wyszukiwania lub sortowania poprzez oracle'e przynależności do wyników wyszukiwania i kolejności sortowania. Zwracane pola nadal są filtrowane przez projekcję, więc problem pozwala na ukierunkowane wnioskowanie o ukrytych wartościach, a nie na nieograniczony zrzut pól.

W module import-export ApostropheCMS przed wersją 3.7.1 przewidywalne nazwy plików archiwów eksportu pozwalają nieuwierzytelnionemu żądającemu pobrać eksport innego użytkownika z publicznie czytelnego magazynu eksportów, zanim archiwum wygaśnie lub zostanie usunięte. Użytkownik z uprawnieniami do eksportu musi najpierw utworzyć archiwum, a witryny z wyłączonymi eksportami, prywatnym magazynem przesyłania lub uwierzytelnionym dostarczaniem przesyłania nie są narażone tą ścieżką pobierania przez sieć.

W ApostropheCMS przed wersją 4.34.0 żądanie POST /api/v1/@apostrophecms/doc/slugTaken z ciałem { "slug": "target-slug" } zwraca wartość logiczną wskazującą, czy slug jest używany we wszystkich typach dokumentów i poziomach widoczności, bez filtra uprawnień lub typu. Każdy zalogowany użytkownik (w tym edytorzy) może wyliczyć przestrzeń slugów prywatnych stron, wersji roboczych i zarchiwizowanej zawartości.

W ApostropheCMS przed wersją 4.34.0 pole koloru akceptuje końcową zawartość po prawidłowym prefiksie rgb() lub hsl(), ponieważ walidacja TinyColor nie wymaga dopasowania całej wartości do koloru. Uwierzytelniony użytkownik z prawami edycji może zapisać dowolny HTML po prawidłowym prefiksie koloru. Gdy zapisana wartość jest renderowana, ładunek wykonuje się, co prowadzi do przechowywanego XSS.

W Vitest od wersji 4.1.11 do 4.1.12 i 5.0.3 funkcje isFileLoadingAllowed i odczyt systemu plików interpretują backslashe inaczej w systemie Windows w pliku packages/mocker/src/node/interceptorPlugin.ts. Gdy klient może dotrzeć do serwera deweloperskiego Vite w systemie Windows i zarejestrować mock przekierowania zawierający traversal z backslashem, łączenie POSIX zachowuje traversal z backslashem Windows, który późniejszy odczyt systemu plików interpretuje jako separator ścieżki, więc klient może odczytać plik poza server.fs.allow, do którego proces Vitest ma dostęp.

W Vitest od wersji 2.1.0-beta.7 do 4.1.12 i 5.0.3 nieuwierzytelniony klient WebSocket inny niż przeglądarka, który może dotrzeć do serwera deweloperskiego używającego interceptorPlugin, może zarejestrować ręczny mock, którego kontrolowany przez atakującego adres URL createManualModuleSource wstawia bez escapowania do wygenerowanego źródła modułu. Gdy przeglądarka dewelopera ładuje zaatakowany moduł, kontrolowany przez atakującego JavaScript wykonuje się w origin serwera deweloperskiego.

Vitest w wersjach od 5.0.0-beta.6 do 5.0.5 nieprawidłowo stosuje ustawienie server.fs.deny, ponieważ serwery projektowe zastępują domyślne ustawienia Vite, a serwer główny dodaje plik .vitest-secret-token po skompilowaniu matchera przez Vite. Atakujący z dostępem do interfejsu UI, trybu Browser Mode lub serwera API może odczytać zablokowane pliki projektu lub token API w node_modules/.vitest/.vitest-secret-token, a tryb Browser Mode z test.projects może ujawnić wartości .env przez złośliwą stronę.

Vite w wersjach od 8.2.0 do 8.2.4 oraz 8.3.3 pozwala na zwrócenie do przeglądarki pierwszych 4 bajtów plików spoza ustawienia server.fs poprzez żądanie zawierające parametr ?vite-wasm-instance. Wewnętrzny plugin Wasm usuwa parametr i odczytuje ścieżkę bezpośrednio z dysku, nie stosując kontroli server.fs, a błąd parsowania WebAssembly ujawnia pierwsze 4 bajty pliku.

Vite przed wersjami 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 może zapisać w safeModulePaths adres URL względny wobec katalogu głównego zamiast oczyszczonego identyfikatora modułu. Na dostępnym sieciowo serwerze deweloperskim (nie na Windows) zaimportowany plik projektu, którego URL odpowiada absolutnej ścieżce hosta, może autoryzować późniejsze żądanie odczytu tego pliku hosta, jeśli nie zablokuje go server.fs.deny.

W Vite przed wersjami 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 aplikacje używające niestandardowego middleware są podatne, gdy przekazują niezmieniony URL żądania przeglądarki do server.transformIndexHtml. getHtmlFilename używa URL żądania z zapytaniem do rozwiązania istniejącego pliku lokalnego, zachowując wiodące ukośniki dostarczone przez atakującego w wygenerowanym URL modułu proxy. Jeśli przekształcony HTML zawiera wbudowany skrypt modułu, a przeglądarka ofiary ładuje spreparowaną stronę serwera deweloperskiego, wiodący podwójny ukośnik powoduje pobranie i wykonanie modułu kontrolowanego przez atakującego.

Wtyczka WordPress SureCart w wersjach do 4.9.5 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.

W wtyczce VikRentCar (e4jvikwp) do wersji 1.4.8 występuje podatność Cross-Site Request Forgery (CSRF). Podatność pozwala na wykonanie niepożądanych działań w imieniu zalogowanego użytkownika.

Wtyczka WordPress Booktics w wersjach do 1.0.30 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.

Wtyczka WordPress Bus Ticket Booking with Seat Reservation w wersjach do 5.9.7 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.

Wtyczka WordPress WP User Manager w wersjach do 2.9.25 zawiera podatność polegającą na braku autoryzacji, umożliwiającą manipulowanie stanem użytkownika. Może to pozwolić nieuprawnionym użytkownikom na zmianę stanu kont innych użytkowników.

Wtyczka WordPress Rootblox w wersjach do 1.0.7 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.