Katalog podatności CVE

Zidentyfikowano podatność w Xuxueli xxl-job do wersji 3.5.0. Nieznany kod w pliku /jobinfo/insert nieprawidłowo przetwarza argumenty name/author, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

SEP sesam w wersjach przed 5.2.0.24 nieprawidłowo obsługuje autoryzację użytkowników z uwzględnieniem MFA. Gdy skonfigurowane jest uwierzytelnianie przez Active Directory i wymuszane jest MFA, atakujący może zarejestrować dodatkowy OTP Authenticator dla tego samego konta AD. Wynika to z różnicy w traktowaniu wielkości liter w nazwach użytkowników — AD jest niewrażliwe na wielkość liter, a SEP sesam rozróżnia wielkość liter, co pozwala utworzyć wiele kont SEP sesam dla jednego konta AD.

Wtyczka WordPress BEAR w wersji przed 1.2.2 nie sprawdza własności w kilku handlerach zwracających dane produktu na podstawie identyfikatora podanego przez użytkownika. Umożliwia to użytkownikom ograniczonym do własnych produktów odczyt informacji o produktach innych właścicieli, w tym chronionych adresów URL plików do pobrania i prywatnych metadanych produktu.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie weryfikuje własności ani nie ogranicza typu rekordów, które użytkownik żąda do pobrania. Umożliwia to użytkownikom z rolą instruktora pobranie pełnej treści i metadanych dowolnych wpisów, w tym prywatnych i roboczych kursów innych instruktorów.

Wcześniejsza aktualizacja, która podniosła wbudowaną bibliotekę klienta HTTP do wersji usuwającej znane podatności, została później wycofana, przywracając starszą, podatną wersję do komponentu przetwarzającego logi. Jedyna ścieżka kodu w tym komponencie korzystająca z biblioteki wysyła żądanie do jednego stałego, zaufanego adresu URL dostawcy przy inicjalizacji i nie przetwarza danych kontrolowanych przez atakującego.

Procedura obsługi przesyłania plików przekierowuje przeglądarkę uwierzytelnionego klienta do adresu URL pobranego bezpośrednio z nagłówka Referer tego samego żądania, bez walidacji względem własnego origin aplikacji. Umożliwia to uwierzytelnionemu atakującemu spreparowanie żądania powodującego przekierowanie przeglądarki innego użytkownika do dowolnego zewnętrznego miejsca po zakończeniu przesyłania.

Podatność polegająca na niewłaściwej neutralizacji separatorów argumentów w poleceniu (argument injection) w oprogramowaniu Pardus Pen firmy TUBITAK BILGEM Software Technologies Research Institute. Problem dotyczy wersji Pardus Pen przed 4.2.1.

Wtyczka WordPress Visualizer przed wersją 4.0.6 nieprawidłowo autoryzuje żądania usunięcia wykresu, wykonując jedynie sprawdzenie uprawnień na poziomie całej witryny bez weryfikacji własności obiektu. Umożliwia to użytkownikom z rolą współtwórcy i wyższymi trwałe usunięcie dowolnego wykresu w witrynie, w tym wykresów utworzonych przez innych użytkowników, takich jak administratorzy.

Wtyczka WordPress Translate WordPress with GTranslate przed wersją 3.0.10 nie waliduje jednego ze swoich ustawień, zanim dołączone skrypty front-endowe zbudują z niego znaczniki. Umożliwia to użytkownikom z rolą nawet tak wysoką jak administrator zapisanie kodu JavaScript, który wykona się w sesji każdego odwiedzającego witrynę.

W bibliotece PCRE2 przed wersją 10.48 funkcja pcre2_serialize_encode może ujawnić dwa bajty danych osobie atakującej. Sytuacja występuje zazwyczaj, gdy dostęp atakującego jest już i tak niebezpieczny.

W bibliotece PCRE2 przed wersją 10.48 funkcja pcre2_match wykonuje odczyt poza zakresem bufora podczas dopasowywania nieprawidłowego łańcucha UTF w trybie PCRE2_MATCH_INVALID_UTF.

W bibliotece PCRE2 przed wersją 10.48 funkcja pcre2_match wykonuje odczyt poza zakresem bufora po przejściu awaryjnym z JIT, gdy atakujący dostarczy nieprawidłowe dane UTF.

W Forgejo przed wersją 16.0.4 istnieje możliwość użycia ograniczonych tokenów API do niezamierzonego dostępu do funkcji "allow maintainer edit".

W strongSwan w wersjach od 4.2.0 do 6.0.7 występuje brak zwolnienia pamięci po zakończeniu jej efektywnego okresu życia w parserze certyfikatów atrybutów wtyczki x509.

W libcharon w strongSwan w wersjach od 4.1.2 do 6.0.7 występuje brak zwolnienia pamięci po zakończeniu jej efektywnego okresu życia w parserze komunikatów IKE.

W strongSwan w wersjach od 5.0.2 do 6.0.7 enumeracja certyfikatów PKCS#7 we wtyczce openssl prowadzi do braku zwolnienia pamięci po zakończeniu jej efektywnego okresu życia.

Suricata w wersjach przed 7.0.16 i 8.0.5 zawiera błąd przepełnienia bufora sterty podczas ładowania sygnatur. Spreparowana reguła używająca składni ramek z mieszaną wielkością liter może wywołać przepełnienie podczas parsowania i ładowania reguł.

Sterownik silabser.sys dla urządzeń CP210x w wersji 11.5.0 i wcześniejszych pozwala lokalnemu nieuprzywilejowanemu użytkownikowi z złośliwym urządzeniem użyć spreparowanych pakietów do wycieku do 145 bajtów niezainicjalizowanej pamięci puli jądra. Podatność dotyczy systemu Windows 10 i wcześniejszych.

W rclone od wersji 1.49.0 do 1.75.1 backend HTTP dołącza nagłówki skonfigurowane przez --http-headers lub headers= do żądań, a klient fshttp.NewClient podąża za przekierowaniami bez polityki CheckRedirect. Skonfigurowany remote, który przekierowuje do innego hosta, może spowodować ponowne wysłanie niestandardowych sekretów, takich jak X-Api-Key, do niezaufanego celu, a przekierowanie HTTPS-to-HTTP w tym samym hoście może ujawnić nagłówki Authorization lub Cookie w postaci jawnej. Operacje listowania, stat, pobierania, montowania i serwowania mogą wywołać wyciek podczas normalnego użytkowania. Podatność naprawiono w wersji 1.75.1.

Podatność w Palo Alto Networks Checkov by Prisma Cloud pozwala na wykonanie dowolnego kodu, gdy Checkov skanuje katalog zawierający plik konfiguracyjny kontrolowany przez atakującego.