Katalog podatności CVE

Grav Git Sync od wersji 1.0.2 do 3.4.12 zawiera podatność wstrzykiwania poleceń, która pozwala uwierzytelnionym edytorom treści na wykonywanie poleceń systemu operacyjnego poprzez wstrzykiwanie substytucji powłoki do pól profilu. Gdy tryb autora gravuser lub gravfull jest włączony, atakujący mogą ustawić złośliwą nazwę użytkownika, pełną nazwę lub adres e-mail, który dociera do PHP exec() przez git commit --author, wykonując polecenia jako konto serwera WWW.

Grav grav-plugin-api przed wersją 1.0.36 zawiera podatność eskalacji uprawnień, która pozwala delegowanym menedżerom użytkowników na uzyskanie dostępu super-admina poprzez przechowywanie dodatnich skalarnych uprawnień admin lub api parent. Atakujący z api.users.write mogą edytować mapy dostępu kont lub zaproszenia, tak aby dziedziczący resolver uprawnień spełniał wymagania requireSuper, uzyskując dostęp do endpointów API tylko dla super-admina.

Wtyczka Grav Data Manager 1.4.0 do 1.4.5 zawiera podatność na brak autoryzacji, która pozwala nieuwierzytelnionym atakującym usuwać zapisane pliki danych przez klasyczną integrację Admin. Atakujący mogą wysłać żądanie z parametrem delete i znanym typem danych oraz nazwą pliku, aby usunąć pliki w user/data/, w tym zgłoszenia formularzy, lub sfałszować żądania bez kontroli nonce CSRF.

Grav od 2.0.22 przed 2.1.7 zawiera podatność na ujawnienie informacji, która pozwala edytorom stron odczytać token debuggera Clockwork, ponieważ lista redakcji sandboxa pomija system.debugger.token. Atakujący mogą wyrenderować token przez Twig napisany przez edytora i dostarczyć go jako X-Clockwork-Auth, aby odczytać rekordy profilera z konfiguracją, metadanymi żądań i zapytaniami do bazy danych.

Grav Login plugin od wersji 1.2.0 przed 3.9.9 zawiera podatność ujawniania informacji, która pozwala wydawcom na uzyskanie tokenów resetowania hasła poprzez utworzenie strony w ścieżce resetowania. Gdy ofiara otworzy wysłany e-mailem link resetujący, strona kontrolowana przez wydawcę, renderowana przez Login::getPage(), ujawnia nazwę użytkownika i token bearer, umożliwiając przejęcie kont o wyższych uprawnieniach.

Wtyczka Grav Login w wersjach od 2.7.0 do 3.9.9 zawiera podatność na ominięcie uwierzytelniania, która pozwala atakującemu z ważnym hasłem pominąć dwuskładnikowe uwierzytelnianie (2FA) poprzez przywrócenie trwałego ciasteczka remember-me. Atakujący może uzyskać takie ciasteczko po kroku z hasłem i przywrócić je jako w pełni autoryzowaną sesję bez ukończenia drugiego składnika.

Wtyczka Grav Login w wersjach od 2.7.0 do 3.9.9 zawiera podatność na ominięcie uwierzytelniania w funkcji processUserProfile(), która sprawdza, czy użytkownik sesji istnieje, ale nie sprawdza, czy oczekująca sesja 2FA jest w pełni autoryzowana. Atakujący z hasłem ofiary, który może opublikować formularz strony bez reguły dostępu, może wywołać update_user przed ukończeniem 2FA, aby wyłączyć twofa_enabled i przejąć konto.

vLLM przed 0.29.0 przekazuje przesłane audio do fallbacku PyAV/FFmpeg av.open() tylko z kontrolą rozmiaru pliku, narażając parser IAMF FFmpeg na przepełnienie sterty. Uwierzytelnieni zdalni atakujący mogą wielokrotnie przesyłać uszkodzone kontenery IAMF do /v1/audio/transcriptions, uszkadzając stertę i powodując awarię procesu API.

SiYuan w wersjach od 3.1.12 do 3.8.6 (przed 3.8.6) nie ogranicza mapy funkcji szablonowych Sprig w parametrze content endpointu /api/icon/getDynamicIcon, co pozwala na wyczerpanie zasobów. Osoba z dostępem do publikacji (lub każdy, gdy uwierzytelnianie publikacji jest wyłączone) może użyć nieograniczonych funkcji, takich jak "until", aby zabić jądro przez wyczerpanie pamięci (OOM) jednym żądaniem.

SiYuan w wersjach od 3.7.0 do 3.8.6 (przed 3.8.6) zawiera podatność na absolutne przejście ścieżki w prywatnym serwerze HTTP wtyczek jądra, który przekazuje ścieżkę ResponseFile.Path z handlera wtyczki do Context.File bez walidacji. Atakujący dostarczający złośliwą wtyczkę jądra może zwrócić absolutną ścieżkę, aby odczytać dowolny plik czytelny dla procesu SiYuan, w tym token API i conf.json.

Craft CMS w wersjach 4.0.0 do 4.18.7 oraz 5.0.0 do 5.10.14 przekazuje surowy parametr 'updates' w AppController::actionCacheUpdates do UpdatesModel bez użycia Component::cleanseConfig(), co pozwala na wstrzyknięcie zachowań i handlerów zdarzeń. Zautentykowani użytkownicy panelu z uprawnieniami performUpdates lub dostępem do narzędzia Updates mogą podać klucze 'as' lub 'on', takie jak gadżet AttributeTypecastBehavior, aby wykonać dowolny kod.

Craft CMS w wersjach od 5.0.0 do 5.10.14 (przed 5.10.14) zawiera podatność na DOM-based XSS w przepływie logowania i weryfikacji 2FA w panelu administracyjnym, gdzie kontrolowany przez użytkownika returnUrl akceptujący adresy javascript: jest używany w nawigacji po stronie klienta. Atakujący może nakłonić ofiarę z włączonym 2FA do otwarcia spreparowanego adresu /admin/login?verify=1 pomiędzy podaniem hasła a weryfikacją TOTP, wykonując JavaScript w uwierzytelnionym panelu administracyjnym z uprawnieniami ofiary.

Craft CMS od wersji 5.0.0 do 5.10.14 (przed 5.10.14) zawiera brak autoryzacji w metodzie AppController::actionSwitchToLicensedEdition(), co pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę zainstalowanej edycji. Użytkownicy front-end z niskimi uprawnieniami mogą wywołać tę akcję, gdy licencjonowana edycja się nie zgadza, trwale obniżając edycję witryny w konfiguracji projektu, czego administratorzy nie mogą cofnąć z panelu administracyjnego.

Craft CMS w wersjach od 5.10.2 do 5.10.14 zawiera podatność na ominięcie piaskownicy Twig, która pozwala nieadministracyjnym użytkownikom na wywoływanie callable PHP przez operatory "has some" i "has every". Użytkownicy z uprawnieniami System Messages mogą podać dwuargumentowe callable, takie jak passthru lub system, w szablonach w piaskownicy, aby wykonać kod jako użytkownik webowy.

Craft CMS w wersjach od 4.0.0 do 4.18.7 oraz od 5.0.0 do 5.10.14 zawiera podatność na dowolny odczyt plików, ponieważ lista zablokowanych klas w funkcji Twig create() nie obejmuje klasy DOMDocument. Atakujący, którzy mogą ustawić format tytułu typu wpisu (np. przez project-config/apply), mogą użyć create('DOMDocument').loadHTMLFile() z textContent, aby ujawnić zawartość lokalnych plików użytkownikom niebędącym administratorami, którzy mogą przeglądać wpisy.

Parse Server przed wersją 8.6.93 oraz w gałęzi 9.0.0 przed 9.10.1-alpha.13 nie egzekwuje ochrony pól chronionych (authenticated, role lub grupy per-user) na zapytaniach count używających operatora $relatedTo, ujawniając rozmiar chronionych pól Relation. Uwierzytelniony użytkownik, który może odczytać właściciela obiektu, może połączyć liczby z ograniczeniem objectId jako wyrocznię członkostwa, aby ujawnić poufne członkostwa, takie jak prywatne grupy lub listy blokowane.

Podatność w Parse Server umożliwia nieuwierzytelnionym atakującym, posiadającym publiczne Application Id i klucz klienta, odtworzenie zapytania introspection z pamięci podręcznej Apollo Server, aby uzyskać schemat GraphQL, w tym prywatne nazwy klas i pól. Kontrola introspection jest stosowana tylko do bezpośrednio przesyłanych zapytań, nie do tych z pamięci podręcznej.

Parse Server przed wersją 8.6.95 oraz w gałęzi 9.0.0 przed 9.10.2-alpha.3 nie rozwiązuje referencji do plików pozbawionych URL przed przekazaniem obiektów do wyzwalaczy Cloud Code i LiveQuery, co powoduje nieprzechwycony wyjątek i zakończenie procesu. Atakujący, którzy mogą zapisywać do klasy z wyzwalaczami Cloud Code (save, find, delete) lub włączonym LiveQuery, w tym nieuwierzytelnieni użytkownicy, jeśli publiczny zapis lub rejestracja jest dozwolona, mogą zawiesić serwer lub przerwać kolejne żądania.

Open WebUI w wersjach od 0.6.31 do 0.11.4 (przed 0.11.4) zawiera podatność na przechowywane XSS w rendererze Markdown, który traktuje bloki szczegółów wywołań narzędzi jako wynik narzędzia i montuje ich atrybut embeds w iframe z włączonym skryptem. Uwierzytelnieni użytkownicy mogą publikować spreparowane wiadomości kanałów, czatów lub treści cytowania, które wykonują JavaScript w przeglądarkach odbiorców, umożliwiając phishing w aplikacji lub przejęcie sesji, gdy iframeSandboxAllowSameOrigin jest włączone.

Open WebUI w wersjach od 0.9.0 do 0.11.4 (przed 0.11.4) zawiera podatność na odmowę usługi, która pozwala uwierzytelnionym użytkownikom z uprawnieniami automatyzacji zawiesić instancję poprzez przesyłanie niemożliwych do spełnienia reguł cyklicznych. Atakujący mogą wielokrotnie wysyłać reguły takie jak 30 lutego do endpointów tworzenia lub aktualizacji automatyzacji, blokując wspólną pętlę zdarzeń na sekundy na każde żądanie.