Katalog podatności CVE

Shescape to prosta biblioteka do escapowania dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, podatność dotyczy użytkowników Shescape na systemach Unix, którzy jawnie skonfigurują shell na Zsh lub true, gdy domyślnym shellem jest Zsh, używając escape i escapeAll. Opcje Zsh EXTENDED_GLOB i MAGIC_EQUAL_SUBST pogarszają problem. W niektórych przypadkach atakujący może wykorzystać ekspansję katalogu domowego i składnię rozszerzonych globów, aby uzyskać listy plików i katalogów w systemie. W zależności od tego, co robi polecenie, może to być użyte do wycieku większej ilości informacji. Problem został naprawiony w wersjach 2.1.14 i 3.0.1.

Shescape to prosta biblioteka do escapowania dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, funkcja getEscapeFunction w src/internal/unix/dash.js nie escapuje znaku ~ po : lub =, gdy aplikacje używają API escape lub escapeAll na Unixie z shellem ustawionym na dash, lub z shellem ustawionym na true, gdy Dash jest domyślny, i interpolują wynik do przypisania poprzedzającego polecenie. Atakujący kontrolujący dane wejściowe może dostarczyć wartość taką jak :~, aby ujawnić ścieżkę katalogu domowego i może zmienić lokalizację, na której działa polecenie. Problem został naprawiony w wersjach 2.1.14 i 3.0.1.

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.40.1, w packages/server/src/integrations/mongodb.ts przekazywano kontrolowane przez buildera wartości tlsCertificateKeyFile i tlsCAFile bezpośrednio do MongoClient w Budibase Cloud. Builder mógł przesłać bezwzględne ścieżki serwera przez /api/datasources/verify i odróżnić czytelne istniejące pliki od brakujących, porównując błąd sterownika, co ujawniało istnienie i czytelność plików na współdzielonym serwerze. Problem został naprawiony w wersji 3.40.1.

CamaleonCMS 2.9.1 zawiera podatność na wstrzykiwanie szablonów po stronie serwera, która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych poleceń poprzez osadzenie tagów ERB w parametrze email akcji test_email w ustawieniach, które są oceniane, gdy odrzucenie SMTP odzwierciedla adres odbiorcy w komunikacie o błędzie renderowanym jako szablon ERB inline. Atakujący może przesłać spreparowany parametr email zawierający wyrażenia ERB przez endpoint test_email w ustawieniach administratora, powodując, że renderer szablonów inline Rails oceni kontrolowany przez atakującego kod Ruby i osiągnie wykonanie dowolnych poleceń jako użytkownik procesu Rails.

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.39.25, packages/server/src/api/controllers/automation.ts zwracał wyniki testów automatyzacji zawierające trigger.outputs.user.oauth2, broadcastował BuilderSocketEvent.AutomationTestProgress do pokoju aplikacji i przechowywał postęp w packages/server/src/automations/testProgress.ts bez zakresu użytkownika. Współbudowniczy mógł otrzymać lub odpytać test innego buildera uwierzytelnionego przez SSO i uzyskać tokeny dostępu i odświeżania OAuth2. Poprawka dodaje sanitizeAutomationTestResult i izoluje postęp według użytkownika. Problem został naprawiony w wersji 3.39.25.

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.39.4, uploadUrl w packages/server/src/utilities/fileUtils.ts używał surowego fetch po stronie serwera dla wartości załączników przekazywanych przez processAttachments w packages/server/src/sdk/workspace/ai/helpers/rows.ts. Builder z funkcją generowania tabel AI mógł spowodować, że wartość załącznika odnosi się do wewnętrznej usługi lub punktu końcowego metadanych chmury, a odpowiedź byłaby przechowywana jako załącznik bez walidacji fetchWithBlacklist. Problem został naprawiony w wersji 3.39.4.

Budibase to platforma low-code o otwartym kodzie źródłowym. Przed wersją 3.39.25, POST /api/global/auth/:tenantId/login zwiększał licznik nieudanych prób w packages/worker/src/api/controllers/global/auth.ts tylko dla istniejących użytkowników, podczas gdy packages/worker/src/middleware/emailLockout.ts zwracał X-Account-Locked i Retry-After tylko dla zablokowanych identyfikatorów. Nieuwierzytelniony atakujący mógł porównać odpowiedź po powtarzających się niepowodzeniach, aby wyliczyć prawidłowe adresy e-mail i tymczasowo zablokować prawidłowe konta. Problem został naprawiony w wersji 3.39.25.

SiYuan w wersjach do v3.7.2 (poprawione w v3.7.4) zawiera podatność na ujawnienie informacji w punkcie końcowym /api/asset/getFileAnnotation, który zwraca zawartość plików adnotacji PDF .sya bez sprawdzania uprawnień publikacji. Ponieważ punkt końcowy jest chroniony tylko przez CheckAuth (w przeciwieństwie do trasy /assets/*, która egzekwuje uprawnienia publikacji i hasło), anonimowy czytelnik (gdy uwierzytelnianie publikacji jest wyłączone) lub dowolny RoleReader publikacji, który zna ścieżkę zasobu, może odczytać prywatne adnotacje PDF (podświetlenia i notatki) dokumentów zabronionych do publikacji, chronionych hasłem lub nieopublikowanych. Problem dotyczy tylko niezaszyfrowanych notatników; adnotacje z zaszyfrowanych skrzynek nie są ujawniane.

SiYuan przed wersją 3.7.4 zawiera podatność na ominięcie uwierzytelnienia w filtrze FilterViewByPublishAccess, który nie sprawdza ochrony hasłem publikacji podczas renderowania widoków atrybutów i wierszy bazy danych. Niezalogowani czytelnicy mogą uzyskać dostęp do chronionych hasłem wierszy dokumentów, w tym tytułów, identyfikatorów bloków i wartości kolumn, wywołując renderAttributeView bez podania wymaganego hasła.

SiYuan przed wersją 3.7.4 nie egzekwuje kontroli dostępu do publikacji na punktach końcowych getBlockBreadcrumb, getRefText i getBlockTreeInfos, co umożliwia ujawnienie chronionej treści dokumentów i metadanych. Anonimowi czytelnicy lub konta z rolą czytelnika publikacji mogą pobierać tytuły dokumentów, fragmenty treści bloków przodków, tekst referencji i metadane ścieżek dla dokumentów zabronionych do publikacji lub chronionych hasłem, podając identyfikatory bloków.

SiYuan przed wersją 3.7.4 nie egzekwuje kontroli dostępu do publikacji w punktach końcowych getBlockAttrs i batchGetBlockAttrs. Atakujący mogą pobierać atrybuty bloków, w tym nazwy, aliasy, notatki i pola niestandardowe, z chronionych dokumentów, wysyłając żądania POST z identyfikatorami bloków.

SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym resolveAssetPath, który zwraca bezwzględne ścieżki systemu plików bez modyfikacji dla żądań z samym CheckAuth. Atakujący mogą zbierać względne ścieżki zasobów z opublikowanych dokumentów i przesyłać je do resolveAssetPath, aby uzyskać bezwzględną ścieżkę katalogu roboczego serwera, ujawniając nazwę użytkownika systemu operacyjnego i układ instalacji.

SiYuan przed wersją 3.7.4 nie stosuje filtrowania dostępu do publikacji w punkcie końcowym getAttributeViewKeysByID, co pozwala uwierzytelnionym czytelnikom na pobieranie pełnych schematów kolumn bazy danych, w tym opisów, słowników wyboru i wyrażeń szablonów. Dodatkowo punkty końcowe getBlockDefIDsByRefText i getBlockRelevantIDs wyliczają identyfikatory bloków w całym obszarze roboczym bez ograniczeń publikacji, umożliwiając atakującym odkrycie prawidłowych identyfikatorów bloków poza granicami publikacji i dostęp do treści z ukrytych lub chronionych hasłem dokumentów.

SiYuan przed wersją 3.7.4 (dotknięte <=v3.7.2) nie egzekwuje filtrów dostępu do publikacji na pięciu punktach końcowych rozwiązywania ścieżek drzewa plików (getFullHPathByID, getHPathByID, getPathByID, getIDsByHPath i getHPathByPath). W trybie publikacji, gdy Publish.Auth.Enable jest fałszywe, nieuwierzytelniony (anonimowy) czytelnik — lub dowolny token czytelnika publikacji — może wywołać te punkty końcowe, aby wyliczyć pełne prywatne drzewo dokumentów, mapując nazwy notatników, hierarchie folderów i tytuły dokumentów oraz rozwiązywać ścieżki tytułów do identyfikatorów dokumentów, w tym dla dokumentów oznaczonych jako ukryte, chronione hasłem lub zabronione do publikacji.

SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym getEncryptedNotebookStatus, który zwraca identyfikatory, nazwy i stany blokady zaszyfrowanych notatników bez filtrowania dostępu do publikacji. Anonimowi czytelnicy i konta w trybie publikacji mogą wyliczyć wszystkie zaszyfrowane notatniki i ich aktualny stan odblokowania, ujawniając wrażliwe nazwy notatników i stan deszyfrowania w pamięci.

SiYuan przed wersją 3.7.4 zawiera podatność na ominięcie kontroli dostępu, gdzie trasy plików statycznych w mux serwera omijają kontrolę dostępu do publikacji egzekwowaną na API REST. Atakujący z tokenami czytelnika publikacji lub anonimowym dostępem w trybie z wyłączonym uwierzytelnianiem mogą czytać szablony, fragmenty i artefakty eksportu, bezpośrednio uzyskując dostęp do tras statycznych, które nie mają takich samych ograniczeń jak ich odpowiedniki w API REST.

SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym /api/tag/getTag, który zwraca etykiety tagów i liczbę wystąpień z dokumentów chronionych hasłem nieuwierzytelnionym czytelnikom. Atakujący mogą wyliczyć słownictwo tagów i wewnętrzną terminologię z dokumentów chronionych hasłem, wywołując punkt końcowy tagów bez podawania hasła publikacji dokumentu.

SiYuan v3.7.4-alpha.1 (wersja przedpremierowa; endpoint nie istnieje w stabilnej wersji v3.7.3 ani wcześniejszych) zawiera podatność ujawnienia informacji w endpoincie /api/av/getAttributeViewFieldViews. Trasa jest zarejestrowana tylko z CheckAuth i nie stosuje filtrowania dostępu do publikacji, więc wywołujący z rolą czytelnika mogą pobrać pełną strukturę widoku bazy danych dla dowolnej bazy, której avID zostanie podany.

SiYuan przed wersją 3.7.4 zawiera podatność ujawniania informacji w punkcie końcowym /api/notebook/getNotebookInfo, który zwraca metadane notatnika bez kontroli autoryzacji. Atakujący mogą odczytać nazwy notatników, liczbę dokumentów, rozmiary i znaczniki czasu dla zamkniętych lub nieopublikowanych notatników, które powinny być ukryte przed czytelnikami.

SiYuan przed wersją 3.7.4 zawiera podatność ujawniania informacji w filtrze UILayout, który nie ogranicza prawidłowo stanu obszaru roboczego administratora przed czytelnikami publikacji. Nieuwierzytelnieni atakujący mogą pobrać otwarte dokumenty administratora, terminy wyszukiwania, ścieżki notatników i prywatne lokalizacje zasobów, wywołując punkt końcowy getConf bez uwierzytelnienia.