Katalog podatności CVE

W WeGIA przed wersją 3.8.6 uwierzytelniony użytkownik z dostępem do modułu Material & Patrimônio może przesłać id_produto do web/html/matPat/restaurar_produto_desocultar.php, gdzie drugie extract($_REQUEST) nadpisuje wartość wcześniej oczyszczoną przez intval(). Surowa wartość jest wstawiana do zapytań UPDATE dla tabel produto, isaida i ientrada, umożliwiając wykonanie dowolnego SQL.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.

W WeGIA przed wersją 3.8.6 endpoint instalatora web/instalador/instalador.php jest dostępny przed utworzeniem config.php i przetwarza nieuwierzytelnione dane instalacyjne POST. W przepływie reinstalacji na Linuksie spreparowana wartość usuario trafia do polecenia wykonywanego przez shell_exec(), a instalator zapisuje kontrolowane przez atakującego wartości do wykonywalnego config.php oraz wstawia nazwę bazy nomebd do instrukcji CREATE DATABASE.

W FileRise przed wersją 3.15.0 publiczne linki do udostępnionych folderów z włączonym przeglądaniem podfolderów mogą podążać za dowiązaniem symbolicznym wewnątrz udostępnionego folderu do katalogu sąsiedniego w katalogu głównym uploadu. Nieuwierzytelniony posiadacz ważnego tokenu udostępniania może użyć listowania folderu, bezpośredniego pobierania lub tworzenia ZIP, aby uzyskać dostęp do plików poza faktycznie udostępnionym folderem.

W InvoiceShelf w wersji 2.3.3 i wcześniejszych walidacja żądań masowego usuwania akceptuje identyfikatory rekordów bez konsekwentnego powiązania ich z company_id uwierzytelnionego użytkownika. Uwierzytelniony użytkownik może przesłać identyfikator innej firmy i usunąć rekordy międzyfirmowe.

W InvoiceShelf przed wersją 2.4.0 parametr orderByField przekazywany przez uwierzytelnionego użytkownika jest używany w wywołaniach orderBy w Invoice::scopeApplyFilters bez ograniczenia do identyfikatorów kolumn. Spreparowane wyrażenie SQL może trafić do klauzuli ORDER BY, umożliwiając ślepą ekstrakcję informacji z bazy danych.

W InvoiceShelf przed wersją 2.4.0 plik PDFConfigurationRequest.php waliduje ustawienie gotenberg_host kontrolowane przez właściciela jedynie jako poprawny składniowo URL. GotenbergPDFDriver::loadView wysyła następnie żądanie HTTP multipart zawierające wyrenderowany HTML faktury, wyceny lub płatności jako document.html do tego hosta bez odrzucania adresów prywatnych, loopback, link-local lub zarezerwowanych.

W InvoiceShelf przed wersją 2.4.0 ścieżki tworzenia faktur, wycen i faktur cyklicznych przyjmują dostarczone przez klienta wartości total, sub_total, tax, discount_val i due_amount bez weryfikacji, czy odpowiadają przesłanym pozycjom. Uwierzytelniony użytkownik może utrwalić zmanipulowane sumy finansowe przez InvoicesRequest::getInvoicePayload oraz odpowiednie handlery EstimatesRequest i RecurringInvoiceRequest.

W InvoiceShelf przed wersją 2.4.0 publiczne trasy faktur, wycen i płatności klienta używają numerycznego mailable_id z tokenu EmailLog bez weryfikacji mailable_type, a handlery JSON nie wymuszają EmailLog::isExpired. Token wydany dla jednego typu dokumentu może ujawnić dokument innej firmy, a wygasły token może pozostać ważny na trasach JSON.

W InvoiceShelf przed wersją 2.4.0 metody NotesController::show, update i destroy autoryzują tylko ogólną zdolność view notes lub manage notes i nie przekazują powiązanej z trasą notatki do NotePolicy, więc nie sprawdzają company_id docelowej notatki. Uwierzytelniony użytkownik personelu może odczytać, zmodyfikować lub usunąć szablony notatek innej firmy.

W InvoiceShelf przed wersją 2.4.0 endpoint POST /api/v1/estimates/{estimate}/convert-to-invoice autoryzuje tylko zdolność create-invoice i nie autoryzuje dostępu do powiązanej wyceny. Uwierzytelniony użytkownik może skopiować pozycje, ceny, sumy, podatki, notatki, walutę i dane klienta innej firmy do faktury w swojej firmie.

W Markdown Preview Enhanced przed wersją 0.8.30 polecenie _crossnote.updateMarkdown przyjmuje dowolny URI i treść kontrolowaną przez atakującego, a następnie przekazuje je do vscode.workspace.fs.writeFile bez walidacji, że cel jest plikiem Markdown reprezentowanym przez bieżący podgląd. JavaScript działający już w webview podglądu może wywołać to polecenie przez mostek komunikatów rozszerzenia i zapisać dowolny plik dozwolony przez uprawnienia systemowe użytkownika VS Code.

Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.30 nie waliduje polecenia ani argumentów przesyłanych z webview. JavaScript działający w podglądzie może wywołać uprzywilejowane polecenia rozszerzenia, w tym modyfikację plików, wykonanie kodu, uruchomienie narzędzi eksportu i otwieranie dowolnych adresów URL. Wykorzystanie wymaga osobnej ścieżki wykonania JavaScript w webview, np. wstrzyknięcia przez .crossnote/head.html.

W Markdown Preview Enhanced przed wersją 0.8.30 rozszerzenie odczytuje kontrolowaną przez repozytorium zawartość .crossnote/head.html i przekazuje ją przez resolvePathsInHeader, wstawiając do nagłówka dokumentu webview podglądu bez usuwania treści wykonywalnej. Znaczniki ze zdolnością do skryptów wykonują się podczas ładowania dokumentu, przed inicjalizacją React i DOMPurify, i mogą uzyskać dostęp do acquireVsCodeApi.

Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.29 wykonuje pliki .crossnote/config.js i .crossnote/parser.js z repozytorium za pomocą vm.runInNewContext, co nie stanowi granicy bezpieczeństwa względem środowiska Node.js. Otwarcie pliku Markdown w złośliwym repozytorium automatycznie ładuje te pliki, a przejście po łańcuchu prototypów pozwala dotrzeć do konstruktora Function i obiektu process, umożliwiając wykonanie poleceń systemowych bez dalszej interakcji.

W cemtan sar2html 4.0.0 wykryto podatność bezpieczeństwa w funkcjach deleteHost, deleteRange i deleteAll w pliku sar2html.py. Manipulacja prowadzi do braku uwierzytelniania, a atak można przeprowadzić zdalnie.

W narzędziu cemtan sar2html w wersji 4.0.0 funkcja index w pliku sar2html.py nie zabezpiecza argumentu sort, co prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany w atakach. Projekt został poinformowany o problemie, ale nie odpowiedział.

Zdalny użytkownik mogący odczytywać zaszyfrowane obiekty w bucketcie S3 może wymusić downgrade paddingu, zmieniając schemat paddingu zapisany w metadanych obiektu na przestarzały PKCS#1 v1.5. Ponieważ ten schemat paddingu jest podatny na znany atak Bleichenbachera, użytkownik może użyć oracle paddingu PKCS#1 v1.5 do odzyskania klucza koperty opakowanego RSA i odszyfrowania obiektu.

Plane, narzędzie do zarządzania projektami open source, w wersji 1.3.1 i wcześniejszych w punkcie końcowym /api/public/assets/v2/anchor/{anchor}/ wymaga uwierzytelnienia do operacji zapisu, ale nie weryfikuje członkostwa w przestrzeni roboczej ani projekcie. Uwierzytelniony użytkownik znający publiczny DeployBoard.anchor opublikowanego projektu może tworzyć rekordy FileAsset w tym projekcie i miękko usuwać istniejące zasoby, co umożliwia wstrzyknięcie plików między przestrzeniami roboczymi, nadużycie pamięci i utratę danych.

W Plane w wersji 1.3.1 i wcześniejszych kontrola autoryzacji w ProjectMemberViewSet.partial_update znajduje się wewnątrz gałęzi aktualizacji roli, więc gość lub członek może pominąć pole role i zmienić pole is_active innego rekordu ProjectMember, w tym dezaktywować administratora projektu. Dodatkowo ProjectMemberPreferenceEndpoint.patch ufa wartości member_id ze ścieżki URL i pozwala członkowi projektu nadpisać preferencje innego członka. Luka została naprawiona w wersji 1.4.0.