Katalog podatności CVE

Podatność w Kimai przed wersją 2.64.0 w trasie eksportu ProjectViewController (report_project_view_export) wynika z braku autoryzacji. Kontrole autoryzacji są przypisane do metody __invoke, a nie na poziomie klasy, więc trasa eksportu nie dziedziczy żadnych kontroli autoryzacji. Każdy uwierzytelniony użytkownik, w tym zwykły ROLE_USER bez uprawnienia project_reporting, może pobrać eksport przeglądu projektu, który zwraca ten sam zestaw danych co chroniony raport, ujawniając nazwy klientów, nazwy projektów, walutę, typ budżetu i sumy zbiorcze dla wszystkich klientów. Rzeczywiste dane finansowe pozostają chronione w szablonie eksportu.

LeafWiki rozpakowuje przesłane archiwum ZIP bez ograniczania ilości zapisywanych danych. Funkcja ZipExtractor.ExtractToDir w internal/importer/zip_extractor.go otwiera każdy wpis i kopiuje go do miejsca docelowego za pomocą io.Copy, które działa do końca strumienia dekompresji, więc tylko rozmiar przesłanego archiwum jest ograniczony, a nie rozmiar po rozpakowaniu. Trasa importu wymaga roli Editor lub Admin, a sam upload jest ograniczony do 500 MiB skompresowanych. Ponieważ wpis ZIP może być bardzo mocno skompresowany, archiwum poniżej tego limitu może rozpakować się do setek gigabajtów. Katalog ekstrakcji domyślnie znajduje się w katalogu tymczasowym systemu operacyjnego, więc zapisywane dane zużywają dysk, a w przypadku katalogu tmpfs – pamięć. Użytkownik z rolą Editor może więc wyczerpać zasoby magazynu, na którym działa usługa, i uniemożliwić jej działanie, używając znacznie więcej zasobów niż pozwala limit uploadu.

CorvusSKK zawiera podatność na przepełnienie liczby całkowitej, która może pozwolić na zapis złośliwych danych do pliku słownika.

Aplikacja Android "Myna Point" jest podatna na nieprawidłową autoryzację w obsłudze niestandardowego schematu URL (CWE-939). Złośliwa aplikacja zainstalowana na urządzeniu może wykorzystać funkcje aplikacji przez Intent, potencjalnie umożliwiając wykonanie dowolnego JavaScriptu w kontekście aplikacji.

Doorkeeper OpenID Connect przed wersją 1.10.4 nie waliduje zakresów (scopes) dostarczanych przez klienta podczas dynamicznej rejestracji klienta (DCR). Pozwala to samorejestrującemu się klientowi na uzyskanie zakresów wykraczających poza zamierzone przez serwer, co prowadzi do eskalacji uprawnień.

Drupal core ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 0.0.0 do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz niektórych wersji 11.0.*, 11.1.*, 11.2.*.

Doorkeeper w wersji 1.9.0 ma podatność, która pozwala atakującemu znającemu jedynie publiczny client_id dynamicznie zarejestrowanego klienta na uwierzytelnienie się jako ten klient i uzyskanie tokena dostępu bez podania client_secret. Dzieje się tak, ponieważ dynamiczna rejestracja klienta tworzy aplikacje z ustawieniem confidential: false, mimo że odpowiedź rejestracji zawiera client_secret i reklamuje metody uwierzytelniania client_secret_basic i client_secret_post. Problem dotyczy tylko projektów z włączoną dynamiczną rejestracją klienta (domyślnie wyłączoną).

Moduł Drupal Powerful Surveys ma nieokreśloną podatność. Dotyczy wszystkich wersji.

Podatność w module Disable Login Page dla Drupal polega na braku ograniczenia nadmiernych prób uwierzytelnienia, co umożliwia ataki brute force. Dotyczy wersji od 0.0.0 do 1.1.4.

Moduł Drupal PanKM ma nieokreśloną podatność. Dotyczy wszystkich wersji.

Podatność w module Drupal Lunr exposed filters. Dotyczy wszystkich wersji modułu.

Podatność w module Drupal Email Login OTP. Dotyczy wszystkich wersji modułu.

Podatność typu Reflected XSS w module Drupal Search API Autocomplete, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji od 0.0.0 do 1.12.0.

Podatność typu Stored XSS w module Drupal Media Folders, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji od 0.0.0 do 1.0.8.

Podatność typu Cross-Site Scripting (XSS) w rdzeniu Drupal, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji: od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.2.*.

Brak autoryzacji w rdzeniu Drupal umożliwia wymuszone przeglądanie zasobów. Dotyczy wersji: do 10.6.13, od 11.3.0 do 11.3.14, od 11.4.0 do 11.4.4 oraz wszystkich wersji do 11.0.*, 11.1.* i 11.2.*.

Podatność w środowisku programistycznym Drupal. Problem dotyczy wszystkich wersji tego środowiska.

W BlueZ w pliku sdp-xml.c występuje podatność typu confusion (pomylenie typów) w funkcji RegisterProfile(ServiceRecord), która może doprowadzić do awarii demona bluetoothd. Specjalnie spreparowany zagnieżdżony ServiceRecord może uszkodzić stos parsera XML SDP, co pozwala lokalnemu atakującemu na wywołanie awarii bluetoothd.

Niewystarczające wygasanie sesji w Apache Tomcat: jeśli identyfikator sesji uwierzytelnionej sesji HTTP został zmieniony po ustanowieniu połączenia WebSocket w ramach tej sesji, sesja WebSocket nie została zamknięta po zakończeniu sesji HTTP, co narusza specyfikację Jakarta WebSocket.

TypeBot przed wersją 3.18.0 ma podatność, która pozwala każdemu uwierzytelnionemu członkowi przestrzeni roboczej (nie będącemu gościem) na usunięcie publicznej domeny niestandardowej innej przestrzeni roboczej, co powoduje niedostępność typebotów na tej domenie. Obsługa usuwania domeny autoryzuje wywołanie na podstawie client-supplied workspaceId, ale wysyła nazwę domeny do wspólnego projektu Vercel przed weryfikacją, czy domena należy do tej przestrzeni roboczej.