Katalog podatności CVE

Wtyczka JetFormBuilder (Crocoblock) w wersjach do 3.6.7.1 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to prowadzić do wstrzyknięcia kodu w kontekście strony.

Wtyczka The Events Calendar (Liquid Web / StellarWP) w wersjach do 6.18.2 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt może zostać trwale zapisany i wykonany u użytkowników przeglądających stronę.

W wersjach @zuke/cli przed 1.4.0 narzędzie sprawdza nazwy szablonów przez lstat, ale następnie wykonuje operacje odczytu, zapisu i zmiany uprawnień podążające za dowiązaniami symbolicznymi w poleceniach zuke setup i zuke import. Atakujący może dostarczyć niezaufane repozytorium, szablon lub archiwum zawierające dowiązanie symboliczne o nazwie szablonu, co pozwala nadpisać plik poza wybranym katalogiem z uprawnieniami użytkownika uruchamiającego narzędzie. Podatność naprawiono w wersji 1.4.0.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core zapisuje notatki reportSummary(...) do GITHUB_STEP_SUMMARY przez writeJobSummary bez stosowania redaktora chroniącego wartości secret(). Budowanie GitHub Actions, które umieszcza tekst pochodzący z sekretów w notatce podsumowania, może ujawnić poświadczenia w postaci jawnej wszystkim mogącym zobaczyć uruchomienie workflow.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.10.0 bramka @zuke/gh githubWorkflow(...) koreluje uruchomienie workflow jedynie na podstawie znacznika tytułu widocznego na liście uruchomień, który może skopiować inny dyspozytor. W konfiguracjach, gdzie zewnętrzne repozytorium workflow przyznaje uprawnienie workflow_dispatch stronie niezaufanej w równym stopniu, atakujący może wywołać uruchomienie ze znacznikiem i spowodować przyjęcie jego wyniku bez weryfikacji zdarzenia, ref lub okna czasowego.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core uruchamia rozwiązane shimy Windows .cmd i .bat, poprzedzając je cmd /c, co powoduje ponowne parsowanie wiersza poleceń przez cmd.exe zgodnie z regułami cytowania C-runtime. Budowanie na Windows, które rozwiązuje narzędzie z node_modules/.bin i przekazuje tekst pod wpływem atakującego zawierający niecytowany znak &, | lub ^, może wykonać dodatkowe polecenie wybrane przez atakującego w kontekście budowania z dostępem do jego poświadczeń.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 tryb rejestru MCP @zuke/core akceptuje deskryptory rejestru w formie poleceń bez stosowania autoryzacji ZUKE_REGISTRY_LAUNCH_HOSTS wymaganej dla zdalnych deskryptorów modułów. Gdy zuke mcp --registry --allow-run czyta rejestr zapisywalny przez inną stronę, a wywołujący z uprawnieniami uruchamiania wywoła dotknięte narzędzie, piszący do rejestru może wybrać program i argumenty wykonywane ze środowiskiem i dostępem do obszaru roboczego operatora.

Serwer zarządzania WWW urządzenia Tenda W18E jest podatny na wstrzyknięcie poleceń systemu operacyjnego poprzez funkcję przechwytywania pakietów "diagnose" z powodu niewłaściwej walidacji pól JSON. Uwierzytelniony użytkownik może wstrzyknąć metaznaki powłoki do pól protocol lub targetDevice, które są następnie łączone w polecenie tcpdump i wykonywane z uprawnieniami roota. Podatność można wykorzystać bez uwierzytelnienia, jeśli urządzenie jest w stanie przywrócenia ustawień fabrycznych.

Problem w punkcie końcowym GraphQL serwera traggo w wersji 0.8.3 pozwala atakującym wywołać odmowę usługi (DoS) poprzez spreparowane żądanie POST do punktu końcowego GraphQL.

Podatność typu path traversal w komponencie FeaturedImage w astro-notion-blog 0.13.0 pozwala atakującym wyjść poza zamierzony katalog oraz odczytywać i nadpisywać pliki na serwerze poprzez spreparowany adres URL.

Uwierzytelniona podatność cross-site scripting (XSS) w komponencie /spina/embeddable.rb w Spina CMS v2.21.0 pozwala atakującym wykonać dowolne skrypty internetowe lub HTML poprzez wstrzyknięcie spreparowanego adresu URL.

Wtyczka Webba Booking (webba-booking-lite) zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.5.4 włącznie.

RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.

Automatyczne tworzenie linków do adresów URL w treści HTML zgłoszeń w RT nie escapuje HTML adresu URL umieszczanego w linku. Adres URL skonstruowany tak, aby wyłamać się z adresu linku, może dodać skrypt uruchamiany przy wyświetlaniu historii zgłoszenia bez dodatkowej akcji przeglądającego. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki przyznającej CreateTicket lub ReplyToTicket dla Everyone — może to wykorzystać. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

W SUSE Rancher Fleet wykryto lukę w przepływie rejestracji klastra w wersjach przed 0.12, 0.13.0 do 0.13.17, 0.14.0 do 0.14.12, 0.15.0 do 0.15.17 oraz 0.16.0 do 0.16.3. Tożsamość klastra zgłoszona w żądaniu rejestracji była akceptowana bez powiązania z tokenem rejestracyjnym, z którym żądanie zostało wykonane. W rezultacie żądanie rejestracji mogło zostać powiązane z klastrem zarządzanym pierwotnie zarejestrowanym innym tokenem.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na dostęp do pamięci poza granicami w pluginie importsvm, który nie weryfikuje zgodności wymiarów bitmapy i maski przezroczystości. Atakujący może dostarczyć spreparowany plik SVM z niezgodnymi wymiarami maski, wywołując odczyty i zapisy sterty, powodując awarię lub wykonanie kodu jako użytkownik.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie bufora na stercie w loaderze obrazów Mac PICT i pluginie importu podczas rozpakowywania 4-bitowych danych pikseli indeksowanych. Atakujący może dostarczyć spreparowany plik PICT z niespójną szerokością i danymi wiersza, co przy umieszczeniu lub imporcie powoduje zapis poza granicami bufora, prowadząc do awarii lub wykonania kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na zapis poza granicami w pluginie importdrw Micrografx Draw, który używa niezwalidowanego przesunięcia y do wyboru linii obrazu. Atakujący może spreparować plik DRW, który przy imporcie przez użytkownika zapisuje zdekodowane dane bitmapy poza buforem obrazu na stercie, powodując awarię lub wykonanie kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie liczbowe w loaderze TIFF scimgdataloader_tiff, umożliwiające wywołanie przepełnienia sterty poprzez spreparowane wymiary kafelków. Atakujący może dostarczyć kafelkowy plik TIFF z dużymi wartościami szerokości, wysokości i próbek, co przy imporcie przez użytkownika uszkadza pamięć sterty, powodując awarię Scribusa lub wykonanie kodu.