Katalog podatności CVE

W bibliotece Fdawgs node-poppler do wersji 9.1.2/10.0.1 wykryto podatność na wstrzykiwanie argumentów w funkcjach pdfInfo/pdfToText/pdfToCairo/pdfToPpm/pdfImages/pdfToHtml/pdfToPs/pdfFonts/pdfDetach/pdfAttach/pdfSeparate/pdfUnite w pliku src/index.js. Manipulacja argumentem file_path prowadzi do wstrzyknięcia argumentów, a atak może być inicjowany zdalnie.

Wtyczka InfusedWoo Pro dla WordPressa do wersji 5.1.17 zawiera podatność na eskalację uprawnień poprzez przejęcie konta. Brakuje sprawdzenia uprawnień w funkcji ajax_iwar_preview_email(), która używa tylko is_admin() jako autoryzacji, co pozwala użytkownikom z niskimi uprawnieniami na generowanie linków resetujących hasło dla dowolnego użytkownika, w tym administratorów.

System zarządzania praktyką medyczną opracowany przez Le-yan zawiera podatność na zdalne wykonanie kodu. Nieuwierzytelnieni zdalni atakujący mogą wykonywać dowolne polecenia systemu operacyjnego za pomocą spreparowanej strony HTML.

NLTK przed wersją 3.10.3 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji nltk.pathsec.urlopen (oraz w wywołujących nltk.data.load, nltk.downloader.Downloader.index/download) gdy skonfigurowany jest proxy HTTP. Walidacja hosta odbywa się lokalnie, ale proxy wykonuje faktyczne żądanie do wewnętrznego adresu, który nie jest ponownie weryfikowany.

NLTK przed wersją 3.10.3 używa xml.etree.ElementTree do parsowania XML w wielu modułach, co honoruje deklaracje encji w DTD dokumentu. Atakujący mogą stworzyć złośliwe XML z zagnieżdżonymi encjami, które rozszerzają się z setek bajtów do megabajtów w pamięci, powodując odmowę usługi.

NLTK przed wersją 3.10.3 nie używa zwalidowanych ścieżek bezwzględnych podczas wywoływania binarnego pliku Graphviz dot w dependencygraph.dot2img i AlignedSent._repr_svg_, co pozwala atakującym na wykonanie dowolnego kodu przez umieszczenie złośliwego pliku dot w ścieżce wyszukiwania lub bieżącym katalogu roboczym. Atakujący mogą wykorzystać rozwiązywanie nazw bez ścieżki na Windows przez bieżący katalog roboczy lub na systemach uniksowych przez względne wpisy PATH, aby wykonać swój binarny plik zamiast legalnego narzędzia Graphviz.

GitPython przed wersją 3.1.59 pomija opcję --separate-git-dir w unsafe_git_clone_options, co pozwala atakującym na tworzenie dowolnych katalogów git poza zamierzonym miejscem klonowania. Atakujący mogą przekazać parametr separate_git_dir do Repo.clone_from() lub Repo.clone(), aby przekierować metadane repozytorium do ścieżki kontrolowanej przez atakującego, umożliwiając tworzenie dowolnych katalogów i potencjalne wykonanie hooków.

GitPython przed wersją 3.1.59 nie wyłącza opcji merge_includes podczas parsowania pliku .gitmodules, co pozwala atakującym na ujawnienie zawartości lokalnych plików przez dołączanie dowolnych ścieżek plików za pomocą dyrektyw [include]. Atakujący mogą stworzyć złośliwy plik .gitmodules z dyrektywami include wskazującymi na wrażliwe pliki; gdy dostęp do repo.submodules jest wykonywany, GitConfigParser zgłasza wyjątek MissingSectionHeaderError zawierający pierwszą linię docelowego pliku w treści komunikatu.

Grav przed wersją 2.0.16 zawiera niekompletną domyślną listę blokowania w konfiguracji sandboxa Twig, która nie blokuje dostępu do sekretów konfiguracji systemu. Atakujący z uprawnieniami edycji stron mogą użyć config.get() lub config.toArray() w szablonach Twig, aby pobrać wrażliwe wartości, takie jak system.cache.redis.password, gdy config_access jest włączony.

Wtyczka Grav Email (getgrav/grav-plugin-email) przed wersją 4.2.2 renderuje parametry akcji Email kontrolowane przez edytora stron jako nieosłonięte szablony Twig. Zautentykowany zdalny użytkownik z uprawnieniami api.access i api.pages.write może umieścić wyrażenie Twig w header.form.process.email.body, opublikować stronę i wysłać formularz, aby wykonać dowolne polecenie systemu operacyjnego jako konto uruchamiające PHP.

Wtyczka getgrav/grav-plugin-login Composer przed wersją 3.9.1 (używana przez Grav) porównuje tokeny resetowania hasła i aktywacji konta za pomocą nie-stałoczasowego porównania === zamiast hash_equals() w classes/Controller.php (taskReset()) i login.php (obsługa aktywacji). Ponieważ punkt końcowy przesyłania tokena (taskReset) nie ma również ograniczenia szybkości, atakujący może w zasadzie wysyłać wielokrotne zgadywania tokenów dla znanej nazwy użytkownika i wykorzystać różnice czasowe, aby próbować odzyskać prawidłowy token, chociaż dostawca ocenia praktyczną możliwość wykorzystania jako niską i nie zademonstrowano ataku sieciowego od końca do końca.

Grav CMS przed wersją 2.0.16 zawiera podatność na podążanie za dowiązaniami symbolicznymi w Scheduler Job::createLockFile(), która pozwala lokalnym atakującym na nadpisanie dowolnych plików poprzez wcześniejsze utworzenie dowiązań symbolicznych w przewidywalnych ścieżkach plików blokady w katalogu tymczasowym z prawem zapisu dla wszystkich. Atakujący mogą umieścić dowiązanie symboliczne w przewidywalnej ścieżce blokady wskazujące na dowolny plik, do którego proces serwera WWW może zapisywać, a następne uruchomienie zaplanowanego zadania podąży za dowiązaniem i nadpisze zawartość docelowego pliku ciągiem identyfikatora zadania.

Grav przed wersją 2.0.16 zawiera podatność na przechodzenie po ścieżkach w MediaUploadTrait::deleteFile(), która pozwala zautentykowanym użytkownikom z uprawnieniami zarządzania mediami na usuwanie dowolnych plików poprzez podanie nazw plików z sekwencjami przechodzenia po katalogach. Metoda waliduje tylko część nazwy pliku (basename), zachowując niezwalidowane ścieżki katalogów zawierające sekwencje ../, które są przekazywane do unlink(), umożliwiając usunięcie plików poza zamierzonym katalogiem przechowywania mediów.

Grav przed wersją 3.9.2 nie waliduje niezaufanych nagłówków Host w funkcji sendInvitationEmail() podczas konstruowania linków zaproszeń zawierających tokeny. Atakujący mogą manipulować nagłówkiem Host, aby zatruć linki zaproszeń i przekierować użytkowników do domen kontrolowanych przez atakującego, omijając ochronę require_trusted_host, która obejmuje tylko przepływy resetowania hasła.

Wtyczka Grav Flex Objects w wersjach 1.4.0 do 1.4.7 zawiera podatność na obejście autoryzacji w shortcode flex-objects, umożliwiającą użytkownikom z uprawnieniami do edycji stron renderowanie dowolnej zarejestrowanej kolekcji Flex bez sprawdzania uprawnień. Atakujący mogą umieścić shortcode na opublikowanych stronach, aby ujawnić wrażliwe zawartości katalogów, w tym informacje o kontach użytkowników, omijając ACL authorize egzekwowane w panelu administracyjnym.

Adminer przed wersją 5.4.3 zawiera podatność na zdalne wykonanie kodu w obsłudze zapytań SQLite, gdzie polecenie VACUUM INTO nie jest blokowane mimo ograniczeń ATTACH. Uwierzytelnieni atakujący mogą wykonać VACUUM INTO, aby zapisać kod PHP do dowolnych ścieżek plików i wykonać polecenia na serwerze.

Adminer przed wersją 5.4.3 zawiera podatność na nieograniczone przesyłanie plików we wtyczce AdminerFileUpload, która pozwala uwierzytelnionym użytkownikom przesyłać pliki PHP poprzez wykorzystanie domyślnej, zbyt liberalnej listy dozwolonych rozszerzeń. Atakujący mogą przesłać webshell PHP do kolumn kończących się na _path i wykonać dowolny kod jako użytkownik serwera WWW, gdy uploadPath jest serwowany przez WWW.

Adminer przed wersją 5.4.3 zawiera podatność na dowolne usuwanie plików w trybie SQLite, gdzie akcja usuwania listy baz danych nie sprawdza poprawnie rozszerzeń plików przed usunięciem. Uwierzytelniony atakujący może przesłać dowolne względne ścieżki plików w parametrze db[], aby usunąć dowolne pliki zapisywalne przez proces PHP.

SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.

OpenEXR jest referencyjną implementacją i specyfikacją formatu obrazu EXR, szeroko używanego w przemyśle filmowym. W wersjach od 3.4.0 do 3.4.12, spreparowany plik EXR skompresowany HTJ2K powoduje bezwarunkowe przerwanie procesu w każdej aplikacji, która wywołuje exr_start_read() na niezaufanym wejściu, co prowadzi do odmowy usługi. Awaria jest wywoływana przez marker QCD, którego dolne pięć bitów jest zerowe, co OpenEXR przekazuje do dołączonej biblioteki OpenJPH podczas konstruowania strumienia kodowego i oceny parametrów delta kwantyzacji. OpenJPH używa asercji zamiast odzyskiwalnego błędu do walidacji tych bitów, więc każda nieprawidłowa wartość wywołuje bezpośrednio abort() i nie może być przechwycona przez otaczającą obsługę błędów, co jest pogłębione przez to, że OpenEXR otacza tylko wewnętrzny parser nagłówka HT obsługą błędów, pozostawiając późniejsze odczyty strumienia kodowego i wywołania konstrukcji niechronione. Problem został rozwiązany w wersji 3.4.13.