Katalog podatności CVE

iccDEV przed wersją 2.3.2.1 zawiera podatność na niedomiar (underflow) typu size_t w funkcji `CIccEmbedIO::Read8()`. Problem występuje podczas parsowania profili ICC z danymi `icSigEmbeddedV5ProfileTag` i `icSigEmbeddedProfileType`, co może prowadzić do nieprawidłowego działania.

Incus przed wersją 7.1.0 zawiera podatność na dereferencję wskaźnika null w funkcji `(*backend).CreateInstanceFromBackup`. Uwierzytelniony użytkownik z uprawnieniami do tworzenia instancji może zdalnie wywołać awarię demona Incus, przesyłając spreparowany plik kopii zapasowej, co prowadzi do odmowy usługi dla wszystkich projektów na danym członku klastra.

Rozszerzenie przeglądarki PassPortal firmy N-able przed wersją 3.49.6 zawiera podatność na ujawnienie tokenów vault przez niezweryfikowaną wiadomość postMessage, co umożliwia nadużycie uwierzytelniania.

Roskus Prospero Flow CRM w wersjach od 4.9.1 do 5.14.0 zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w punkcie końcowym zapisu transakcji. Użytkownik z uprawnieniami do tworzenia transakcji może ujawnić dane bankowe innej firmy, takie jak nazwa konta, nazwa banku i ostatnie cztery cyfry karty, podając cudze `bank_account_id` lub `bank_card_id` w żądaniu POST /transaction/save.

Rozszerzenie Joomla Zoo (od yootheme.com) przed wersją 4.1.66 zawiera podatność na odbity XSS i otwarte przekierowanie poprzez parametr przekierowania w formularzu zgłoszenia.

Rozszerzenie Joomla Zoo (od yootheme.com) przed wersją 4.1.66 zawiera podatność na nieuwierzytelnione wyświetlanie dowolnych katalogów poprzez element Galeria.

Rozszerzenie Joomla Zoo (od yootheme.com) przed wersją 4.1.66 zawiera brak tokenów CSRF przy zmianach stanu na froncie, co umożliwia ataki CSRF.

Spring AI w wersjach 2.0.0, 1.1.0-1.1.8 oraz 1.0.0-1.0.9 zawiera podatność w obsłudze wywołań narzędzi, gdzie lista narzędzi dostępnych dla żądania nie jest w pełni egzekwowana. W pewnych warunkach można wywołać narzędzie, które nie było udostępnione dla bieżącego żądania, co może prowadzić do eskalacji uprawnień.

W Spring AI, w obsłudze pamięci podręcznej semantycznej, skrót kontekstu używany do izolowania odpowiedzi z pamięci podręcznej między różnymi promptami systemowymi mógł pozwolić na współdzielenie odpowiedzi z pamięci podręcznej między niepowiązanymi kontekstami. Dotyczy wersji Spring AI 2.0.0.

Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.

Wtyczka Passster dla WordPressa przed wersją 4.3.9 nieprawidłowo dopasowuje własne ścieżki publicznych endpointów przy podejmowaniu decyzji, które żądania REST API mogą ominąć globalną ochronę hasłem, porównując je jako niezakotwiczony podciąg URI żądania zamiast z rozwiązaną trasą, co pozwala nieuwierzytelnionemu atakującemu na odczyt treści globalnie chronionych hasłem postów i stron.

Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.

Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.

Wtyczka LitExtension dla WordPressa do wersji 1.2.5 nie weryfikuje nonce przed akcją administracyjną, która nadpisuje token autoryzacyjny łącznika migracji sklepu, co pozwala atakującym na przejęcie tokenu łącznika poprzez nakłonienie zalogowanego administratora do kliknięcia spreparowanego linku (CSRF).

Procedura report.list w pakiecie trpc w Reconmap akceptuje projectId i dashboardId, ale weryfikuje tylko członkostwo dla projectId, nie sprawdzając, czy dashboardId należy do tego projektu. Uwierzytelniony użytkownik może podać projectId z własnej organizacji i dashboardId z innej organizacji, uzyskując dostęp do wszystkich raportów w tym dashboardzie. Istniała już poprawnie zakresowana funkcja listReportsCore, ale router jej nie używał.

Procedura report.get w raporcie TRPC akceptuje tylko reportId i zwraca getReportById(reportId) bez sprawdzenia dostępu. Middleware enforceAccess sprawdza członkostwo tylko, gdy dane wejściowe zawierają projectId lub organizationId, więc sam reportId przechodzi bez kontroli. Uwierzytelniony użytkownik może odczytać pełną konfigurację dowolnego zapisanego raportu, w tym projectId, serie zdarzeń, filtry, podziały i formuły.

Backend filestore w pkg/object/file.go, używany dla magazynów file:// i jako wspólny cel synchronizacji juicefs, wyprowadza każdą operację z path(key), która nie sprawdza, czy wynik pozostaje w katalogu głównym. Klucze obiektów z zewnętrznego magazynu mogą zawierać segmenty przejścia (np. ../), co pozwala na zapis plików poza zamierzonym katalogiem lokalnym bez zgłaszania błędu. Operator synchronizujący z nie w pełni kontrolowanego bucketa jest narażony na zapis plików w miejscach kontrolowanych przez atakującego.

Podatność w bibliotece misp-stix wynika z niepełnego czyszczenia stanu parsera między konwersjami dokumentów STIX. Ponowne użycie tej samej instancji parsera może spowodować, że dane z wcześniej przetworzonego dokumentu (np. galaktyki, rekordy DNS, tytuły, znaczniki czasu) zostaną dołączone do zdarzenia MISP generowanego z kolejnego dokumentu. Problem dotyczy zarówno parserów STIX 1, jak i STIX 2.

W Dolibarr do wersji 23.0.4 zidentyfikowano słabość w pliku htdocs/user/card.php w komponencie Account Handler. Manipulacja argumentem ID powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 24.0.0 łagodzi problem.

Używanie niezaufanych, nieznormalizowanych danych jako danych metryk (takich jak nazwy metryk, klucze tagów lub wartości tagów) jest niebezpiecznym antywzorcem, którego ogólna instrumentacja nie powinna nigdy wykonywać. Podatność dotyczy biblioteki Micrometer w wersjach 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejszych.