Katalog podatności CVE

Podatność Cross Site Scripting (XSS) w dodatku Kalles Addons w wersjach do 1.0.6. Atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwy skrypt.

Podatność Broken Access Control w Booking and Rental Manager w wersjach do 2.7.6. Użytkownik z uprawnieniami subskrybenta może uzyskać nieautoryzowany dostęp do funkcji.

Podatność Broken Access Control w OwnerRez API w wersjach do 1.2.6. Użytkownik z uprawnieniami subskrybenta może uzyskać nieautoryzowany dostęp.

Podatność Sensitive Data Exposure w Print Barcode Labels for your WooCommerce products/orders w wersjach do 4.0.0. Użytkownik z uprawnieniami subskrybenta może uzyskać dostęp do wrażliwych danych.

Podatność Missing Authorization w Post SMTP od wersji 4.0.0 do beta.1. Pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

FastGPT Community Edition w wersjach od 4.10.0 do 4.14.0 jest podatny na wstrzyknięcie NoSQL w endpointcie POST /api/core/chat/getHistories. Nieuwierzytelniony atakujący może wstrzyknąć złośliwe operatory NoSQL przez spreparowane ładunki JSON, aby ominąć kontrolę autoryzacji, co prowadzi do nieautoryzowanego dostępu do tytułów historii czatów wszystkich użytkowników.

Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów używała niekompletnych kontroli containment w systemie plików, co pozwalało na dostęp do plików w katalogach sąsiednich, jeśli ścieżka miała wspólny prefiks. Zdalny atakujący mógł tworzyć i uzyskiwać dostęp do miniatur z plików obrazów w sąsiednim katalogu, potencjalnie ujawniając staging, kopie zapasowe lub inne wewnętrzne strony.

System egzaminacyjny XueZhiSi Open Source Exam System w wersji 3.9.0 i wcześniejszych ma podatność na eskalację uprawnień w interfejsie nauczyciela POST /api/teacher/user/page/list. Parametr role w UserPageRequestVM jest w pełni kontrolowany przez osobę wysyłającą żądanie.

Smarty to silnik szablonów dla PHP. Przed wersjami 4.5.7 i 5.8.2, obsługa {fetch} używała Security::isTrustedUri() tylko do walidacji początkowego adresu URL, a PHP domyślnie podążał za przekierowaniami HTTP. Atakujący z otwartym przekierowaniem na zaufanym hoście mógł przekierować żądanie do wewnętrznego punktu końcowego, omijając listę dozwolonych URI i wykonując SSRF.

backpack/crud to pakiet Laravel do tworzenia paneli administracyjnych. Od wersji 6.0.0 do 6.8.14 i 7.0.37, metody SingleBase64Image::uploadFiles i uploadRepeatableFiles akceptują dowolne data URI zaczynające się od data:image bez walidacji typu MIME lub zawartości. Uwierzytelniony administrator może przechowywać dowolne pliki pod nazwą bez rozszerzenia, co może prowadzić do przechowywanego XSS lub innych niepożądanych zachowań.

Wallos to samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.1, endpoint currency/update_exchange.php ładuje globalnie pierwsze poświadczenie Fixer/API Layer zamiast poświadczenia uwierzytelnionego użytkownika. Zwykły uwierzytelniony użytkownik bez własnego klucza może wywołać odświeżenie kursów walut używając poświadczeń innego użytkownika.

Wallos to samodzielnie hostowany tracker subskrypcji. Przed wersją 4.9.1, uwierzytelniony użytkownik może edytować swoją nieaktywną subskrypcję i ustawić replacement_subscription_id na ID subskrypcji należącej do innego użytkownika. Logika statystyk później odwołuje się do obcego ID bez zakresu user_id, co pozwala atakującemu wywnioskować miesięczny koszt subskrypcji ofiary.

TechStore 1.0 jest podatny na Cross Site Scripting (XSS). W contact_display aplikacja odzwierciedla parametr id bezpośrednio w renderowanej stronie, co umożliwia wykonanie dostarczonego przez atakującego JavaScriptu w przeglądarce użytkownika.

Wykryto podatność w sdcb chats do wersji 1.12.0. Dotyczy funkcji McpController w pliku src/BE/web/Controllers/Users/Mcps/McpController.cs, w komponencie fetch-tools Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto słabość w caoqianming django-vue-admin 1.0. Podatność dotyczy nieznanego kodu w pliku /api/file/. Manipulacja argumentem file_id prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

Wykryto lukę bezpieczeństwa w Doccano Open Source Annotation Tools do wersji 1.8.5. Dotyczy funkcji LabelList w pliku /v1/projects/1/category-types, w komponencie Bulk-Delete Endpoint. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto podatność w Doccano Open Source Annotation Tools do wersji 1.8.5. Dotyczy funkcji ExampleDetail w pliku /v1/projects/1/examples/, w komponencie Project Example Detail Endpoint. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Złośliwa strona internetowa może zatrzymać nawigację między źródłami w oknie popup po zatwierdzeniu, powodując wyświetlenie w pasku adresu docelowego źródła, podczas gdy nadal renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w Firefox for iOS 155.0.

Xibo to platforma cyfrowych tablic ogłoszeniowych z systemem zarządzania treścią. Przed wersją 4.4.3 brak autoryzacji w Module::settingsForm pozwala na podgląd (bez zmiany) ustawień modułu zastrzeżonych dla super administratora oraz ujawnienie pełnej encji modułu. Wykorzystanie podatności jest możliwe przez autoryzowanego użytkownika z dostępem do funkcji Module View, która standardowo nie jest przyznawana nie-administratorom. Użytkownicy powinni zaktualizować do wersji 4.4.3, która naprawia ten problem. Aktualizacja do wersji z poprawką jest konieczna. Użytkownicy, którzy nie mogą zaktualizować, powinni odebrać takie uprawnienia użytkownikom, którym nie ufają.

Nieprawidłowa kontrola dostępu w funkcji CloudSrvVersionCheck w TOTOLINK T6 4.1.5cu.748_B20211015 umożliwia nieuwierzytelnionym atakującym wyzwalanie sprawdzania aktualizacji w chmurze poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.