Katalog podatności CVE

Rozszerzenie Joomla - j2commerce.com - Nieuwierzytelnione przesyłanie plików z brakiem ochrony katalogu w J2Store 1.0.0-3.3.20, 4.0.0-4.0.20, 4.1.0-4.1.5 - Punkt końcowy przesyłania plików akceptował żądania POST od nieuwierzytelnionych odwiedzających bez tokena CSRF. Dodatkowo, manifest instalatora pominął katalogi upload i invoices, powodując, że świeże instalacje wdrażają te katalogi bez ochrony .htaccess/web.config, co czyni przesłane pliki bezpośrednio dostępnymi w sieci.

Rozszerzenie Joomla - j2commerce.com - Replikacja zamówień między klientami w J2Store 1.0.0-3.3.20, 4.0.0-4.0.20, 4.1.0-4.1.5 - Uwierzytelniony użytkownik mógł podać order_id innego klienta, aby skopiować zawartość koszyka i dane adresowe do swojej sesji. Token CSRF był walidowany, ale własność nie była sprawdzana.

Rozszerzenie Joomla - j2commerce.com - Manipulacja limitem pobrań w J2Store 1.0.0-3.3.20, 4.0.0-4.0.20, 4.1.0-4.1.5 - Uwierzytelniony użytkownik z prawidłowym tokenem zamówienia mógł zwiększyć licznik limitu pobrań na rekordzie pobrania należącym do innego zamówienia. Punkt końcowy również nie miał tokena CSRF.

SpecifyJS to deklaratywny framework interfejsu użytkownika w TypeScript. Przed wersją 0.2.136, sanityzacja wartości CSS usuwała `expression(` i `url(javascript:` za pomocą prostego regexa, ale można było ją obejść za pomocą unicode escape w CSS (`\65xpression(`), bajtów null lub komentarzy CSS (`exp/**/ression(`). Te wektory wstrzykiwania CSS działają tylko w starszych przeglądarkach (IE6-IE10). SpecifyJS celuje w nowoczesne przeglądarki. Począwszy od wersji 0.2.136, sanityzacja CSS normalizuje unicode escape i usuwa komentarze CSS przed dopasowaniem wzorca. Sprawdza również wzorce `behavior:`, `-moz-binding` i `-o-link`.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, atrybut tytułu HTML logo na stronie logowania zawiera pełną wersję iTop. Ten problem został naprawiony w wersji 3.2.3.

W Dromara RuoYi-Vue-Plus do wersji 5.6.2 wykryto podatność w komponencie Workflow Endpoint, dotyczącą funkcji FlwInstanceController, FlwDefinitionController, FlwCategoryController, FlwSpelController i TestLeaveController. Podatność ta prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie.

W Unleash przed wersją 8.0.3, funkcja FeatureEventFormatterMd.format przypisuje Mustache.escape do funkcji tożsamości przed renderowaniem szablonów akcji i ścieżek. To wyłącza escapowanie dla kolejnych wywołań Mustache.render w email-service.ts, webhook.ts, datadog.ts i new-relic.ts. Użytkownik na poziomie edytora może wstawić składnię linków Slack lub Microsoft Teams w nieograniczonej nazwie użytkownika, wywołać zdarzenie funkcji i wstrzyknąć link oznaczony przez atakującego do zaufanego kanału powiadomień wychodzących, podczas gdy inne sinki Mustache pozostają nieescapowane do czasu restartu.

W Unleash przed wersjami 7.5.2, 7.6.5 i 8.0.2, podsystem dodatków i integracji przekazuje wartość parameters.url z webhook.ts oraz integracji Slack, Microsoft Teams, Datadog i New Relic do Addon.fetchRetry bez ograniczania adresów loopback, link-local, prywatnych lub metadanych chmury. Uwierzytelniony aktor z uprawnieniami root CREATE_ADDON lub UPDATE_ADDON może spowodować, że serwer wyśle żądania z wewnątrz swojej sieci, użyć statusu zdarzeń integracji jako ślepego sondy, przekazać nagłówki Authorization, customHeaders lub DD-API-KEY do hosta obserwowanego przez atakującego oraz dostarczyć JSON treści zdarzenia funkcji do usług wewnętrznych.

W Element Web przed wersją 1.12.22, komponent EmbeddedPage w apps/web/src/components/structures/EmbeddedPage.tsx renderuje treść strony głównej dostarczaną przez serwer domowy przez dangerouslySetInnerHTML bez przepuszczania jej przez sanitizedHtmlNode. Złośliwy serwer domowy może dostarczyć spreparowany HTML, który Element Web renderuje na stronie głównej; polityka bezpieczeństwa treści zapobiega JavaScriptowi, ale nie phishingowemu HTML.

DiscordChatExporter przed wersją 2.47.2 zapisuje logi czatu Discord do pliku. Metoda VisitEmojiAsync w DiscordChatExporter.Core/Exporting/HtmlMarkdownVisitor.cs interpoluje emoji.Name do atrybutu alt i emoji.Code do atrybutu title bez kodowania encji HTML. To wpływa na eksport HTML niezależnie od ustawienia markdown. Obecna walidacja nazw niestandardowych emoji Discord zwykle wyklucza znaki łamiące atrybuty, ale zmodyfikowane dane offline, złagodzona reguła walidacji upstream lub inne przyszłe źródło metadanych może wstrzyknąć atrybut HTML i wykonać skrypt po otwarciu eksportu przez użytkownika.

VeraCrypt od wersji 1.26.6 do 1.26.29, tworzenie ukrytego woluminu opartego na pliku wymusza szybkie formatowanie, a funkcje FormatNoFs w src/Common/Format.c i FormatFat w src/Common/Fat.c używają WriteFile do umieszczania surowych wyzerowanych sektorów w przewidywalnych odstępach 128 MiB. Te zapisy omijają normalną ścieżkę formatowania EncryptDataUnits, pozostawiając deterministyczne znaczniki plaintext w obszarze, który powinien przypominać losowy ciphertext. Znaczniki mogą osłabić wiarygodne zaprzeczenie podczas inspekcji kryminalistycznej, chociaż nie ujawniają zawartości ukrytego woluminu ani nie zmniejszają siły szyfrowania VeraCrypt.

W VeraCrypt przed wersją 1.26.29, niestandardowe kompilacje z WOLFCRYPT=1 i WOLFCRYPT_BACKEND kierują wyprowadzanie klucza nagłówka woluminu SHA-256 i SHA-512 przez derive_key_sha256 i derive_key_sha512 w src/Crypto/wolfCrypt.c, gdzie skonfigurowana wartość iteracji jest odrzucana i używane jest wc_HKDF zamiast PBKDF2-HMAC. Zmiana PIM lub liczby iteracji nie zwiększa zatem kosztu wyprowadzania, co pozwala atakującemu z dotkniętym kontenerem, obrazem dysku lub nagłówkiem woluminu na znacznie tańsze odgadywanie hasła offline. Oficjalne prekompilowane binaria VeraCrypt i normalne pakiety dystrybucyjne używają standardowego backendu PBKDF2 i nie są dotknięte. Woluminy utworzone przez dotkniętą kompilację WOLFCRYPT=1 wymagają kopii zapasowej i ponownego utworzenia, ponieważ poprawione kompilacje wyprowadzają inne klucze.

OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.

Brak walidacji typu zestawu kolejek w xQueueAddToSet() w FreeRTOS-Kernel przed wersją 11.3.1 może pozwolić nieuprzywilejowanemu zadaniu na portach z MPU i configUSE_QUEUE_SETS=1 na odczyt uprzywilejowanej pamięci jądra. Aby zaradzić temu problemowi, użytkownicy powinni zaktualizować do wersji 11.3.1 lub nowszej.

Infracost przed wersją 0.10.45, wewnętrzne/hcl/remote_variables_loader.go i powiązane ścieżki żądań Terraform Cloud, remote-plan i Terragrunt registry mogą dołączyć skonfigurowany token Terraform Cloud lub registry do docelowej nazwy hosta pochodzącej z niezaufanego wejścia Terraform bez potwierdzenia, że jest to skonfigurowany zaufany host. Gdy przebieg CI dostarcza token podczas skanowania Terraform kontrolowanego przez atakującego, w tym pull_request_target lub pull request w tym samym repozytorium, atakujący może skierować żądanie do hosta kontrolowanego przez atakującego i ujawnić token. Standardowe przepływy pracy fork pull_request bez sekretów nie są narażone.

Przed wersją 0.10.45 narzędzie Infracost zawierało podatność polegającą na tym, że funkcje szablonów readFile, pathExists, isDir i matchPaths nie rozwiązywały dowiązań symbolicznych w pośrednich katalogach. Repozytorium mogło zawierać ścieżkę taką jak evil/file, gdzie evil wskazuje poza obszar roboczy, co powodowało odczyt plików dostępnych dla procesu uruchamiającego. Treść tych plików mogła zostać wyrenderowana do wygenerowanej konfiguracji i ujawniona przez dashboard Infracost lub komentarz w pull requeście, co ma większy wpływ w środowiskach, gdzie udostępniane są sekrety repozytorium.

W wersjach od 3.5.1 do 3.9.2 narzędzia Checkmate, uwierzytelniony administrator lub superadministrator może ustawić matchMethod na regex i umieścić złośliwe wyrażenie w polu expectedValue dla zaawansowanego dopasowywania monitora HTTP. Wyrażenie to jest oceniane synchronicznie na głównej pętli zdarzeń Node.js bez limitu czasu lub izolacji wątku, co pozwala na katastrofalne cofanie się (backtracking) i zamrożenie punktów API, kontroli monitorów oraz połączeń WebSocket dla wszystkich użytkowników. Problem został naprawiony w wersji 3.9.2.

W produkcie Johnson Controls Simplex Incident Manager / Autocall Fire Administrator przed wersją 2.01.05 występuje podatność polegająca na przechowywaniu wrażliwych informacji w pamięci w postaci jawnego tekstu. Atakujący może wykorzystać tę podatność do odzyskania osadzonych wrażliwych danych.

Platforma Brushfire w aplikacji do strumieniowania wideo (https://online.brushfire.com) ujawnia ścieżkę bazy danych w żądaniach do użytkowników, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na odczyt informacji o innych użytkownikach. Naprawiono w lutym 2026.

Incus przed wersją 7.3.0 umożliwia obejście ograniczenia `restricted.containers.privilege=isolated` na poziomie projektu. Użytkownik może utworzyć kontener nieizolowany, pomijając klucz `security.idmap.isolated`, co domyślnie ustawia wartość `false` i pozwala na współdzielenie mapy uid/gid hosta. To osłabia izolację między dzierżawcami a hostem.