Katalog podatności CVE

Walidator URL webhooka w Firefly III (IsValidWebhookUrl.php) filtruje większość prywatnych/zastrzeżonych zakresów IPv4, ale zawiera jawny wczesny zwrot, który pozwala na dowolny adres w 127.0.0.0/8, umożliwiając uwierzytelnionemu użytkownikowi (z włączonymi webhookami, które są domyślnie wyłączone) skonfigurowanie webhooka kierującego do usług loopback na serwerze.

Publiczny formularz kontaktowy wtyczki 299Ko's public contact form nie oczyszcza pól POST (name, firstname, email, message) przed umieszczeniem ich w szablonie strony. Funkcja wyjścia zmiennych w silniku szablonów nie używa htmlspecialchars, a szablon contact.tpl wyprowadza wartości bez escapowania do atrybutu HTML i textarea.

W Documenso, plik sign-field-with-token.ts używany w interfejsie podpisywania dokumentów na żywo, pozwala odbiorcy z rolą ASYSTENTA na pobieranie i wypełnianie pól należących do późniejszych (lub równorzędnych) niepodpisanych odbiorców w tym samym pakiecie, bez ograniczeń co do typu pola. Nowsza ścieżka V2 (sign-envelope-field.ts) blokuje asystentom wypełnianie pól podpisu, a komentarze w testach potwierdzają brak tej ochrony w ścieżce V1.

SearchController w Pixelfed (za middleware auth) akceptuje URL w parametrach remote-search i pobiera go po stronie serwera przez ActivityPubFetchService, którego validateUrl blokuje tylko dosłowne hosty 127.0.0.1, localhost i ::1 oraz wymaga https, bez sprawdzania rozwiązanego adresu IP pod kątem zakresów prywatnych, wewnętrznych lub link-local (np. 169.254.169.254).

W Paperless-ngx akcja testowa MailAccountViewSet, gdy wywołana z identyfikatorem istniejącego konta i zamaskowanym hasłem, ponownie używa zapisanego hasła, typu konta, tokena odświeżania i daty wygaśnięcia, ale pozwala na podanie innego serwera IMAP, portu i zabezpieczeń w tym samym żądaniu.

W DjangoCRM widok toggle_default_sorting jest jedyną trasą w common/urls.py, która nie wymaga logowania ani uprawnień personelu. Przekierowuje na podany przez użytkownika parametr next_url po sprawdzeniu tylko secure_url, które blokuje tylko przekierowania między domenami, ale pozwala na dowolną ścieżkę w obrębie tej samej domeny bez uwierzytelnienia.

Funkcja PreferenceUtils.merge w Eclipse Theia rekurencyjnie scala wartości preferencji bez odrzucania kluczy związanych z prototypem (__proto__, constructor, prototype). Może to prowadzić do zanieczyszczenia Object.prototype, gdy użytkownik otworzy workspace z odpowiednio spreparowanym plikiem ustawień.

Eclipse Accessibility Tools Framework (ACTF) do wersji 1.6.0 zawiera podatność XML External Entity (XXE). Osoba atakująca może wykorzystać tę lukę do uzyskania dostępu do lokalnych zasobów lub zasobów w sieci wewnętrznej na komputerze, na którym uruchomione są aplikacje korzystające z ACTF, w tym miChecker.

Wtyczka Smash Balloon Social Photo Feed dla WordPressa do wersji 6.11.3 jest podatna na Reflected Cross-Site Scripting przez parametr REQUEST_URI. Nieuwierzytelniony atakujący może wstrzyknąć skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link.

Podatność na odmowę usługi w M-Files Server przed wersją 26.5.16015.3 pozwala uwierzytelnionemu administratorowi spowodować awarię procesu serwera i uniemożliwić jego ponowne uruchomienie.

Wtyczka Layouts for WPBakery dla WordPressa do wersji 1.1.3 włącznie jest podatna na nieautoryzowane działania z powodu braku sprawdzenia uprawnień w funkcji `Layouts_WPB_Remote::template_sync()`. Umożliwia to nieuwierzytelnionym atakującym wymuszenie na serwerze wysyłania żądań HTTP do zewnętrznego API oraz zapisywanie odpowiedzi w tabeli `wp_options` bez żadnych ograniczeń.

Wtyczka Simple Yearly Archive dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut `posttype` shortcodu `SimpleYearlyArchive` we wszystkich wersjach do 2.2.4 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony.

Wtyczka Xpro Addons dla WordPressa jest podatna na nieautoryzowane tworzenie danych z powodu braku sprawdzenia uprawnień w funkcji `get_menu_content_editor()` we wszystkich wersjach do 1.5.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym tworzenie dowolnych opublikowanych postów typu `xpro_content` z kontrolowanymi tytułami.

xidown, nakładka GUI na yt-dlp/ffmpeg, buduje wywołanie yt-dlp, dodając URL podany przez użytkownika lub zeskanowany jako goły argument pozycyjny, bez znacznika '--' kończącego opcje i bez walidacji schematu URL w całym kodzie.

Ochrona SSRF AsyncSafeTransport w Mealie (mealie/pkgs/safehttp/transport.py) rozwiązuje nazwę hosta raz, sprawdza rozwiązany adres IP pod kątem zakresów prywatnych, ale następnie wysyła rzeczywiste żądanie HTTP przy użyciu oryginalnej nazwy hosta, którą bazowy transport asynchroniczny rozwiązuje ponownie niezależnie.

Proces reconciliacji cluster-controller w KubeSphere (pkg/utils/clusterclient/clusterclient.go, addCluster) przetwarza konfigurację połączenia każdego zasobu niestandardowego Cluster i natychmiast wywołuje Discovery.ServerVersion wobec punktu końcowego API Kubernetes określonego w CRD, który jest parsowany tylko pod kątem składni URL (url.Parse) bez listy dozwolonych/zabronionych dla adresów loopback, prywatnych RFC1918, link-local czy adresów metadanych chmury (np. 169.254.169.254).

Trasa /login w changedetection.io sprawdza podane hasło względem pojedynczego hasha PBKDF2-HMAC-SHA256 bez ograniczania szybkości na IP lub sesję, licznika nieudanych prób ani blokady (brak biblioteki rate-limiting w requirements.txt).

W changedetection.io procedura zapisu ustawień w /settings tworzy słownik aktualizacji z danych formularza i bezwarunkowo scala go z zapisanymi ustawieniami aplikacji za pomocą metody .update.

W changedetection.io zasoby API REST są chronione dekoratorem @auth.check_token, który weryfikuje nagłówek x-api-key, z wyjątkiem zasobu Spec zarejestrowanego pod /api/v1/full-spec, którego metoda get nie ma ani @auth.check_token, ani @validate_openapi_request.

Wtyczka SKT Skill Bar dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut `chart_size` shortcodu `skillwrapper` we wszystkich wersjach do 2.6 włącznie, z powodu niedostatecznej sanityzacji wejścia i escapingu wyjścia. Atrybut jest konkatenowany bezpośrednio do bloku `<style>`, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.