Katalog podatności CVE

Admidio to open-source'owe narzędzie do zarządzania użytkownikami. Przed wersją 5.0.10, gdy włączone jest logowanie debugowania, `Session::setCookie()` loguje pełne wartości ciasteczek, a `Session::start()` loguje bieżący identyfikator sesji. W rzeczywistym wdrożeniu Admidio obejmuje to zarówno aktywne ciasteczko sesji, jak i trwałe ciasteczko automatycznego logowania. Każdy, kto ma dostęp do dziennika, może odzyskać aktywne poświadczenia typu bearer z logów. Wersja 5.0.10 zawiera poprawkę.

Admidio to open-source'owe narzędzie do zarządzania użytkownikami. Wersja 5.0.9 dodała brakującą kontrolę `isAdministratorInventory()` do `case 'item_delete':` w `modules/inventory.php`. Ta sama poprawka nie została zastosowana do sąsiedniego `case 'field_delete':`, który niszczy całą definicję pola inwentarza, kaskadowo usuwając wszystkie wiersze `adm_inventory_item_data` i wpisy `adm_inventory_field_options`. Procedura sprawdza tylko token CSRF związany z sesją; nie ma kontroli `isAdministratorInventory()` na poziomie kontrolera, a `Admidio\Inventory\Entity\ItemField::delete()` nie egzekwuje jej na poziomie encji (w przeciwieństwie do `ItemField::save()`, które sprawdza `$gCurrentUser->isAdministrator()`). Każdy zalogowany użytkownik może trwale zniszczyć nie-systemowe pole inwentarza, wysyłając jeden POST. Wersja 5.0.10 zawiera poprawkę.

Docker Sandboxes (sbx) stosuje intencję tylko-do-odczytu dla montowania hosta tylko do powiązania kontenera w gościu: bazowe uprawnienie virtio-fs na krawędzi hosta jest dodawane do listy dozwolonych polityk sandboxa bez trybu dostępu. Katalog pozostaje zapisywalny w ścieżce współdzielonego eksportu, więc nieuprzywilejowany kod wewnątrz sandboxa może wyprowadzić tę ścieżkę i zapisywać do katalogu hosta, który operator podłączył jako tylko-do-odczytu.

Złośliwie spreparowane dane wejściowe, przetwarzane przez parser ramek IPC instalatora Autodesk, mogą wywołać nieprawidłową walidację pozycji lub przesunięcia określonego w danych wejściowych, co prowadzi do operacji na podciągu poza zakresem. Złośliwy aktor może wykorzystać tę podatność, aby spowodować nieoczekiwane zakończenie usługi NT AUTHORITY\SYSTEM, co prowadzi do warunku odmowy usługi.

CPSD CryptoPro Secure Disk dla Bitlocker przed wersją 7.7.4 przechowuje sekrety TPM2.0 w formacie serializowanym w nieużywanych sektorach dysku. Nieuwierzytelniony atakujący z fizycznym dostępem do dysku systemowego może odzyskać te informacje i przygotować środowisko do odpieczętowania TPM.

Admidio przed wersją 5.0.10 zawiera podatność CSRF w akcji `mode=export` w `modules/sso/keys.php`, która eksportuje pakiet PKCS#12 z kluczem prywatnym i certyfikatem. Walidacja tokena CSRF jest zakomentowana, co pozwala na sfałszowane żądanie POST z sesji administratora i wyeksportowanie klucza prywatnego bez ważnego tokena.

Admidio przed wersją 5.0.10 ma podatność IDOR w `modules/documents-files.php` w trybie `file_rename_save`. Kontrola uprawnień na górze sprawdza prawo do przesyłania na podstawie parametru `folder_uuid`, ale operacja zmiany nazwy działa na `file_uuid` bez ponownego sprawdzenia folderu, w którym plik faktycznie się znajduje. Użytkownik z prawem przesyłania w dowolnym folderze A może zmienić nazwę pliku w folderze B, jeśli ma do niego dostęp do odczytu.

Admidio przed wersją 5.0.10 ma brak walidacji tokena CSRF w `modules/sso/clients.php` dla akcji `enable`. Przypadek `enable` ładuje klienta SAML lub OIDC po UUID, wywołuje `$client->enable($enabled)` i zapisuje nowy stan bez sprawdzenia tokena. Akcja jest osiągalna przez zwykłe parametry GET, co pozwala zewnętrznej stronie na wyłączenie lub ponowne włączenie dowolnego skonfigurowanego klienta SSO u uwierzytelnionego administratora.

Admidio przed wersją 5.0.10 ma brak walidacji tokena CSRF w `modules/registration.php` w trybie `send_login`. Ten tryb generuje nowe losowe hasło dla `user_uuid_assigned`, zapisuje jego hash bcrypt i wysyła hasło jawnym tekstem do użytkownika. Inne tryby w tym samym pliku sprawdzają token CSRF, ale `send_login` tego nie robi. Strona odwiedzona przez administratora rejestracji może wysłać żądanie jako nawigacja najwyższego poziomu, a przeglądarka wyśle ciasteczka `SameSite=Lax`, co pozwoli na zresetowanie hasła wybranego użytkownika bez interakcji administratora.

Admidio przed wersją 5.0.10 ma podatność w `modules/categories.php`, gdzie kontrola uprawnień dla konkretnej kategorii jest martwym kodem, ponieważ porównuje `$getType` (kod typu kategorii) z nazwami trybów (`edit`/`save`/`delete`), co jest zawsze fałszywe. W rezultacie przypadki `delete`, `sequence` i `save` ładują kategorię po UUID i działają na niej bez ponownego sprawdzenia, czy kategoria należy do modułu administrowanego przez aktora. Użytkownik z prawem administratora tylko jednego modułu może niszczyć lub zmieniać kolejność pustych kategorii należących do innych modułów.

UYAP Document Editor (Ministerstwo Sprawiedliwości) ma podatność związaną z nieprawidłowym ograniczeniem zewnętrznych encji XML (XXE), co pozwala na zewnętrzne łączenie danych seryjnych. Podatność dotyczy wersji od 4.5.17 przed 5.4.17.

Podatność polegająca na przydzielaniu zasobów bez limitów lub ograniczeń w Fortinet FortiOS może pozwolić nieuwierzytelnionemu atakującemu na przeprowadzenie powolnego ataku DoS na interfejs webowy poprzez spreparowane żądania HTTP.

Fortinet FortiOS w wersjach 7.6.1-7.6.6 ma podatność przepełnienia bufora na stosie (CWE-121), która może pozwolić nieuwierzytelnionemu atakującemu, który obejdzie ochronę stosu i ASLR, na wykonanie dowolnego kodu lub poleceń w kontekście demona WAD, ale tylko jeśli jawny serwer proxy jest skonfigurowany z uwierzytelnianiem Kerberos i włączonym SOCKS.

W Fortinet FortiWeb (wersje 8.0.0–8.0.2, 7.6.0–7.6.5, 7.4 wszystkie, 7.2 wszystkie, 7.0 wszystkie) występuje niekompletna lista niedozwolonych danych wejściowych (CWE-184). Atakujący może uzyskać niewłaściwą kontrolę dostępu za pomocą specjalnie spreparowanych żądań.

Admidio przed wersją 5.0.10 ma podatność, która pozwala uwierzytelnionemu członkowi z prawem przesyłania w dowolnym folderze na trwałe usunięcie plików z folderów, do których ma tylko dostęp do odczytu. Kontrola uprawnień na górze `modules/documents-files.php` sprawdza prawo przesyłania na podstawie parametru `folder_uuid`, a nie rzeczywistego folderu nadrzędnego pliku. Handler `file_delete` weryfikuje tylko prawo odczytu, nigdy prawo przesyłania. Jest to niekompletna poprawka GHSA-rmpj-3x5m-9m5f, która została załatana w v5.0.7, ale pozostaje wykorzystywalna w v5.0.9.

Ultimate POS zawiera podatność na trwały atak XSS, która pozwala uwierzytelnionym atakującym z niskimi uprawnieniami na wstrzyknięcie dowolnego kodu HTML i skryptów poprzez ustawienie złośliwego ładunku w polu imienia użytkownika podczas tworzenia konta. Atakujący z rolą taką jak kasjer może wysłać wniosek urlopowy przez moduł HRM/Leave, co powoduje wykonanie niezdezynfekowanego znacznika w sesji przeglądarki każdego użytkownika z wyższymi uprawnieniami, który przegląda panel powiadomień o wnioskach urlopowych, umożliwiając przejęcie sesji między użytkownikami w obrębie domeny administratora.

Wtyczka Quick Paypal Payments dla WordPressa do wersji 5.7.50 nie weryfikuje zapłaconej kwoty, odbiorcy ani statusu płatności w swoim handlerze PayPal IPN i oznacza zamówienie jako opłacone na podstawie samego dopasowania tokenu zamówienia, więc kupujący, który płaci dowolną małą kwotę, może mieć zamówienie o pełnej cenie oznaczone jako opłacone.

Wtyczka Payment Button for PayPal dla WordPressa do wersji 1.2.3.44 nie egzekwuje po stronie serwera ceny skonfigurowanej przez sprzedawcę i ufa kwocie płatności dostarczonej przez klienta, co pozwala nieuwierzytelnionym atakującym na utworzenie prawdziwego zamówienia PayPal wobec sprzedawcy na dowolną niższą kwotę.

Wtyczka Kirki dla WordPressa przed wersją 6.2.1 nie autoryzuje poprawnie swoich tras REST do przesyłania formularzy z front-endu i przekazuje dane kontrolowane przez atakującego do wykonania shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie, co w domyślnej instalacji prowadzi do ujawnienia adresu e-mail administratora witryny i umożliwia wysyłkę poczty do dowolnego odbiorcy z domeny ofiary.

Wtyczka Payment Gateway for PayPal on WooCommerce dla WordPressa przed wersją 9.2.1 nie weryfikuje, czy płatność faktycznie się powiodła przed ukończeniem zamówienia w swoim handlerze zwrotnym PayPal: czyta parametry kontrolowane przez atakującego, nie wykonuje porównania kwot ani sprawdzenia własności zamówienia i kończy zamówienie nawet wtedy, gdy weryfikacja po stronie serwera nie powiedzie się, co pozwala nieuwierzytelnionemu atakującemu oznaczyć dowolne zamówienia jako opłacone bez płacenia.