Katalog podatności CVE

Wykryto podatność w macrozheng mall do wersji 1.0.3. Dotyczy ona funkcji OmsCartItemServiceImpl.updateQuantity w pliku /cart/update/quantity. Manipulacja argumentem quantity prowadzi do błędów logiki biznesowej. Atak może być zainicjowany zdalnie. Sprzedawca usunął zgłoszenie GitHub bez wyjaśnienia.

Wykryto podatność w liketrek TREK do wersji 3.0.22. Dotyczy ona funkcji findOrCreateUser w pliku server/src/services/oidcService.ts komponentu OIDC Service. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zainicjowany zdalnie, ale wymaga wysokiego poziomu złożoności i jest trudny do wykorzystania. Aktualizacja do wersji 3.1.0 rozwiązuje problem.

Podatność typu Authorization Bypass Through User-Controlled Key (CWE-639) w Kibana może prowadzić do nieautoryzowanej modyfikacji danych poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL. W pewnych warunkach uwierzytelniony użytkownik może odwołać się do identyfikatora rozmowy asystenta AI innego użytkownika, aby uzyskać dostęp lub zmodyfikować rozmowę, której nie posiada. Skuteczne wykorzystanie wymaga znajomości trudnego do odgadnięcia identyfikatora.

OpenSSL Certificate Management Protocol (CMP) przechowuje dodatkowe certyfikaty (extraCerts) wysyłane w wiadomości CMP, ale nigdy ich nie usuwa (np. jeśli są nieprawidłowe). Jeśli serwer często używa tego samego OSSL_CMP_CTX, pamięć może rosnąć bez ograniczeń, a złośliwy klient może zalewać serwer CMP żądaniami, powodując niekontrolowany wzrost pamięci i potencjalnie warunki OOM.

Ech0 przed wersją 4.4.3 chroni endpoint PUT /user zakresem profile:read, który jest tylko do odczytu, ale pozwala na operacje zapisu, w tym zmianę hasła. Atakujący z tokenem dostępu profile:read administratora może zmienić hasło administratora i zalogować się, uzyskując nieograniczony token sesji, który omija wszystkie ograniczenia zakresów.

Ech0 przed wersją 4.4.3 nie egzekwuje autoryzacji opartej na zakresach na dziewięciu endpointach panelu administracyjnego komentarzy, co pozwala tokenom dostępu z minimalnymi zakresami na wykonywanie pełnych operacji moderacji komentarzy. Atakujący z tokenem o ograniczonym zakresie może listować, zatwierdzać, odrzucać, usuwać komentarze oraz modyfikować ustawienia systemu komentarzy, bezpośrednio uzyskując dostęp do niechronionych endpointów panelu.

Ech0 przed wersją 4.4.3 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji validateWebhookURL (webhook_setting_service.go), która waliduje tylko dosłowne adresy IP za pomocą net.ParseIP() i nie odrzuca nazw hostów, które rozwiązują się na prywatne lub wewnętrzne adresy IP (np. 169.254.169.254.nip.io). Atakujący z uprawnieniami administratora może utworzyć webhook z taką nazwą hosta, aby ominąć walidację i spowodować, że serwer będzie wysyłać żądania do wewnętrznych usług, punktów końcowych metadanych chmury i zasobów sieci prywatnej. Problem został naprawiony w wersji 4.4.3.

Ech0 przed wersją 4.4.3 zawiera podatność na trwały cross-site scripting (XSS) w endpointcie przesyłania plików, który waliduje Content-Type tylko na podstawie nagłówków dostarczonych przez klienta, bez inspekcji po stronie serwera. Atakujący z uprawnieniami administratora może przesłać pliki SVG lub HTML zawierające JavaScript, który wykonuje się w kontekście aplikacji, gdy uzyska do nich dostęp dowolny użytkownik, umożliwiając przejęcie sesji i eksfiltrację danych.

Ech0 przed wersją 4.4.3 nie posiada kontroli autoryzacji na endpointach dzienników systemowych, co pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu administratorem na odczyt i strumieniowanie wszystkich logów serwera. Atakujący mogą uzyskać dostęp do historycznych logów i strumieni logów w czasie rzeczywistym przez GET /api/system/logs, GET /api/system/logs/stream oraz WS /ws/system/logs, aby zebrać dane rozpoznawcze, w tym wewnętrzne ścieżki plików, ślady błędów i stan aplikacji.

Ech0 przed wersją 4.7.3 zawiera podatność na ominięcie uwierzytelniania w endpointcie PUT /api/echo/like/:id, która pozwala nieuwierzytelnionym atakującym na zwiększanie wskaźników zaangażowania bez weryfikacji tożsamości lub ograniczeń tempa. Atakujący mogą wysyłać powtarzane żądania, aby sztucznie zawyżyć pole fav_count dla dowolnego znanego identyfikatora echa, co narusza integralność wskaźników zaangażowania i systemów rankingu społecznościowego.

Ech0 przed wersją 4.4.3 nie egzekwuje autoryzacji administratora na endpointach dzienników pulpitu, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do logów systemowych. Atakujący z ważną sesją użytkownika mogą wysyłać zapytania do GET /api/system/logs i subskrybować strumienie logów SSE i WebSocket, aby uzyskać wrażliwe dane operacyjne, w tym ścieżki plików, ślady stosu i wewnętrzne adresy URL.

Ech0 przed wersją 4.7.3 zawiera podatność na trwały cross-site scripting (XSS) w publicznym kanale RSS, gdzie nazwy tagów i treść markdown są renderowane bez escapowania HTML. Atakujący z uprawnieniami administratora mogą wstrzyknąć złośliwe nazwy tagów lub surowy HTML w treści echa, który wykonuje się jako JavaScript w czytnikach RSS renderujących podsumowania typu HTML, co dotyka anonimowych subskrybentów i innych użytkowników.

Ech0 do wersji 4.5.6 rejestruje endpoint PUT /api/echo/like/:id w publicznej grupie routerów bez uwierzytelniania i ograniczeń tempa. Nieuwierzytelnieni atakujący mogą zwiększać licznik fav_count dowolnego echa (w tym prywatnych) poprzez podanie jego UUID, które można zebrać z publicznego kanału GET /api/echo/page. Powtarzane żądania są akceptowane bez deduplikacji, każde wywołuje zapis do bazy danych i unieważnienie czterech kluczy pamięci podręcznej, co pozwala atakującym zawyżać wskaźniki popularności i zwiększać obciążenie bazy danych i pamięci podręcznej. Naprawione w wersji 4.7.3.

Wersje Ech0 przed 4.7.3 ujawniają adresy e-mail komentatorów-gości poprzez publiczne endpointy API z powodu nieprawidłowych tagów serializacji JSON w modelu Comment. Nieuwierzytelnieni atakujący mogą zebrać wszystkie e-maile komentatorów, wywołując endpointy /api/comments i /api/comments/public bez uwierzytelnienia.

Podatność w oprogramowaniu liketrek TREK do wersji 3.0.22. Funkcja journeyService.updateEntry w pliku server/src/nest/journey/journey.controller.t jest podatna na wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 3.1.0 rozwiązuje problem.

vLLM przed wersją 0.27.0 nieprawidłowo klasyfikuje DeepStream jako backend GPU i pomija egzekwowanie limitów pikseli w ścieżce dekodowania. Nieuwierzytelnieni atakujący mogą aktywować DeepStream w czasie żądania, inicjalizując procesowy pulę GPU do dekodowania i przesyłając wideo, które omija kontrolę zasobów, powodując częściową odmowę usługi dla równoczesnych żądań.

Rozszerzenie YOOtheme Pro dla Joomla w wersjach 1.0.0-5.0.41 ma brak kontroli dostępu, co pozwala użytkownikom z uprawnieniami edycji szablonów (com_template) na dostęp do informacji o dowolnych modułach bez wymaganych uprawnień com_modules. Jest to ujawnienie informacji dla uwierzytelnionych, uprzywilejowanych użytkowników.

Wtyczka Media Sweep – WordPress Media Cleaner do wersji 1.1.3 jest podatna na ogólne wstrzyknięcie SQL przez parametr 'fields'. Brak odpowiedniego escapowania i przygotowania zapytania SQL pozwala uwierzytelnionym atakującym z uprawnieniami administratora na dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.

Wtyczka Newsletters dla WordPress do wersji 4.17 jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami autora i wyższymi mogą wysyłać dowolne newslettery do użytkowników dowolnej roli, w tym administratorów, poprzez sfałszowanie pól POST podczas normalnego przesyłania posta. Atakujący może przekazać slug roli przez pole newsletters_mailinglistsroles, co pozwala na nieautoryzowane masowe wysyłki i potencjalny phishing.

Wtyczka Ultimate Member dla WordPress do wersji 2.12.1 jest podatna na przechowywane Cross-Site Scripting (XSS) przez pole profilu Textarea z obsługą HTML (DOM Gadget przez atrybut id). Brak odpowiedniej sanityzacji wejścia i escapowania wyjścia pozwala uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi na wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.