Katalog podatności CVE

Wtyczka Graphene w wersjach do 2.9.4 zawiera podatność na Cross Site Scripting (XSS) z uprawnieniami subskrybenta. Użytkownik o niskich uprawnieniach może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.

OpenList przed wersją 4.2.3 zawiera podatność w funkcji pobierania offline, która pozwala nieuprzywilejowanemu użytkownikowi na zapis plików poza katalogiem tymczasowym, co może prowadzić do tworzenia, nadpisywania lub modyfikacji dowolnych plików zapisywalnych przez proces OpenList. Podatność wynika z braku kontroli zawartości ścieżki w nazwie pliku pochodzącej z nagłówka Content-Disposition.

Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.

MISP zawiera podatność na fiksację sesji w przepływie uwierzytelniania CustomAuth. Po pomyślnym uwierzytelnieniu przez CustomAuth, MISP przechowuje tożsamość uwierzytelnionego użytkownika w istniejącej sesji bez wcześniejszej rotacji identyfikatora sesji. Atakujący, który zna identyfikator sesji ofiary przed uwierzytelnieniem, może go później wykorzystać do uzyskania dostępu do uwierzytelnionej sesji ofiary.

Komponent rozszerzenia MongoDB dla Visual Studio Code nie neutralizuje znaków specjalnych w stringu połączenia przed umieszczeniem go w linii poleceń dla zintegrowanego terminala. Nieuwierzytelniony zdalny użytkownik, który przekona programistę do zaakceptowania połączenia i otwarcia funkcji powłoki, może wstrzyknąć własne znaki do tej linii poleceń.

Błędna konwersja typów numerycznych w komponencie budowania dokumentów BSON w MongoDB C++ Driver może spowodować nieprawidłową interpretację wartości długości. Gdy aplikacja dostarczy bardzo długą, niezakończoną nazwę pola, biblioteka może odczytać pamięć poza buforem i zakończyć proces.

Przepełnienie liczby całkowitej w obliczeniach rozmiaru alokacji w kodzie parsowania JSON w bibliotece BSON może spowodować zwolnienie bufora, podczas gdy następująca operacja kopiowania nadal zapisuje przez nieaktualny wskaźnik. Na systemach 32-bitowych nieuwierzytelniona osoba mogąca dostarczyć wystarczająco duże dane JSON do aplikacji może spowodować jej nieoczekiwane zakończenie, prowadząc do odmowy usługi.

Podwójne zwolnienie pamięci w ścieżce weryfikacji odwołania certyfikatu TLS opartej na OpenSSL w sterowniku MongoDB C Driver. Specjalnie spreparowane dane certyfikatu podczas uzgadniania TLS mogą spowodować dwukrotne zwolnienie tego samego obiektu sterty, co prowadzi do nieoczekiwanego zakończenia działania aplikacji klienckiej.

Nieprawidłowa konwersja numeryczna w komponencie parsowania JSON w bibliotece BSON sterownika MongoDB C Driver może spowodować ciche skrócenie bardzo dużych wartości tekstowych lub pominięcie odpowiedniego pola, podczas gdy operacja parsowania zgłasza sukces i nie zwraca błędu.

Nieautoryzowany użytkownik z dostępem do zapisu w magazynie kluczy może spowodować, że autoryzowany klient wyśle dowolne uwierzytelnione żądania do Google Cloud KMS pod tożsamością autoryzowanego użytkownika, eskalując dostęp na poziomie bazy danych do kontroli kluczy w chmurze i omijając szyfrowanie po stronie klienta.

Exterro FTK Imager przed wersją 8.3 zawiera podatność na wstrzykiwanie zewnętrznych encji XML (XXE), która pozwala atakującym na odczyt dowolnych plików z systemu plików hosta poprzez osadzenie złośliwych odwołań do zewnętrznych encji oraz sterowanych przez atakującego arkuszy XSLT w pliku Report.xml wewnątrz dowodu UFDR ZIP.

Wykryto podatność w przetwarzaniu szablonów Helm w Fleet, gdzie szablony oceniane przez kontroler Fleet mogły sięgać do zasobów sieciowych poza klastrem zarządzania. Użytkownik, który może dostarczyć zawartość pakietu do repozytorium wskazanego przez zasób GitRepo, może spowodować, że kontroler Fleet ujawni metadane klastra dostępne w kontekście szablonowania oraz informacje o hostach osiągalnych z pozycji sieciowej kontrolera.

pymonocypher używa cython do opakowania biblioteki C Monocypher. Przed wersją 4.0.2.8 implementacja argon2i_32 nie sprawdza rozmiaru nb_blocks. Jeśli wywołujący nie zapewni wystarczająco dużego bufora zgodnie z kontraktem API, argon2i_32 zapisze poza końcem bufora i może uszkodzić stertę.

Note Mark to aplikacja do notatek o otwartym kodzie źródłowym. Przed wersją 0.19.5, GET /api/books/{bookID}/notes jest nieuwierzytelnionym punktem końcowym, który akceptuje parametr zapytania "deleted". Gdy żądanie ma ?deleted=true, usługa wykonuje zapytanie z Unscoped() (omijając zakres miękkiego usuwania GORM), ale zachowuje klauzulę autoryzacji odczytu jako "owner_id = ? OR is_public = ?". W rezultacie każdy nieuwierzytelniony wywołujący może wyliczyć metadane miękko usuniętych ("przeniesionych do kosza") notatek należących do dowolnej publicznej książki — notatek, które właściciel jawnie usunął i oczekiwał, że zostaną usunięte z widoku publicznego.

W MISP wykryto podatność polegającą na braku walidacji adresów URL przy zapisie konfiguracji widgetu ButtonWidget w panelu dashboardu. Uwierzytelniony użytkownik mogący modyfikować ustawienia widgetów mógł zapisać dowolny adres URL, w tym korzystający ze schematu javascript:. Walidacja była stosowana wyłącznie w momencie renderowania widgetu, a nie w momencie zapisu konfiguracji.

MISP zawiera odbitą podatność Cross-Site Scripting (XSS) w konstruktorze zapytań filtrowania atrybutów zdarzeń. Parametry URL taggedAttributes i galaxyAttachedAttributes były wstawiane do reguł konstruktora zapytań bez escapowania HTML przed serializacją do JSON i osadzeniem wewnątrz elementu <script>.

MISP zawiera wadę autoryzacji w silniku korelacji OnDemand, gdzie korelacje były obliczane wyłącznie na podstawie pasujących wartości atrybutów bez uwzględniania ograniczeń dystrybucji, grupy udostępniania, organizacji lub innych ograniczeń kontroli dostępu związanych z korelowanymi atrybutami i zdarzeniami. W rezultacie uwierzytelniony użytkownik mógł otrzymać wyniki korelacji odnoszące się do atrybutów lub zdarzeń, do których nie był upoważniony.

Endpoint GET AdminRoleHandler w Oppia jest oznaczony jako open_access, co pozwala każdemu zarejestrowanemu użytkownikowi na wyliczenie uprzywilejowanych kont i ról. Atakujący może wysyłać zapytania z parametrami filter_criterion, aby uzyskać nazwy użytkowników z określonymi rolami, flagi zbanowania oraz identyfikatory zarządzanych tematów bez autoryzacji.

CRMEB do wersji 6.0.0 nie weryfikuje własności wiadomości w handlerze edit_message w MessageSystemController.php, co pozwala uwierzytelnionym użytkownikom na modyfikację dowolnych systemowych wiadomości w skrzynce odbiorczej. Atakujący mogą aktualizować dowolne kolumny wiadomości, w tym is_del, look i uid, aby usuwać, oznaczać jako przeczytane lub przypisywać powiadomienia ofiar bez autoryzacji.

W ILIAS do wersji 9.21/10.9/11.2 odkryto lukę w funkcji ilObjMediaObjectGUI::uploadMultipleSubtitleFileObject w komponencie MediaPool, która pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 9.22, 10.10 i 11.3 łagodzi problem.