Katalog podatności CVE

W Apache Answer do wersji 2.0.2 kontroler operacji na pytaniach sprawdza niewłaściwe uprawnienie (unpin zamiast hide) przy operacjach ukrywania/pokazywania. W konfiguracjach ról rozdzielających te uprawnienia użytkownik z tylko question.unpin może ukrywać lub przywracać pytania bez uprawnień question.hide lub question.show.

W Apache Answer do wersji 2.0.2 importer zapisuje importowane treści pytań jako surowy HTML bez przejścia przez normalną sanityzację Markdown-do-HTML. Atakujący może osadzić złośliwy HTML w importowanym źródle danych, który jest utrwalany i renderowany wszystkim przeglądającym jako stored XSS.

W Apache Answer do wersji 2.0.2 pełne klucze API są zapisywane w logach aplikacji przy każdym uwierzytelnionym żądaniu. Każdy z dostępem do odczytu logów może odzyskać i ponownie użyć aktywnych poświadczeń bearer.

MISP zawiera podatność w obsłudze ustawień wtyczek modułów. Podczas odbudowy ustawień dostarczanych przez moduł na potrzeby API serwer pomija flagi redacted i cli_only zadeklarowane w metadanych konfiguracji modułu, co może prowadzić do ujawnienia poufnych danych uwierzytelniających oraz obejścia ograniczeń dostępu.

MISP zawiera lukę w mechanizmie wyszukiwania ustawień serwera, która pozwala uwierzytelnionemu użytkownikowi pobrać wrażliwe dane konfiguracyjne, które powinny być zredagowane. Gdy zamiast konkretnego ustawienia podana zostanie nazwa gałęzi (np. Security, MISP, Plugin), funkcja zwraca całe poddrzewo, omijając mechanizm redakcji. Ujawnia to m.in. sól bezpieczeństwa, hasła połączeń Redis i klucze API wtyczek; dotyczy wersji <2.5.48.

MISP zawiera podatność typu reflected cross-site scripting (XSS) w interfejsie modułu workflow. Nazwy parametrów zwracane przez usługę misp-modules są renderowane jako surowe etykiety formularzy HTML bez kodowania wyjściowego, co pozwala na wstrzyknięcie dowolnego HTML lub JavaScript.

MISP zawiera podatność typu CSS injection w funkcji podglądu zdarzeń zdalnych. Wartość koloru powiązana ze zdalnym tagiem jest zapisywana bezpośrednio w atrybucie stylu inline CSS bez wystarczającej walidacji, co pozwala na wstrzyknięcie dowolnych deklaracji CSS.

W bibliotece NLP.js w wersji 4.27.0 wykryto podatność w funkcji Evaluator.walkFunction w pliku packages/evaluator/src/evaluator.js, w komponencie Condition Expression Pipeline. Manipulacja argumentem condition prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział jeszcze na zgłoszenie.

W pi-agent-dashboard do wersji 0.8.0 wykryto podatność w komponencie WebSocket Gateway, polegającą na błędzie walidacji origin przy manipulacji argumentem cwd. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 0.9.0 (patch 48fd0bad5adfe76af9736599699d51a5f60019f6) usuwa problem.

W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji MultiTaskPipelinePreprocessor.__init__ w pliku deeppavlov/models/preprocessors/multitask_preprocessor.py. Manipulacja argumentem preprocessor prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.

W wtyczce ExpressTech Quiz And Survey Master (quiz-master-next) występuje podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 11.2.7 włącznie.

Wtyczka Tutor LMS w wersji do 4.1.2 zawiera podatność Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to zapisanie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.

Wtyczka MapSVG do WordPressa (wersje do 8.16.1) zawiera podatność typu Path Traversal polegającą na niewłaściwym ograniczeniu ścieżki do katalogu. Może to pozwolić atakującemu na dostęp do plików poza zamierzonym katalogiem.

Wtyczka Essential Addons for Elementor w wersji do 6.8.5 zawiera podatność nieprawidłowego przypisania uprawnień, umożliwiającą eskalację uprawnień. Problem wynika z błędów w kontroli uprawnień w komponencie wtyczki.

Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.

Wtyczka Quiz Maker firmy Ays Pro (wersje do 6.7.1.91) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Może to pozwolić atakującemu na wstrzyknięcie złośliwego skryptu.

W Apache Kylin od wersji 4.0.0 do 5.0.4 atakujący z uprawnieniami administratora projektu może użyć API cache do wyczerpania zasobów kolumn obliczanych. Luka polega na alokacji zasobów bez limitów lub ograniczeń.

W Apache Kylin od wersji 4.0.0 do 5.0.4 domyślny profil startowy pomija ustawienia bezpieczeństwa. Wdrożenia z włączonym profilem ustawień bezpieczeństwa nie są dotknięte.

Podatność w Apache Kylin polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi podczas manipulacji zadaniami. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi zadań nie są wystawione do sieci publicznej.