Katalog podatności CVE

pbi-cli w wersjach od 3.10.1 do 3.12.0 zawiera podatność wstrzyknięcia polecenia systemowego w desktop_sync.py, która przekazuje niecytowane ścieżki .pbip do cmd /c start podczas ponownego otwierania projektów. Atakujący mogą nakłonić ofiary do otwarcia projektu Power BI ze ścieżki bez spacji zawierającej &, aby uruchomić polecenia z uprawnieniami ofiary podczas zapisu lub przeładowania raportu.

CloudBeaver w wersjach do 25.3.5 zawiera podatność braku autoryzacji w mutacji GraphQL initConnection, która pozwala członkom projektu współdzielonego z uprawnieniami tylko do odczytu trwale zapisywać poświadczenia bez uprawnień do edycji źródła danych. Atakujący może ustawić flagi saveCredentials i sharedCredentials z wybranymi authProperties, aby inni użytkownicy łączyli się ze współdzielonym połączeniem pod tożsamością bazy danych atakującego.

Shepherd (shepherd-ai) do wersji 0.3.1 zawiera podatność polegającą na obejściu zabezpieczeń przed SSRF w dodatku citation-checker, ponieważ guard public_url weryfikuje rozwiązany adres, ale fetch ponownie rozwiązuje nazwę hosta w momencie połączenia. Atakujący, którzy umieszczą spreparowany adres URL w sprawdzanym dokumencie i kontrolują jego DNS, mogą przekierować go na adresy wewnętrzne, wysyłając żądania GET do wewnętrznych usług HTTP(S) i przechwytując odpowiedzi w plikach dowodowych.

GoatCounter do wersji 2.7.0 zawiera podatność eskalacji uprawnień przez masowe przypisanie w handlerze userPrefSave, która pozwala zalogowanym użytkownikom modyfikować chronione pola konta za pomocą żądań form-encoded. Atakujący z dostępem tylko do odczytu mogą wysłać POST user.access[all]=* i user.email_verified=true do /user/pref, omijając znaczniki readonly, aby uzyskać dostęp superużytkownika lub administratora.

Backend OpenAgents Workspace do wersji launcher-v1.0.17 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym wylistować wszystkie obszary robocze przez GET /v1/workspaces. Atakujący mogą odczytać niezamaskowany browserfabric_api_key w mapie ustawień każdego obszaru roboczego, wraz z identyfikatorami obszarów, slugami, adresami e-mail twórców i listami członków.

Traccar w wersjach od 5.7 do 6.16.0 zawiera podatność cross-site request forgery, która pozwala atakującym zalogować ofiary do kont kontrolowanych przez atakującego, ponieważ callback OpenID Connect nigdy nie waliduje parametru state OAuth. Atakujący może nakłonić przeglądarkę ofiary do załadowania /api/session/openid/callback z własnym kodem autoryzacyjnym, powodując, że dane wprowadzone przez ofiarę, takie jak zarejestrowane urządzenia, trafiają do konta atakującego.

Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.

Speedtest Tracker do wersji 1.15.0 zawiera podatność polegającą na obejściu listy dozwolonych adresów IP, która pozwala nieuwierzytelnionym zdalnym atakującym na ominięcie list ALLOWED_IPS i Prometheus przez sfałszowanie nagłówków X-Forwarded-For. Ponieważ bootstrap/app.php ufa każdemu peerowi jako proxy, atakujący mogą podać dozwolony adres, aby odczytać metryki /prometheus i dotrzeć do chronionych endpointów webowych i API.

Miniflux w wersjach od 2.3.0 do 2.3.3 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom dotrzeć do adresów wewnętrznych poprzez ustawienie proxy_url kanału. Atakujący może wskazać proxy_url na loopback lub hosty wewnętrzne, omijając kontrole FETCHER_ALLOW_PRIVATE_NETWORKS, aby sondować wewnętrzne porty i wysyłać żądania w stylu proxy do usług wewnętrznych.

Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.

Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom dołączać do publicznych przestrzeni roboczych tylko na zaproszenie, ignorując ustawienie can_only_join_via_invite. Atakujący z rolą Raven User może wywołać metodę join_workspace, aby stać się trwałym członkiem, czytając i publikując w kanałach Public i Open.

Raven w wersjach od 2.0.0 do 3.0.0 zawiera podatność braku autoryzacji w starszych metodach w raven/api/raven_message.py, które pomijają sprawdzanie członkostwa w przestrzeni roboczej. Uwierzytelnieni nie-członkowie mogą wywołać get_messages_with_dates lub get_all_files_shared_in_channel z przewidywalnymi identyfikatorami kanałów, aby czytać historię kanałów Public oraz metadane plików kanałów Open/Public w różnych przestrzeniach roboczych.

Corteza do wersji 2024.9.10 zawiera błąd nieprawidłowej autoryzacji w endpointach załączników kompozycji, który pozwala nieuwierzytelnionym atakującym pobierać prywatne załączniki poprzez ustawienie segmentu kind w URL na page, icon lub namespace. Atakujący znający identyfikator prywatnego rekordu lub modułu może zażądać oryginalnej lub podglądowej trasy bez tokenu czy podpisu, omijając granice uprawnień namespace i rekordów.

Flyte w wersjach od 2.0.1 do 2.0.51 zawiera podatność polegającą na przechowywaniu sekretów w postaci jawnej, co pozwala użytkownikom z dostępem do odczytu Podów uzyskać sekrety poprzez odczyt zmiennych środowiskowych kontenera init. Wbudowany webhook menedżera sekretów zapisuje wartości sekretów zamontowanych jako pliki w formacie base64 do zmiennej środowiskowej SECRETS, umożliwiając podmiotom bez dostępu do magazynu sekretów ich zdekodowanie ze specyfikacji Pod.

EdgeEver do wersji 1.108.0 zawiera podatność braku autoryzacji w trasach szablonów notatek API Hono, która pozwala posiadaczom tokenów API o ograniczonym zakresie obejść ograniczenia zakresu tokenu, ponieważ handlery szablonów nigdy nie wywołują requireScopes. Atakujący z tokenem bez uprawnienia write:memos może zapisać szablon i wywołać POST /api/v1/templates/:id/use, aby tworzyć notatki oraz wyświetlać, modyfikować lub usuwać szablony w przestrzeni roboczej właściciela tokenu.

GLPI do wersji 12.0.0 zawiera podatność braku autoryzacji w pliku ajax/map.php, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wyszukiwać typy elementów, których nie mogą wyświetlać, poprzez pominięcie sprawdzenia canView(). Atakujący mogą przesyłać spreparowane kryteria wyszukiwania dla typów takich jak Contact, Supplier, Contract i Budget, aby uzyskać liczby dopasowań, tytuły i współrzędne w obrębie swoich encji.

Cheshire Cat AI core do wersji 2.0.23 zawiera podatność przechowywanego cross-site scripting w pluginie uploads, która pozwala uwierzytelnionym użytkownikom przesyłać pliki HTML przez POST /uploads bez ograniczeń typu. Atakujący mogą wysłać publiczny URL GET /uploads/{path} do zalogowanej ofiary, wykonując skrypt w origin aplikacji z ciasteczkiem access_token ofiary, w tym administratorów.

Sylius do wersji 2.3.0 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym czytać nieumoderowane i odrzucone recenzje produktów, ponieważ filtr AcceptedExtension nie jest stosowany do operacji na elemencie. Atakujący mogą enumerować sekwencyjne identyfikatory na GET /api/v2/shop/product-reviews/{id}, aby uzyskać tytuły recenzji, oceny, komentarze, znaczniki czasu i imiona autorów, omijając moderację sprzedawcy.