Katalog podatności CVE

Fleet w wersjach przed 4.83.0 zawiera lukę typu denial of service, która pozwala nieuwierzytelnionym atakującym wyczerpać pamięć serwera poprzez wysyłanie ciał żądań skompresowanych gzipem. Atakujący może wysyłać małe, silnie skompresowane żądania z nagłówkiem Content-Encoding: gzip do nieuwierzytelnionych endpointów, które rozszerzają się podczas dekodowania, powodując awarię całej instancji Fleet.

Fleet w wersjach przed 4.89.0 zawiera lukę nieograniczonej rekurencji w parsowaniu listy właściwości rejestracji Apple MDM, która pozwala nieuwierzytelnionym atakującym na awarię serwera. Atakujący może wysłać spreparowany ładunek binarnego plist o rozmiarze około 150 bajtów do endpointów rejestracji, wywołując wykładniczą alokację lub nieskończoną rekurencję, która wyczerpuje CPU i pamięć.

Vikunja od 2.2.0 przed 2.7.0 zawiera permisywną konfigurację CORS, która ufa każdemu portowi localhost i 127.0.0.1 z poświadczeniami, nawet gdy ustawiono service.publicurl. Atakujący kontrolujący stronę na dowolnym porcie localhost może wysłać żądanie z poświadczeniami do endpointu odświeżania tokenu i odczytać zwrócony bearer JWT, aby przejąć konto zalogowanego użytkownika.

Vikunja w wersjach od 0.13.0 przed 2.7.0 zawiera błąd nieprawidłowej autoryzacji, który pozwala członkom projektu z uprawnieniem Write usuwać udziały linków na poziomie administratora. Sprawdzenie uprawnień do usunięcia odczytuje niezaładowany obiekt udziału, więc atakujący może wysyłać żądania DELETE do endpointów udziałów projektów v1 lub v2 z kolejnymi identyfikatorami, aby unieważnić linki administratora i istniejące sesje udziałów.

Vikunja 2.6.0 zawiera błąd kontroli dostępu w funkcji getProjectAccessForUser (pkg/models/project_access.go), która wyznacza efektywne uprawnienie użytkownika do projektu jako maksimum w drzewie projektów, nadpisując jawne udziały o niższych uprawnieniach w podprojektach. Współpracownik z prawem zapisu w projekcie nadrzędnym, ale tylko do odczytu w projekcie podrzędnym, może modyfikować zadania i zawartość tego podprojektu.

Vikunja w wersjach od 0.22.0 przed 2.7.0 zawiera błąd nieprawidłowego odbierania dostępu, który pozwala usuniętym współpracownikom nadal otrzymywać dane projektu przez utworzone przez nich webhooki. Byli współpracownicy nadal otrzymują tytuły i opisy zadań przez swój webhook, w tym treści utworzone po odebraniu im dostępu.

Vikunja od 1.0.0-rc0 przed 2.7.0 zawiera błąd nieprawidłowej autoryzacji w funkcji RecalculateTaskPositions, który pozwala uwierzytelnionym użytkownikom bez dostępu do jakichkolwiek projektów zapisywać wiersze task_positions dla wszystkich zadań w całej instancji. Atakujący mogą usunąć swój Inbox po zmianie default_project_id, a następnie tworzyć puste filtry zapisane, aby utrwalić odwołania między dzierżawcami i wzmocnić zapisy w celu przeprowadzenia ataku typu denial of service.

Vikunja w wersjach od 2.3.0 przed 2.7.0 zawiera błąd nieprawidłowej walidacji sesji, który pozwala atakującym zachować dostęp do WebSocket po odebraniu uprawnień, ponieważ funkcja handleAuth nigdy nie sprawdza roszczenia sid tokenu JWT względem tabeli sesji. Atakujący posiadający skradziony token dostępu może otwierać lub utrzymywać połączenia z /api/v2/ws po usunięciu sesji lub włączeniu TOTP, nadal otrzymując powiadomienia notification.created ofiary, w tym treści komentarzy, zadań i projektów.

Admidio przed 5.0.16 zawiera błąd ujawnienia informacji, który pozwala nieuwierzytelnionym atakującym przeglądać linki internetowe ograniczone do ról, ponieważ plik rss/links.php pomija filtr widoczności ról category_view. Atakujący mogą zażądać kanału RSS z linkami dla organizacji, aby uzyskać nazwy linków, adresy URL, opisy, kategorie i nazwy twórców z zastrzeżonych kategorii LNK.

Admidio od 5.0.11 przed 5.0.16 zawiera błąd kontroli dostępu w pliku modules/inventory/inventory_data.php, który pozwala uwierzytelnionym użytkownikom obejść ograniczenie inventory_module_enabled. Atakujący z dowolnym ważnym loginem może zażądać kanału JSON DataTables, aby odczytać wszystkie pozycje inwentarza i nazwiska opiekunów, nawet gdy moduł jest wyłączony.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd obejścia autoryzacji, który pozwala uwierzytelnionym użytkownikom eksportować listy mimo ograniczeń eksportu, poprzez żądanie mode=pdfl. Sprawdzenie groups_roles_export w pliku modules/groups-roles/lists_show.php pomija pdfl, co następnie uruchamia eksport PDF, pozwalając użytkownikom z prawem przeglądania list pobierać listy członków jako pliki PDF.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd niebezpiecznego odwołania do obiektu (IDOR) w funkcji ForumService::saveTopic(), który pozwala uwierzytelnionym członkom modyfikować tematy forum innych użytkowników. Atakujący mogą zastąpić parametr topic_uuid w swoim żądaniu topic_save, ponownie używając swojego tokenu CSRF, aby nadpisać tytuł i pierwszy post tematu ofiary.

phpMyFAQ w wersjach 4.0.0 przed 4.1.9 zawiera lukę obejścia uwierzytelniania w endpointach rejestracji WebAuthn, które przypisują poświadczenia do dowolnego konta bez uwierzytelnienia i walidacji wyzwania. Atakujący może przygotować nazwę użytkownika ofiary, przesłać sfałszowaną atestację fmt=none, aby zarejestrować passkey, a następnie zalogować się z pominięciem hasła i TOTP, przejmując konto.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera błąd obejścia autoryzacji w pliku attachment.php, który pozwala atakującym pobierać załączniki zastrzeżonych FAQ poprzez obejście kontroli uprawnień na poziomie rekordu. Użytkownicy o niskich uprawnieniach z prawem dlattachment, lub anonimowi użytkownicy gdy allowDownloadsForGuests jest włączone, mogą żądać identyfikatorów załączników, aby uzyskać poufne pliki z zastrzeżonych FAQ.

phpMyFAQ w wersjach przed 4.1.9 zawiera lukę braku autoryzacji w API deleteUser(), która pozwala uwierzytelnionym użytkownikom niebędącym superadminami z uprawnieniem delete_user na usuwanie kont superadminów. Atakujący może wysłać żądanie DELETE do /admin/api/user/delete z identyfikatorem userId superadmina innym niż 1, usuwając dostęp administracyjny i odpowiedzialność.

phpMyFAQ w wersjach 4.0.0 przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera lukę złamanej autoryzacji na poziomie obiektu w endpoincie PUT /api/v3.1/faq/update, który sprawdza tylko globalne uprawnienie edit_faq i nie weryfikuje dostępu do docelowego FAQ. Uwierzytelnieni użytkownicy z uprawnieniem edit_faq mogą podać identyfikator zastrzeżonego FAQ, którego nie mogą wyświetlić, aby zmodyfikować jego treść, obejść moderację i zmienić stan publikacji.

phpMyFAQ w wersjach 4.0.0 przed 4.1.9 zawiera lukę cross-site request forgery w endpoincie POST /admin/api/update-database, który wykonuje migracje bazy danych bez walidacji tokenu CSRF. Atakujący może zwabić zalogowanego użytkownika z uprawnieniem CONFIGURATION_EDIT do przesłania spreparowanego żądania cross-site, wywołując migracje, które mogą wpłynąć na integralność lub dostępność bazy danych.

phpMyFAQ przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność CSRF w endpointach administracyjnych API Elasticsearch i OpenSearch, które nie weryfikują tokenu CSRF dla akcji tworzenia, usuwania i importu. Atakujący może nakłonić użytkownika z uprawnieniem CONFIGURATION_EDIT do odwiedzenia złośliwej strony, co wywoła te akcje, usuwając indeksy wyszukiwania, wymuszając ponowne indeksowanie lub wyczerpując zasoby.

phpMyFAQ 3.2.0 przed 4.1.9 oraz 4.2.0-alpha przed 4.2.0-beta zawiera podatność IDOR w GET /admin/api/user/data/{userId}, który zwraca pełny wiersz faquserdata dowolnego użytkownika, w tym aktywny sekret TOTP, bez sprawdzenia uprawnień SuperAdmin lub chronionego celu. Delegowani administratorzy z prawami zarządzania użytkownikami mogą odczytać sekret TOTP SuperAdmina i wygenerować ważne kody, omijając uwierzytelnianie dwuskładnikowe.

phpMyFAQ 4.2.0-alpha przed 4.2.0-beta zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym odczytać ukryte otwarte pytania z powodu odwróconego sprawdzenia api.onlyPublicQuestions w OpenQuestionController. Atakujący mogą wysyłać żądania GET do endpointu /api/v4.0/open-questions, aby uzyskać niepubliczne pytania moderacyjne lub wewnętrzne wraz z powiązanymi nazwami użytkowników.