Katalog podatności CVE

API AVideo nie egzekwuje limitów szybkości, gdy klienci wysyłają nagłówek User-Agent bota, co pozwala atakującym ominąć wszystkie osiem chronionych operacji, w tym ochronę przed brute-force logowania. Atakujący mogą wysyłać żądania z User-Agent bota, aby wyłączyć limitowanie szybkości i przeprowadzać nieograniczone próby odgadnięcia haseł przeciwko dowolnemu kontu z jednego adresu IP.

Wtyczka Ninja Forms - Save Progress dla WordPressa jest podatna na brak autoryzacji w wersjach do 3.0.30 włącznie. Wynika to z braku sprawdzania uprawnień i weryfikacji nonce w funkcji 'bulk_actions'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej usuwanie dowolnych rekordów z tabeli 'wp_nf3_objects', takich jak zapisane zgłoszenia.

Wtyczka LearnDash LMS dla WordPressa jest podatna na obejście autoryzacji w wersjach 4.25.0 - 5.1.6. Wynika to z nieprawidłowej weryfikacji, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym zapisywanie dowolnych użytkowników na płatne kursy bez weryfikacji płatności, omijając cały system płatności i uzyskując nieautoryzowany dostęp do premium treści edukacyjnych.

CDT przed wersją 1.4.5 zawiera podatność na odczyt poza zakresem w funkcji opposedVertexInd() podczas obliczania przecięć krawędzi ograniczeń w arytmetyce zmiennoprzecinkowej, gdy wynik wypada poza sąsiednie trójkąty. Atakujący mogą dostarczyć prawie zdegenerowane krawędzie ograniczeń poprzez dane geometrii, aby wywołać dostęp do tablicy poza zakresem, co powoduje awarię procesu.

Pixelfed do wersji 0.12.9 nie sprawdza statusu obserwowania w endpointach react i comment w StoryComposeController, co pozwala uwierzytelnionym użytkownikom na dostęp do stories przeznaczonych tylko dla obserwujących. Atakujący mogą enumerować sekwencyjne identyfikatory stories i wysyłać reakcje lub komentarze, aby uzyskać adresy URL mediów i informacje o autorze bez obserwowania konta.

NetBox do wersji 4.7.0 nie ogranicza prawidłowo prywatnych rekordów użytkowników w endpointach API REST i GraphQL dla Notifications, Subscriptions i Bookmarks. Uwierzytelnieni użytkownicy z uprawnieniami do przeglądania mogą uzyskać dostęp do prywatnych rekordów wszystkich użytkowników poprzez nieskopowane querysety, ujawniając, którzy użytkownicy obserwują lub dodają do zakładek które obiekty.

NetBox do wersji 4.7.0 nie usuwa danych uwierzytelniających backendów źródeł danych w odpowiedziach API REST i GraphQL. Uwierzytelnieni użytkownicy z uprawnieniami tylko do przeglądania mogą pobrać hasła i klucze sekretne w postaci jawnego tekstu dla backendów Git i Amazon S3, uzyskując nieautoryzowany dostęp do zewnętrznych repozytoriów i zasobników.

Plane do wersji 1.4.2 nie sprawdza, czy zgłoszenia (issues) należą do projektu tablicy wdrożeniowej w publicznym endpointcie komentarzy. Uwierzytelnieni atakujący mogą dodawać komentarze do dowolnych zgłoszeń w różnych przestrzeniach roboczych, podając parametr issue_id w publicznym endpointcie komentarzy tablicy wdrożeniowej.

Rowboat do wersji 0.9.1 nie waliduje niestandardowych adresów URL serwera MCP i webhooków, co pozwala uwierzytelnionym użytkownikom konfigurować dowolne miejsca docelowe. Atakujący mogą kierować te adresy do usług wewnętrznych i punktów końcowych metadanych chmury, aby przeprowadzać ataki SSRF i mapować wewnętrzną topologię sieci.

APITable do wersji 1.13.0-beta.1 zawiera podatność nieprawidłowej autoryzacji w NodePermissionGuard, która nie egzekwuje kontroli dostępu na poziomie węzła, gdy wyszukiwanie uprawnień zgłasza wyjątki. Atakujący z ważnymi tokenami Fusion API mogą zapisywać załączniki do prywatnych arkuszy, do których mają jawnie zabroniony dostęp, wykorzystując nieobsłużony wyjątek w guardzie uprawnień.

gonic przed wersją 0.22.0 nie weryfikuje uprawnień administratora w punkcie końcowym startScan, co pozwala każdemu uwierzytelnionemu użytkownikowi wyzwalać ponowne skanowanie biblioteki multimediów. Atakujący mogą wielokrotnie wywoływać startScan, aby wymusić intensywne operacje na plikach (CPU i I/O), powodując denial of service w instancjach wieloużytkownikowych.

Metabase przed wersją 0.63.1 nie egzekwuje kontroli uprawnień analityka danych w punktach końcowych API słownika, co pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć, modyfikować i usuwać wpisy słownika. Atakujący mogą wysyłać żądania POST, PUT i DELETE do punktów końcowych słownika, aby manipulować danymi słownika biznesowego w całej instancji bez odpowiedniej autoryzacji.

Sim przed wersją 0.8.14 klasyfikuje żądania narzędzi jako wewnętrzne na podstawie prefiksu URL bez normalizacji schematu, pomijając walidację SSRF i generując wewnętrzne tokeny autoryzacyjne. Uwierzytelnieni autorzy przepływów pracy mogą ominąć walidację zewnętrznych URL, podając ścieżki zaczynające się od /api/ w blokach HTTP, aby dotrzeć do wewnętrznych punktów końcowych, takich jak POST /api/function/execute.

Arcane przed wersją 2.0.0 nie ogranicza prawidłowo operacji na szablonach, co pozwala kontom z domyślną rolą użytkownika tworzyć, modyfikować i usuwać szablony kompozycji, w tym domyślne dla całej instancji. Atakujący mogą wstrzykiwać złośliwe konfiguracje kontenerów z uprzywilejowanymi ustawieniami lub montowaniem ścieżek hosta, które wykonują się z uprawnieniami administracyjnymi, gdy zostaną wdrożone przez administratorów.

BookWyrm do wersji 0.9.1 zawiera podatność obejścia autoryzacji w funkcji edit_readthrough, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy czytelnicze innych użytkowników. Atakujący mogą wykorzystać sekwencyjne identyfikatory ReadThrough, aby nadpisać daty rozpoczęcia, zakończenia, postęp i tryb postępu dowolnych użytkowników, wpływając na statystyki czytania i eksportowane dane.

BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w widokach Favorite i Unfavorite, co pozwala uwierzytelnionym atakującym dodawać do ulubionych lub usuwać z ulubionych statusy przeznaczone tylko dla obserwujących oraz bezpośrednie, do których nie mają dostępu. Atakujący mogą wysyłać POST do punktu końcowego ulubionych z identyfikatorem statusu, aby tworzyć nieautoryzowane interakcje, wyzwalać transmisje ActivityPub i enumerować prywatne identyfikatory statusów poprzez różnicowanie odpowiedzi.

BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w punkcie końcowym edycji statusu, co pozwala uwierzytelnionym atakującym czytać recenzje przeznaczone tylko dla obserwujących oraz wiadomości bezpośrednie poprzez enumerację sekwencyjnych identyfikatorów statusów. Atakujący mogą uzyskać dostęp do surowej treści ograniczonych statusów przez widok edycji, omijając zabezpieczenia prywatności udokumentowane dla tych typów wiadomości.

Wtyczka Pods – Custom Content Types and Fields dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'not_found' w shortcode w wszystkich wersjach do 3.3.9.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzykiwanie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Gallery : FooGallery dla WordPressa jest podatna na trwały atak XSS przez atrybut 'custom_settings' shortcode'a we wszystkich wersjach do 3.3.2 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Unlimited Elements For Elementor dla WordPressa jest podatna na odbity atak XSS przez parametr 'formData[id]' we wszystkich wersjach do 2.0.17 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Dodatkowo, handler AJAX po stronie frontendu jest zarejestrowany na publicznym zdarzeniu 'wp' bez sprawdzania nonce, uprawnień czy referera, a surowa wartość id jest interpolowana do komunikatu wyjątku i zwracana bez escapowania.