Katalog podatności CVE

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.57.0 żądania GET lub POST do /en/admin/project/{id}/rate/{rate}, /en/admin/customer/{id}/rate/{rate} oraz /en/admin/activity/{id}/rate/{rate} niezależnie rozwiązują autoryzowany identyfikator obiektu nadrzędnego i wybrany przez atakującego identyfikator stawki podrzędnej, nie potwierdzając, że ProjectRate, CustomerRate lub ActivityRate należy do tego obiektu nadrzędnego. Uwierzytelniony użytkownik mogący edytować jeden obiekt nadrzędny może połączyć go z rekordem stawki z nieautoryzowanego projektu, klienta lub czynności i utrwalić zmiany w konfiguracji rozliczeń w tabelach kimai2_projects_rates, kimai2_customers_rates lub kimai2_activities_rates.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 żądania POST /api/teams/{id}/members/{userId} i POST /api/teams/{id}/activities/{activityId} weryfikują, że lider zespołu może edytować zespół, ale nie weryfikują access_user dla wskazanego użytkownika ani dostępu view dla wskazanej czynności. Lider zespołu może dodać użytkowników lub czynności spoza swojego zakresu zarządzania do edytowalnego zespołu, omijając węższe wybory wymuszane przez TeamEditForm i UserRepository::getQueryBuilderForFormType(). Powstałe relacje mogą być zaufane przez RolePermissionManager::checkTeamAccessActivity() i inną logikę autoryzacji, widoczności, raportowania i przepływu pracy opartą na zespołach.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 TimesheetController udostępnia trasy GET /api/timesheets/{id}/stop i GET /api/timesheets/{id}/restart, które wykorzystują uwierzytelnioną sesję przeglądarki i wykonują operacje zmieniające stan przez żądania GET bez zabezpieczenia przed fałszowaniem żądań. Zdalny atakujący może spowodować, że zalogowany użytkownik wywoła jedną z tych tras z treści kontrolowanej przez atakującego, zatrzymując działający wpis czasu pracy lub wznawiając historyczny wpis w celu utworzenia i uruchomienia nowego wpisu bez zgody użytkownika. Nieautoryzowane zmiany mogą uszkodzić rekordy czasu, rozliczenia, raporty, zatwierdzenia i audyty.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 PATCH /api/timesheets/{id}/restart, PATCH /api/timesheets/{id}/duplicate oraz webowy przepływ duplikowania mogą utworzyć nowy rekord na podstawie posiadanego historycznego wpisu czasu pracy po odebraniu użytkownikowi dostępu do jego projektu lub czynności. TimesheetVoter ocenia uprawnienie own-timesheet przed bieżącym dostępem zespołowym, a jego logika canStart() waliduje widoczność obiektu, ale nie weryfikuje bieżącego dostępu zespołowego użytkownika do wskazanego projektu i czynności. Stary wpis działa więc jako trwała zdolność do tworzenia nowych rekordów czasu w nieautoryzowanym projekcie i czynności, uszkadzając budżety, statystyki, raporty i faktury po administracyjnym odebraniu uprawnień.

Przed wersją 2.57.0 aplikacji Kimai, żądania GET lub POST do /en/admin/activity/create/{project} i /en/admin/project/create/{customer} wymagały tylko ogólnych uprawnień create_activity lub create_project, bez weryfikacji dostępu do edycji obiektu Project lub Customer. Użytkownik znający identyfikator projektu lub klienta mógł utworzyć nowy obiekt biznesowy pod nieautoryzowanym rodzicem, zanieczyszczając konfigurację projektu lub klienta i wpływając na późniejsze wpisy czasu, stawki, raporty i rozliczenia.

Przed wersją 2.57.0 aplikacji Kimai, endpointy PATCH /api/timesheets/{id} i POST /api/timesheets akceptowały identyfikator projektu kontrolowany przez użytkownika, który omijał kryteria dostępu do zespołu. Każdy uwierzytelniony użytkownik z uprawnieniem edit_own_timesheet mógł przypisać własny wpis czasu do projektu spoza swoich zespołów, utrwalić nieautoryzowane przypisanie projektu i pobrać metadane projektu i klienta przez GET /api/timesheets/{id}?full=true.

Przed wersją 2.57.0 aplikacji Kimai, endpoint GET /api/timesheets akceptował identyfikatory użytkowników od osoby z uprawnieniem view_other_timesheet, ale nie sprawdzał, czy osoba z rolą ROLE_TEAMLEAD prowadzi zespół zawierający każdego docelowego użytkownika. Umożliwiało to liderowi zespołu pobranie opisów, danych czasowych, tagów, stawek i wewnętrznych stawek innego użytkownika, nawet jeśli GET /api/timesheets/{id} odmówiłby dostępu.

Nieprawidłowe obsługiwanie niewystarczających uprawnień w Secomea GateManager umożliwia eskalację uprawnień. Problem dotyczy wersji 11.5;0 i 11.4.625515072:0. Poprawka jest dostępna w wersji 11.6 lub 11.4.626194074 i nowszych.

Wersje MISP do 2.5.45 mogą rejestrować nieprawidłowe dane dziennika dostępu dla żądań kończących się wyjątkiem. Ze względu na to, że CakeErrorController rozszerza AppController, renderowanie wyjątku uruchamia ścieżkę startową aplikacji po raz drugi, co powoduje podwójne wywołanie AccessLog::logRequest() dla jednego żądania HTTP. Drugi zapis może nadpisać wiersz utworzony przez pierwszy, uszkadzając czas trwania żądania, liczbę zapytań SQL, użycie pamięci i potencjalnie dziennik zapytań.

Wersje MISP do 2.5.45 udostępniają kilka akcji kontrolerów zmieniających stan bez ograniczenia do metody POST. Dotyczy to akcji purgeUnusedPictures(), enableNoticelist(), removeOrphanedCorrelations() i rebuildRedis(). Atakujący może wywołać te akcje przez zwykłe żądania GET, wykorzystując sesję uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanych zmian.

OpenAM od wersji 13.0.0 do 16.1.2 ma podatność na odbity XSS w endpointzie OAuth2 authorize z parametrem display=wap. Strona zgody odzwierciedla wartości pochodzące z żądania bez kodowania HTML, co pozwala atakującemu na wykonanie JavaScriptu w kontekście OpenAM, kradzież sesji lub ciasteczek, ujawnienie tokenów CSRF i działania z uprawnieniami ofiary. Wymagany jest co najmniej jeden zarejestrowany klient OAuth2, ale atakujący nie musi go kontrolować.

W kontrolerze Sealed Secrets istnieje podatność w nieuwierzytelnionych endpointach POST /v1/verify i /v1/rotate. Atakujący z dostępem do wewnętrznej sieci może wstrzyknąć własną logikę szablonów Go w polu spec.template.data, a następnie wykorzystać różnice w kodach odpowiedzi HTTP (200 vs 409) jako wyrocznię deszyfrującą do odzyskania pełnego tekstu jawnego sealed secret. Problem potęguje brak powiązania pola spec.template.data z etykietą AEAD, co pozwala na dowolną modyfikację tego pola przy zachowaniu ważnego szyfrogramu.

OpenAM przed wersją 16.1.1 ma podatność w operacji addSessionListener w /sessionservice, która pozwala uwierzytelnionemu użytkownikowi na zarejestrowanie dowolnego adresu URL powiadomień bez wymaganego tokena administracyjnego lub aplikacji klienckiej. Serwer OpenAM może wysyłać żądania wychodzące do kontrolowanego przez atakującego miejsca, potencjalnie ujawniając dane powiadomień sesyjnych.

Proces samorejestracji akceptuje dane wejściowe od użytkownika dla nazw użytkowników bez odpowiedniego zapobiegania ujawnieniu istnienia nazwy użytkownika. Gdy użytkownik próbuje zarejestrować się z istniejącą nazwą, system odpowiada komunikatem błędu, który wyraźnie wskazuje, że nazwa jest już zajęta. Pozwala to atakującemu na odkrycie prawidłowych nazw użytkowników w systemie.

Podatność w MISP dotyczy nieprawidłowego filtrowania szablonów pulpitu nawigacyjnego ograniczonych do określonej flagi uprawnień. Funkcja listTemplates() zezwalała na szablon, gdy flaga uprawnień pasowała do uprawnień użytkownika lub gdy flaga była równa 0. Ponieważ pole jest typu varchar, MySQL dokonywał konwersji numerycznej, przez co ciągi takie jak 'perm_site_admin' były traktowane jako 0, co powodowało, że szablony z ograniczeniami były traktowane jako nieograniczone.

Podatność przepełnienia bufora opartego na stosie w bibliotece Samsung Opensource rLottie pozwala atakującym na przepełnienie buforów, co prowadzi do uszkodzenia pamięci podczas renderowania spreparowanych animacji wektorowych. Problem dotyczy konkretnej wersji rLottie: 480a2ad0c5d2e45458c545b8213279e9e8b71e39.

Podatność w MISP wynika z polegania na przetwarzaniu nadpisań metod żądań w CakePHP, co może wyłączyć walidację CSRF i zabezpieczeń formularzy. CakePHP honoruje pole _method lub nagłówek X-HTTP-Method-Override, zmieniając efektywną metodę żądania. Dla wartości spoza standardowych czasowników (POST, PUT, PATCH, DELETE) CakePHP czyści treść żądania, przez co MISP pomija walidację _validatePost() i _validateCsrf(). Atakujący może wysłać formularz z _method=GET, aby ominąć zabezpieczenia.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_node_list_insert_child w pliku scenegraph/base_scenegraph.c, co prowadzi do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecana jest aktualizacja do wersji abi-16.23, która zawiera poprawkę.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_node_get_name_and_id w pliku scenegraph/base_scenegraph.c, co prowadzi do użycia po zwolnieniu (use-after-free). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecana jest aktualizacja do wersji abi-16.23.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_url_concatenate_ex w pliku utils/url.c, co prowadzi do przepełnienia bufora na stercie. Atak musi być przeprowadzony lokalnie. Zalecana jest aktualizacja do wersji abi-16.23, która zawiera poprawkę.