Katalog podatności CVE

Craft CMS przed wersją 5.10.8 zawiera podatność na trwały cross-site scripting (XSS) w panelu sterowania, gdzie nazwy wersji roboczych są renderowane bez kodowania HTML w chipach i kartach elementów. Użytkownik z niskimi uprawnieniami, który może tworzyć wersje robocze elementów, może wstrzyknąć złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika z wyższymi uprawnieniami przeglądającego dany element, umożliwiając tworzenie kont i inne uwierzytelnione działania.

Craft CMS przed wersją 5.10.8 zawiera podatność na obejście uwierzytelniania w akcji elements/save, która umożliwia uwierzytelnionym użytkownikom zmianę haseł bez weryfikacji. Atakujący z uprawnieniami do edycji użytkowników mogą zresetować hasło dowolnego użytkownika, w tym administratorów, wykorzystując niechronione pole newPassword w przepływie zapisu elementu User.

GitLab naprawił problem w GitLab EE wpływający na wszystkie wersje od 12.0 przed 19.0.6, 19.1 przed 19.1.4 i 19.2 przed 19.2.2, który w pewnych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na obejście ograniczeń dostępu opartych na IP i odczytanie ograniczonych informacji o żądaniach scalania z prywatnego projektu z powodu braku kontroli autoryzacji w punkcie końcowym API żądań scalania.

Podatność na obejście autoryzacji w LXD umożliwia uwierzytelnionemu atakującemu obejście ograniczeń izolacji kontenerów na poziomie projektu. Gdy projekt jest skonfigurowany z ograniczeniami dotyczącymi uprawnień kontenerów (takimi jak wymuszanie restricted.containers.privilege=isolated), LXD nie egzekwuje wymogu, jeśli konfiguracja instancji pomija klucz security.idmap.isolated. Atakujący może wykorzystać tę wadę, tworząc lub aktualizując instancję bez jawnego ustawienia security.idmap.isolated, omijając ograniczenia bezpieczeństwa docelowego projektu.

GitLab naprawił problem w GitLab EE wpływający na wszystkie wersje od 16.0 przed 19.0.6, 19.1 przed 19.1.4 i 19.2 przed 19.2.2, który w pewnych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami roli dewelopera na przeglądanie konfiguracji zewnętrznych kontroli statusu, ograniczonej do ról z wyższymi uprawnieniami, z powodu braku autoryzacji w punkcie końcowym API żądań scalania.

Draft List to wtyczka WordPress do zarządzania i promowania nieopublikowanych treści. Wersje 2.6.3 i niższe są podatne na trwały cross-site scripting (XSS) w shortcode `[drafts]` i widżecie Draft List, gdy udokumentowana opcja niestandardowego szablonu `template` umieszcza placeholder `{{draft}}` wewnątrz atrybutu HTML. Podatny kod wstawia surowy `post_title` wersji roboczej do `{{draft}}`, gdy bieżący przeglądający nie może edytować postów. Ponieważ szablon jest sanityzowany przed zamianą `{{draft}}`, współpracownik może zapisać tytuł zawierający tylko cytat, który wychodzi poza atrybut w skonfigurowanym szablonie Draft List i wykonuje JavaScript dla odwiedzających publiczną stronę. Wersja 2.6.4 naprawia problem.

ScadaLTS 2.7.8.1 odzwierciedla dane wprowadzone przez użytkownika w odpowiedzi HTML bez sanityzacji. Nieuwierzytelniony atakujący, który nakłoni ofiarę do odwiedzenia spreparowanego adresu URL, może wykonać dowolny JavaScript w kontekście sesji przeglądarki ofiary.

Problem odczytu poza zakresem w dekoderze Base64 w Amazon aws-sdk-cpp przed wersją 1.11.862, na niektórych platformach, może pozwolić zdalnemu uwierzytelnionemu użytkownikowi na spowodowanie awarii aplikacji przetwarzającej spreparowane dane wejściowe zakodowane w Base64. Aby naprawić ten problem, użytkownicy powinni zaktualizować do wersji 1.11.862.

Podatność w dekoderze Base64 w bibliotece aws-sdk-cpp przed wersją 1.11.862 może pozwolić zdalnemu uwierzytelnionemu użytkownikowi na zapis poza zakresem, co może prowadzić do awarii lub uszkodzenia pamięci sterty w aplikacji przetwarzającej spreparowane dane Base64.

Gdy kuma-dp jest uruchamiany wobec płaszczyzny sterowania HTTPS bez podania certyfikatu CA, połączenie jest nawiązywane z wyłączoną weryfikacją TLS, a token uwierzytelniający dataplane jest wysyłany przez to niezweryfikowane połączenie.

W GitLab EE w wersjach od 19.1 przed 19.1.4 oraz 19.2 przed 19.2.2, w pewnych warunkach uwierzytelniony użytkownik mógł odczytać konfigurację polityk należącą do przestrzeni nazw, do której nie miał autoryzacji, z powodu błędnych kontroli autoryzacji w zapytaniu GraphQL.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu wyścigu (race condition).

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wstrzyknięcie dowolnej treści do plików dziennika Navigator z powodu nieprawidłowej neutralizacji danych wyjściowych dla logów.

W Budibase przed wersją 3.39.25, endpoint GET /api/global/groups nie wymagał uprawnień buildera ani administratora, co pozwalało uwierzytelnionemu użytkownikowi z rolą BASIC na wyliczenie grup, mapowań ról, członkostw użytkowników, uprawnień buildera i flag grup domyślnych.

Gdy operator dodaje profil płaszczyzny sterowania HTTPS do kumactl bez podania certyfikatu CA, kumactl wyłącza weryfikację TLS i wysyła tokeny API przez niezweryfikowane połączenie.

W Kong Mesh działającym w trybie uniwersalnym z MeshIdentity, którego szablon ścieżki SPIFFE ID pochodzi z etykiety kuma.io/workload dataplane, autoryzator XDS w kuma-cp waliduje tę etykietę tylko wtedy, gdy token dataplane jest powiązany z obciążeniem. Powiązanie z obciążeniem jest opcjonalne, więc dataplane z tokenem powiązanym z tagami może zarejestrować się z dowolną wartością kuma.io/workload i uzyskać tożsamość SPIFFE innego obciążenia.

Domyślna konfiguracja kuma-cp w Kong Mesh ujawnia token bootstrap administratora i klucze podpisujące każdej stronie internetowej, którą operator odwiedza, gdy płaszczyzna sterowania jest osiągalna z przeglądarki. Z powodu błędnej konfiguracji CORS, złośliwa strona może wykonać fetch() i uzyskać admin JWT oraz materiały podpisujące.

Walidator tokenów dataplane w kuma-cp wykonuje niesprawdzoną asercję typu Go na nagłówku kid w JWT. Token z kid będącym liczbą JSON jest dekodowany jako float64 i powoduje panikę w czasie wykonania przed jakąkolwiek weryfikacją podpisu, roszczeń lub autoryzacji.

Gdy kuma-dp jest skonfigurowany z API administracyjnym Envoy na gnieździe domeny Unix (co jest domyślne), jego usługa gotowości na porcie TCP 9902, nasłuchująca na wszystkich interfejsach, przekazuje prawie całe API administracyjne Envoy każdemu, kto może dotrzeć do portu, bez uwierzytelniania. Atakujący z dostępem sieciowym do portu 9902 płaszczyzny danych, na przykład inny pod w sieci klastra, może odczytać konfigurację Envoy i płaszczyzny danych bez poświadczeń: zrzuty konfiguracji, listy klastrów i listenerów, statystyki oraz pakiet zaufania siatki. Ekspozycja jest tylko do odczytu - destrukcyjne działania administracyjne Envoy są zablokowane, a klucze prywatne nie są ujawniane.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 17.6 przed 19.0.6, 19.1 przed 19.1.4 i 19.2 przed 19.2.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi z rolą dewelopera na modyfikację niektórych metadanych rejestru pakietów bez wymaganych uprawnień na poziomie maintainera z powodu nieprawidłowych kontroli autoryzacji.