Katalog podatności CVE

Songloft w wersjach od 2.9.0 do 2.13.6 zawiera podatność na twardo zakodowane dane uwierzytelniające, umożliwiającą atakującym z sąsiedniej sieci zalogowanie się jako administrator przy użyciu stałej pary admin/admin. Atakujący w tej samej sieci mogą zalogować się przez endpoint /api/v1/auth/login, aby modyfikować ustawienia biblioteki i konfiguracji oraz instalować wtyczki JavaScript działające w QuickJS.

ShowDoc do wersji 3.9.5 zawiera obejście autoryzacji w punkcie końcowym api/paramDescLib/deleteEntries, który sprawdza uprawnienia do edycji tylko dla pierwszego podanego identyfikatora wpisu. Uwierzytelniony atakujący może umieścić własny identyfikator jako pierwszy i dołączyć identyfikatory innych użytkowników, aby trwale usunąć ich wpisy opisów parametrów.

MuseBot przed wersją 2.0.0 zawiera podatność ominięcia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować sesje administratora przy użyciu zaszytego domyślnego klucza sesji 'muse_bot_session_key'. Atakujący może podpisać cookie sesji z dowolnym user_id i uzyskać pełny dostęp administracyjny.

Blossom do wersji 1.17.1 zawiera obejście autoryzacji umożliwiające uwierzytelnionym użytkownikom dostęp do folderów innych użytkowników, ponieważ zapytania FolderService filtrują wyłącznie po identyfikatorze folderu. Atakujący może podać identyfikator folderu innego użytkownika w punktach /folder/info, /folder/upd, /folder/open lub /folder/del, aby odczytać ścieżki przechowywania, zmienić nazwę, przełączyć widoczność lub usunąć foldery.

PowerDNS-Admin do wersji 2026.08.1 zawiera obejście autoryzacji umożliwiające uwierzytelnionym kontom z rolą User odświeżanie stref wtórnych, do których nie mają dostępu, poprzez podanie innego pola 'domain' w treści JSON. Atakujący uprawniony do dowolnej strefy może wymusić transfery axfr-retrieve innych stref wtórnych i wywnioskować istnienie strefy na podstawie różniących się odpowiedzi.

FilePress do wersji 3.0.1 zawiera podatność polegającą na braku autoryzacji w dzz/pichome/library, umożliwiającą uwierzytelnionym użytkownikom zarządzanie folderami innych bibliotek, ponieważ checkuserperm_by_uid sprawdza jedynie członkostwo w dowolnej bibliotece. Atakujący znający appid lub identyfikator folderu innej biblioteki może wywołać operacje folder.php, takie jak deletefolder i rename, lub rightdata.php getfolderdata, aby usuwać, modyfikować lub odczytywać obce foldery.

CoreShop by CoreUnion do wersji 1.5.5 zawiera nieuwierzytelnioną podatność SQL injection w endpoincie api/Agent/GetGoodsPageList poprzez parametr order dołączany do klauzuli ORDER BY. Anonimowi atakujący mogą wstrzykiwać podzapytania omijające sprawdzanie pól SqlSugar i wykorzystywać techniki blind SQL injection oparte na boolean lub czasie do wyodrębnienia kont członków i zamówień.

CoreShop do wersji 1.5.5 zawiera nieuwierzytelnioną podatność SQL injection w endpoincie api/Good/GetGoodsPageList poprzez niezwalidowany parametr order dołączany do ORDER BY. Atakujący mogą wstrzykiwać podzapytania omijające sprawdzanie pól SqlSugar i wykorzystywać techniki blind SQL injection oparte na boolean lub czasie do wyodrębnienia kont członków i zamówień.

DataCap do wersji 2025.1.1 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na eskalację uprawnień poprzez wywoływanie administracyjnych API zarządzania rolami i menu. Atakujący, w tym konta samodzielnie zarejestrowane, mogą wysyłać żądania PUT do /api/v1/user/allocationRole, aby przypisać sobie rolę administratora i uzyskać pełną kontrolę nad instancją.

Nging do wersji 5.3.5 zawiera podatność polegającą na ujawnieniu informacji, umożliwiającą każdemu uwierzytelnionemu użytkownikowi zaplecza wylistowanie katalogów hosta poprzez nadużycie publicznego punktu końcowego /user/autocomplete_path. Użytkownicy z niskimi uprawnieniami, bez uprawnień do menedżera plików, mogą podawać dowolne ścieżki w parametrze zapytania, aby wyliczyć katalogi czytelne dla procesu Nging i potwierdzić istnienie konkretnych plików.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FriendController.friendList, umożliwiającą uwierzytelnionym użytkownikom przeglądanie list znajomych innych użytkowników poprzez podanie parametru uid. Atakujący może wysyłać żądania GET do /user/friend/page z uid ofiary, omijając brak sprawdzenia uprawnień administratora lub właściciela, aby odczytać listę kontaktów dowolnego użytkownika.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FeedController.delFeed, umożliwiającą uwierzytelnionym użytkownikom usuwanie wpisów (momentów) innych użytkowników poprzez podanie dowolnych wartości feedId. Atakujący może wysyłać żądania POST do /feed/del z feedId innego użytkownika, aby usunąć jego wpisy wraz z powiązanymi multimediami, komentarzami i polubieniami.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w PrivacyController, umożliwiającą uwierzytelnionym użytkownikom dostęp do ustawień prywatności innych użytkowników poprzez podanie ich uid. Atakujący może wysyłać żądania GET lub POST do /privacy z parametrem uid ofiary, aby odczytać i nadpisać ustawienia UserPrivacy tego użytkownika bez sprawdzenia właściciela.

Orchard CMS w wersjach od 1.10.3 do 1.11 zawiera podatność nieprawidłowej autoryzacji w MediaLibraryService.CheckMediaFolderPermission(), która pozwala uwierzytelnionym autorom i współtwórcom na dostęp do mediów innych użytkowników. Atakujący mogą wyświetlać, klonować i usuwać elementy multimedialne innych użytkowników po identyfikatorze treści oraz usuwać dowolne foldery multimedialne poprzez FolderController.Delete().

Tencent BlueKing CMDB (bk-cmdb) do wersji 3.14.6 zawiera podatność polegającą na braku autoryzacji, umożliwiającą uwierzytelnionym użytkownikom przeglądanie hostów innych firm (business) poprzez POST /api/v3/hosts/search/asstdetail. Atakujący może przesyłać warunki wyszukiwania hostów dotyczące innych firm lub pomijać filtry firmy, aby uzyskać atrybuty hostów i szczegóły powiązań topologii, ponieważ trasa jest mapowana na SkipAction, a SearchHostWithAsstDetail pomija AuthorizeSearchHost.

RuoYi-Vue-Plus do wersji 6.0.0 zawiera podatność obejścia autoryzacji w metodzie SysUserServiceImpl.selectUserListByDept, która pozwala uwierzytelnionym użytkownikom czytać dane użytkowników innych działów. Użytkownicy posiadający uprawnienie system:user:list w roli ograniczonej do działu mogą wysłać żądanie GET /system/user/list/dept/{deptId} z dowolnym identyfikatorem działu, aby uzyskać nazwy użytkowników, pseudonimy, status konta, ostatni adres IP i czas logowania oraz uwagi.

Open Web Analytics przed wersją 1.14.1 zawiera podatność autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać dane raportów innych witryn, ponieważ raporty clickstream i transakcji nie są ograniczone do autoryzowanego siteId. Użytkownicy z uprawnieniem view_reports dla jednej witryny mogą podać jej siteId wraz z session_id lub order_id innej witryny, aby odczytać historię odwiedzin, adresy IP, user agentów i dane zamówień.

ZenTao PMS do wersji 22.6 zawiera podatność braku autoryzacji w doc::ajaxGetDoc(), która pozwala uwierzytelnionym użytkownikom czytać dokumenty bez sprawdzenia uprawnień checkPrivDoc(). Atakujący z niskimi uprawnieniami mogą enumerować sekwencyjne identyfikatory dokumentów, aby uzyskać treść i wersje robocze prywatnych dokumentów oraz dokumentów z ograniczonych bibliotek, produktów, projektów lub zespołów.

Blossom do wersji 1.17.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom bez trybu tylko do odczytu modyfikować obrazy innych użytkowników poprzez podanie dowolnych identyfikatorów obrazów. Atakujący mogą wywołać endpointy usuwania obrazu, /picture/del/batch lub /picture/star, aby trwale usunąć obrazy i pliki ofiar lub zmienić ich status gwiazdki.

Wtyczka JetFormBuilder firmy Crocoblock zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 3.6.7.1 włącznie.