Katalog podatności CVE

W Bouncy Castle dla Java przed wersją 1.85, funkcja OpenPGP Argon2 S2K akceptuje kontrolowaną przez atakującego pamięć i hasła. Problem dotyczy także wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami bcpg-fips.

W Bouncy Castle dla Java przed wersją 1.85, funkcja CRMF/CMP password-MAC honoruje nieograniczoną liczbę iteracji. Problem dotyczy także wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami bcpkix-fips.

W Bouncy Castle dla Java przed wersją 1.85, walidator S/MIME ufa podpisowi czasu (signingTime) zadeklarowanemu przez podpisującego przy walidacji ścieżki. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, wyrocznia szybkiego sprawdzania CFB OpenPGP jest aktywna na ścieżkach kluczy symetrycznych/sesyjnych. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, weryfikator nazwy hosta JSSE domyślnie włącza fallback do CN (Common Name), mimo że dokumentacja wskazuje na opcjonalność. Problem dotyczy również wersji LTS i FIPS.

Wtyczka luci-app-adblock-fast przed wersją 1.2.4-4 zawiera podatność na trwałe XSS w polu nazwy listy blokad. Użytkownicy z niższymi uprawnieniami mogą wstrzyknąć aktywny kod HTML, który wykonuje się w przeglądarce administratora podczas przeglądania strony statusu AdBlock Fast, działając w kontekście pochodzenia LuCI.

Vikunja w wersjach od 0.24.0 do 2.3.0 zawiera podatność BOLA w punkcie końcowym GET /api/v1/projects/{project}/views/{view}/tasks. Punkt końcowy ładuje widok projektu z ścieżki URL bez weryfikacji uprawnień. Posiadacz tokena linku udostępniania może odczytać rekordy kanban bucket (tytuły bucketów i pełny obiekt created_by) z dowolnego widoku w instancji. Brak autoryzacji umożliwia również wykrywanie istnienia projektów/widoków (oracle 404 vs non-404). Treści zadań pozostają ograniczone do własnego projektu udostępnienia.

Biblioteka better-auth (npm) przed wersją 1.4.2 pozwala na zewnętrzne żądanie skonfigurowania baseURL, gdy nie jest on zdefiniowany (np. BETTER_AUTH_URL nie jest ustawione). Atakujący, który wykona pierwsze żądanie do serwera po uruchomieniu, może zatruć bazową ścieżkę routera, powodując zwracanie 404 dla wszystkich tras i użytkowników (odmowa usługi). Problem nie występuje, gdy baseURL jest jawnie skonfigurowane lub na typowych platformach hostingowych.

Wtyczka Exclusive Addons for Elementor dla WordPressa do wersji 2.7.9.8 jest podatna na Stored Cross-Site Scripting przez parametr 'exad_infobox_image'. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor mogą wstrzykiwać dowolne skrypty webowe.

W komponencie keycloak-services Keycloaka stwierdzono usterkę polegającą na nieprawidłowej ocenie stanu klienta podczas operacji aktualizacji. Administrator sfery może skonfigurować polityki wymuszające określone wymagania uwierzytelniania dla klientów poufnych. Atakujący z uprawnieniami do zarządzania klientami może ominąć te polityki, tworząc najpierw klienta publicznego, a następnie aktualizując go do klienta poufnego ze słabszym uwierzytelnianiem.

W Keycloaku wykryto usterkę w usługach autoryzacji, która pozwala użytkownikowi na dołączenie fałszywej wartości czasu w żądaniu autoryzacji, nadpisującej rzeczywisty czas serwera. Umożliwia to ominięcie ograniczeń czasowych i dostęp do chronionych zasobów w nieautoryzowanych godzinach.

W Keycloaku z włączonym Fine-Grained Admin Permissions V2 (FGAP V2) stwierdzono usterkę w komponencie tworzenia użytkowników. Pod-administrator z uprawnieniami do tworzenia użytkowników może dodawać nowych użytkowników do dowolnych grup, nawet do tych, którymi nie ma prawa zarządzać.

W komponencie keycloak-services Keycloaka stwierdzono usterkę w executorze polityki full-scope-disabled. Executor sprawdza pole fullScopeAllowed tylko wtedy, gdy jest ono jawnie podane w żądaniu. Pominięcie tego pola pozwala delegowanemu użytkownikowi na ominięcie polityki i utworzenie klienta z pełnym zakresem dostępu, co umożliwia uzyskanie tokenów z nieautoryzowanymi mapowaniami ról.

Wtyczka Frontend File Manager Plugin dla WordPressa do wersji 23.6 nie przeprowadza walidacji nonce w jednej z akcji aktualizacji metadanych plików. Umożliwia to atak CSRF, w wyniku którego atakujący może zmodyfikować metadane pliku zalogowanego użytkownika, a następnie pobrać ten plik. Gdy włączone jest przesyłanie plików przez gości, ta sama akcja jest dostępna bez uwierzytelnienia dla plików dowolnego użytkownika.

Wtyczka ProfileGrid dla WordPressa przed wersją 5.9.9.8 nie weryfikuje, czy powiadomienie należy do żądającego użytkownika przed jego usunięciem. Każdy uwierzytelniony użytkownik (np. Subscriber) może usunąć powiadomienia innych użytkowników poprzez enumerację identyfikatorów powiadomień.

Wtyczka Narrative Publisher do WordPressa do wersji 1.0.7 nie ogranicza dostępu do zapisu do pola meta postu wystawionego przez REST API ani nie escapuje go podczas renderowania. Użytkownicy z dostępem na poziomie współautora i wyższym mogą przechowywać JavaScript, który wykonuje się w przeglądarce każdego użytkownika z wyższymi uprawnieniami przeglądającego zmodyfikowany post.

Wtyczka Event Booking Manager for WooCommerce do WordPressa przed wersją 5.3.7 nie weryfikuje poprawnie autoryzacji na modyfikowanym obiekcie podczas szybkiej edycji wydarzeń, sprawdzając jedynie globalne uprawnienia. Użytkownicy z rolą Współautora i wyższą mogą modyfikować tytuł i status publikacji dowolnych postów i stron na stronie, w tym treści, których nie są właścicielami.

Wtyczka Event Booking Manager for WooCommerce do WordPressa przed wersją 5.3.7 nie dezynfekuje ani nie escapuje treści osi czasu wydarzeń wprowadzanych przez użytkowników z dostępem do edycji postów przed ich zapisaniem i wyświetleniem na publicznej stronie wydarzenia. Użytkownicy z rolą Autora i wyższą mogą wstrzykiwać dowolny JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego wydarzenie, w tym administratorów.

Wtyczka Event Booking Manager for WooCommerce do WordPressa przed wersją 5.3.7 nie zapobiega deserializacji danych kontrolowanych przez użytkownika w niektórych polach treści wydarzeń. Użytkownicy z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać obiekty PHP. W samej wtyczce nie ma łańcucha POP, ale jeśli jest on obecny w innej zainstalowanej wtyczce, może to prowadzić do działań takich jak usunięcie dowolnych plików, odczyt wrażliwych danych lub zdalne wykonanie kodu. Jest to niekompletna poprawka wcześniejszych porad dotyczących wstrzykiwania obiektów.

Wtyczka LWS Optimize do WordPressa przed wersją 3.4 nie przeprowadza kontroli uprawnień na swoich akcjach czyszczenia pamięci podręcznej. Każdy uwierzytelniony użytkownik, w tym Subskrybenci, może wyczyścić pamięć podręczną witryny i wymusić wielokrotne odbudowywanie cache.