Katalog podatności CVE

Zidentyfikowano słabość w ag-ui-protocol ag-ui 1.0. Dotkniętym elementem jest funkcja prepareRunAgentInput w pliku agent/agent.ts komponentu Event Application Layer. Manipulacja argumentem TEXT_MESSAGE_START powoduje błąd walidacji pochodzenia. Zdalne wykorzystanie ataku jest możliwe. Pull request z poprawką oczekuje na akceptację.

Nozomi Networks Labs zidentyfikowało podatność CWE-79: Niewłaściwa neutralizacja danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w interfejsie zarządzania transakcjami Modbus urządzenia Advantech EKI-1242EIMS w wersji oprogramowania V1.06.01, która pozwala zdalnemu uwierzytelnionemu atakującemu na przechowywanie złośliwej zawartości skryptów, która wykonuje się w przeglądarce każdego administratora, który później otworzy zaatakowaną stronę zarządzania.

W yshop-crm do wersji 2.1.3 występuje błąd autoryzacji w punkcie końcowym GET /admin-api/system/user/page, gdzie adnotacja @PreAuthorize została zakomentowana. Uwierzytelnieni użytkownicy back-office bez uprawnienia system:user:list mogą wyliczyć wszystkich użytkowników. Osoby z ważnymi poświadczeniami i rolą o zakresie danych ALL mogą pobrać pełny katalog użytkowników, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i informacje o ostatnim logowaniu.

W yshop-crm do wersji 2.1.3 nie są egzekwowane kontrole autoryzacji w punkcie końcowym deleteFlowStep kontrolera CrmFlowController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office usuwać dowolne kroki zatwierdzania. Atakujący mogą wywołać DELETE /admin-api/crm/flow/delete-step bez wymaganych uprawnień, aby usunąć kroki zatwierdzania kontrolujące procesy finalizacji umów, należności i faktur.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym GET /admin-api/crm/flow/flow-users, która pozwala każdemu zalogowanemu użytkownikowi back-office na dostęp do danych przepływu zatwierdzania. Atakujący mogą pobrać topologię łańcucha zatwierdzania, kolejność kroków, identyfikatory zatwierdzających oraz dane osobowe, w tym nazwy logowania, pseudonimy, działy, adresy e-mail, numery telefonów i adresy IP ostatniego logowania.

W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punkcie końcowym GET /admin-api/crm/operatelog/page, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office na dostęp do ogólnosystemowego dziennika audytu. Atakujący mogą odpytywać dziennik operacji, aby pobrać nazwy operatorów, pseudonimy, adresy IP klientów, ciągi User-Agent, adresy URL żądań, szczegóły akcji i identyfikatory klientów bez odpowiednich kontroli uprawnień.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym receiveCustomer kontrolera CrmCluesController, która pozwala uwierzytelnionym użytkownikom back-office przejmować leady sprzedażowe bez odpowiednich kontroli uprawnień. Atakujący mogą wywołać punkt końcowy przejmowania leadów, aby przypisać leady innych pracowników do siebie poprzez nadpisanie pola ownerUserId, bez rejestrowania dostępu i walidacji limitów, co umożliwia masową kradzież leadów.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w handlerze onSale kontrolera StoreProductController, która pozwala uwierzytelnionym użytkownikom back-office modyfikować status sprzedaży produktów. Atakujący mogą wywołać GET /admin-api/product/store-product/sale z sekwencyjnymi identyfikatorami produktów, aby wycofać całe katalogi produktów ze sprzedaży lub ponownie włączyć wycofane produkty bez odpowiednich kontroli uprawnień.

W yshop-crm do wersji 2.1.3 występuje luka braku autoryzacji w punkcie końcowym issueInvoice kontrolera CrmInvoiceController, która pozwala uwierzytelnionym użytkownikom back-office wystawiać dowolne faktury. Atakujący mogą wywołać PUT /admin-api/crm/invoice/issue bez wymaganych uprawnień, aby zmienić status faktury, zawyżyć zafakturowane kwoty umów o wybrane przez siebie wartości i wywołać wysyłkę e-maili z fakturami na dowolne adresy.

W yshop-crm do wersji 2.1.3 nie są egzekwowane uprawnienia w punktach końcowych sendSms i sendMail kontrolera CrmCustomerController, co pozwala każdemu uwierzytelnionemu użytkownikowi back-office wysyłać SMS-y i e-maile do dowolnych klientów. Atakujący mogą wywołać POST /admin-api/crm/customer/send-sms i POST /admin-api/crm/customer/send-mail z dowolnymi customerIds, templateCode i templateParams, aby dostarczać nieautoryzowane wiadomości przez kanały SMS i e-mail organizacji.

Zidentyfikowano podatność w projekcie a2ui-project a2ui w wersjach 0.8/0.9/1.0. Dotyczy ona nieznanej funkcji w pliku model-processor.ts komponentu Model Processor. Manipulacja argumentem current[segment] prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Identyfikator poprawki to 1b3bff234661ce922cbc3771be642b23ec9fd0fa. Aby naprawić ten problem, zaleca się wdrożenie poprawki.

Wykryto podatność w projekcie a2ui-project a2ui w wersjach 0.9/0.9.1. Problem dotyczy funkcji updateComponents w pliku basic_functions.ts komponentu Update Components. Wykonanie manipulacji może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.

VeloCloud Edge i Gateway mają podatność typu out-of-bounds write podczas przetwarzania tunelowanych fragmentów IP między uwierzytelnionymi sąsiadami overlay. Dotyczy to wyłącznie protokołu tunelowego VeloCloud VCMP. Udany atak może spowodować zakończenie i restart procesu, prowadząc do tymczasowego zakłócenia ruchu.

Aplikacja DuoxMe dla Androida w wersjach przed 4.3.4 przechowuje dane wrażliwe w postaci jawnej. Atakujący z lokalnym dostępem do urządzenia może odczytać poświadczenia zapisane przez aplikację i podszyć się pod konto użytkownika.

Nieuwierzytelniony atakujący może wstrzyknąć fałszywe wpisy do dziennika operacyjnego Apache ZooKeeper, wysyłając spreparowane żądanie add_auth("ensemble", ...) zawierające znaki nowej linii. Nazwa zespołu nie jest sanityzowana przed zapisaniem do logu, co pozwala na sfałszowanie wpisów nieodróżnialnych od prawdziwych.

Gdy włączone jest logowanie audytowe, nieuwierzytelniony atakujący może wstrzyknąć dowolne pola do dziennika audytu Apache ZooKeeper, wysyłając żądanie uwierzytelnienia digest z tabulatorami w nazwie użytkownika. Wstrzyknięte tabulatory są interpretowane jako separatory pól, co pozwala na sfałszowanie wyników audytu i operacji.

Na platformach z Arista EOS nieuwierzytelniony atakujący w sąsiedztwie sieciowym przełącznika, mogący połączyć się z urządzeniem z włączonym PIM Sparse Mode i MLAG, może wysłać zniekształcone komunikaty powodujące nieoczekiwane zakończenie agenta Pimsm. Agent jest automatycznie restartowany, ale powtarzane ataki mogą prowadzić do ciągłych restartów i trwałej odmowy usługi.

Podatność out-of-bounds read (buffer over-read) w parsowaniu nagłówka odpowiedzi HTTP Cache-Control w module QtNetwork w Qt 6.0.0–6.8.8 oraz 6.9.0–6.11.1 pozwala zdalnemu atakującemu wywołać odmowę usługi (awarię aplikacji) poprzez zbyt dużą wartość nagłówka Cache-Control zwróconą przez niezaufany lub skompromitowany serwer HTTP. Dotyczy tylko strony klienta, a kompilacje 32-bitowe nie są podatne; dostęp jest tylko do odczytu, bez ujawnienia informacji i bez wykonania kodu.

Na niektórych platformach z Arista EOS i luźną konfiguracją Unicast Reverse Path Forwarding (uRPF) określony ruch może nie podlegać zamierzonemu odrzuceniu weryfikacyjnemu. W rezultacie ruch, który powinien zostać odrzucony na podstawie tych tras, może być nadal przetwarzany i przekazywany przez urządzenie.

Specjalnie spreparowany pakiet może spowodować przedwczesne wygaśnięcie stanu przekazywania multicast na dotkniętych interfejsach. Może to prowadzić do tymczasowej utraty ruchu multicast w okresie objętym problemem.