Katalog podatności CVE

Wtyczka Bulk Password Reset dla WordPressa (wszystkie wersje do 1.3.3 włącznie) jest podatna na eskalację uprawnień przez przejęcie konta. Wynika to z braku właściwej weryfikacji tożsamości użytkownika przed aktualizacją jego danych, w tym haseł, do znanej wartości skonfigurowanej w wtyczce. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym zmianę adresów e-mail dowolnych użytkowników, w tym administratorów, i reset ich haseł.

Velociraptor tworzy kopie zapasowe notatników w domyślnie włączonej funkcji codziennego backupu. Podczas przywracania kopii zawartość komórek notatnika jest interpolowana do szablonu bez kontroli ACL. Umożliwia to złośliwemu użytkownikowi z uprawnieniem NOTEBOOK_EDITOR umieszczenie zapytania VQL, które zostanie wykonane z podwyższonymi uprawnieniami po przywróceniu kopii.

W bibliotece DaveGamble cJSON do wersji 1.7.19 wykryto podatność w funkcji cJSONUtils_MergePatch w pliku cJSON_Utils.c. Manipulacja prowadzi do użycia zwolnionej pamięci (use after free), a atak może być przeprowadzony zdalnie. Exploit został upubliczniony, a pull request z poprawką oczekuje na akceptację.

Wykryto podatność w systemie inventory-management-system (Rizwan17) w funkcji storeCustomerOrderInvoice w pliku includes/manage.php. Manipulacja argumentem pro_name[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Siam Ordering (siam-server) w wersji 1.0.0 występuje podatność polegająca na obejściu uwierzytelniania poprzez zakodowany na stałe główny kod weryfikacyjny. Zdalny nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, sprzedawca lub administrator.

Open WebUI przed wersją 0.11.1 w punktach końcowych POST /api/v1/retrieval/process/web i POST /api/v1/retrieval/process/web/search traktowało globalnie routowalną klasyfikację adresów Pythona jako dowód, że cel jest zewnętrzny. Uwierzytelniony użytkownik mógł sprawić, że instancja hostowana na platformie Azure pobierze i zwróci treści z adresu 168.63.129.16 (kanał platformy Azure) oraz innych zastrzeżonych zakresów, które standardowa klasyfikacja odrzucała.

Open WebUI od wersji 0.10.0 do 0.11.1 w punkcie końcowym DELETE /api/v1/knowledge/{id}/delete autoryzowało usunięcie względem bazy wiedzy, ale następnie usuwało zewnętrzne połączenie należące do administratora bez osobnej kontroli administratora lub sprawdzenia innych zależnych baz wiedzy. Niebędący administratorem użytkownik z prawem zapisu do jednej zewnętrznej bazy wiedzy mógł usunąć współdzieloną konfigurację instancji i uczynić niedostępnymi wszystkie inne bazy wiedzy korzystające z tego połączenia.

Open WebUI od wersji 0.9.6 do 0.11.1 w SafePlaywrightURLLoader w backend/open_webui/retrieval/web/utils.py walidowało kontrolowaną przez użytkownika nazwę hosta w Pythonie, a następnie pozwalało przeglądarce Playwright na ponowne jej rozwiązanie w przechwytujących żądania synchroniczne i asynchroniczne. Uwierzytelniony użytkownik kontrolujący autorytatywny DNS mógł zwrócić publiczny adres do walidacji i wewnętrzny adres do przeglądarki, ujawniając odpowiedzi z wewnętrznych usług lub metadanych chmury poprzez wyszukiwanie w sieci lub pobieranie URL.

Open WebUI od wersji 0.8.11 do 0.11.1 w src/lib/components/chat/FileNav/PortPreview.svelte renderowało zawartość portu terminala w iframe sandbox zawierającym zarówno allow-scripts, jak i allow-same-origin. Ponieważ proxy terminala serwuje tę zawartość z pochodzenia Open WebUI, uwierzytelniony użytkownik mający dostęp do współdzielonego serwera terminala mógł umieścić skrypt na podglądanym porcie i przejąć konto ofiary, gdy ofiara otworzyła podgląd.

W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji DBOperation.addCategory w pliku includes/process.php komponentu AJAX Backend. Manipulacja argumentem userid prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.

W systemie Rizwan17 inventory-management-system do wersji bfe78a330d01bb26b9daec5dc9ecd5c77900e03f zidentyfikowano podatność. Dotyczy ona funkcji update_record w pliku includes/manage.php. Manipulacja argumentami update_category/cid/update_brand/update_product prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

Open WebUI od wersji 0.6.41 do 0.11.1 w funkcjach get_user_by_oauth_sub i get_user_by_scim_external_id w backend/open_webui/models/users.py używało dopasowania JSON zawierającego, które kompilowało się do dopasowania podciągów SQL LIKE na SQLite. Temat OAuth zawierający znaki specjalne procent lub podkreślenie mógł rozwiązać się do innej zapisanej tożsamości, potencjalnie wybierając konto administratora i wydając atakującemu sesję tego konta; wdrożenia PostgreSQL nie były dotknięte.

Podatność typu path traversal w punkcie końcowym /attachRemoteFiles w Fortra GoAnywhere MFT przed wersją 7.10.2 pozwala użytkownikom Web z uprawnieniami Secure Folders i Secure Mail na opuszczenie katalogu domowego i odczyt dowolnych plików.

W Open WebUI od wersji 0.9.0 do 0.11.1, nieuwierzytelniony punkt końcowy POST /oauth/backchannel-logout pobiera dokument OIDC discovery i klucze podpisujące przed walidacją tokenu wylogowania, co powoduje niepotrzebne żądania sieciowe i blokowanie pętli zdarzeń, umożliwiając atak DoS na pojedynczą instancję.

Podatność na iniekcję SQL w Siam Ordering (siam-server) 1.0.0 pozwala zdalnym uwierzytelnionym atakującym na wykonanie dowolnych poleceń SQL poprzez konkatenację stringów ${} w AdminMapper.java oraz w wielu innych plikach Mapper (w tym MerchantWithdrawRecordMapper.java i MemberWithdrawRecordMapper.java).

W alf.io przed wersją 2.0-M5-2605 występuje problem z kontrolą dostępu, który pozwala właścicielowi organizacji na odczyt sekretów konfiguracyjnych na poziomie systemu poprzez endpointy 'single configuration' z zakresu organizacji lub wydarzenia, w tym klucza API systemu.

Brak autoryzacji w kontrolerze Address Delete w Mageplaza GDPR dla Magento 2 do wersji 4.2.9 pozwala zdalnym nieuwierzytelnionym atakującym na usunięcie dowolnego zapisanego adresu klienta, a także wszystkich adresów poprzez iterację ID, używając żądania GET do /customer/address/delete/id/{id}.

Podatność w interfejsie webowym CPPM pozwala uwierzytelnionemu zdalnemu atakującemu na dostęp do informacji o katalogach w podatnym systemie, a następnie na wykonanie dowolnych poleceń w systemie operacyjnym.

Podatność w interfejsie zarządzania opartym na sieci CPPM pozwala nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku DoS, powodując niestabilność i degradację wydajności serwera CPPM.

Podatność w interfejsie zarządzania opartym na sieci CPPM pozwala uwierzytelnionemu zdalnemu atakującemu na zdalne wykonanie kodu, co umożliwia wykonanie dowolnych poleceń w systemie operacyjnym.