Katalog podatności CVE

Podatność CSRF w OpenRefine do wersji 3.10.1 w komendzie get-rows. Pozwala zdalnym atakującym na wykonanie wyrażeń Jython. Atakujący może nakłonić użytkownika do odwiedzenia złośliwej strony, która wysyła żądanie GET z spreparowanym parametrem engine, co pozwala na wykonanie poleceń systemowych jako użytkownik OpenRefine.

Podatność polegająca na wstrzyknięciu kodu w narzędziu openapi-typescript-codegen do wersji 0.31.0. Atakujący kontrolujący dokument OpenAPI może wstrzyknąć JavaScript poprzez niepoprawne wartości interpolowane w literałach łańcuchowych. Można to wykorzystać przez osadzenie pojedynczego cudzysłowu w kluczach ścieżek, nazwach parametrów, adresach serwerów lub wersji info.

Podatność polegająca na nieprawidłowej autoryzacji w SkillHub przed wersją 0.2.22 w usługach AccountMergeService i AccountMergeController. Pozwala uwierzytelnionym atakującym na przejęcie innych kont poprzez nadużycie procesu scalania. Atakujący może wywołać endpoint inicjujący scalanie z nazwą użytkownika lub tożsamością OAuth, otrzymać token weryfikacyjny bezpośrednio i potwierdzić scalanie, aby przejąć tokeny API, role i własność przestrzeni nazw ofiary.

cc-connect do wersji 1.5.0 zawiera podatność braku uwierzytelniania w trybie webhook adaptera MAX. Gdy nie skonfigurowano webhook_secret, zdalni atakujący mogą wysyłać nieuwierzytelnione aktualizacje na port 8080 i podszywać się pod dozwolonego użytkownika lub administratora, aby wykonywać uprzywilejowane komendy, takie jak /shell na hoście.

AstronRPA do wersji 1.1.6 zawiera podatność obejścia uwierzytelniania w bramie OpenResty w pliku auth_handler.lua, która akceptuje dowolny token Bearer bez walidacji. Nieuwierzytelnieni atakujący mogą wysyłać dowolne wartości Bearer, aby uzyskać dostęp do tras /api/resource/ i /api/rpa-ai-service/ oraz podszywać się pod nagłówki X-User-Id lub user_id, działając jako dowolny użytkownik.

AstronRPA do wersji 1.1.6 zawiera podatność braku sprawdzenia autoryzacji dzierżawy w robot-service, która pozwala uwierzytelnionym użytkownikom na odczyt zmiennych współdzielonych innych dzierżawców przez punkt get-batch-shared-var. Atakujący mogą enumerować sekwencyjne identyfikatory zmiennych współdzielonych i odszyfrować zmienne wszystkich użytkowników, ponownie szyfrując je własnym kluczem dzierżawy, aby odzyskać poświadczenia innych dzierżawców w postaci jawnego tekstu.

Spotweb do wersji 1.5.8 zawiera podatność wstrzyknięcia komend systemu operacyjnego w handlerze NZB runcommand. Zdalni atakujący mogą wykonywać komendy, publikując spoty z złośliwymi tytułami. Atakujący mogą wysyłać samopodpisane spoty przez Usenet z metaznakami powłoki w tytule, które są podstawiane bez escapowania do $SPOTTITLE i przekazywane do exec(), gdy użytkownik pobiera spot, wykonując komendy jako proces PHP Spotweb.

SillyTavern w wersjach od 1.12.13 do 1.19.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym na wyczerpanie zasobów, ponieważ middleware body-parser działa przed uwierzytelnieniem i sprawdzeniem listy dozwolonych adresów. Atakujący mogą wysyłać duże lub skompresowane ciała JSON lub urlencoded o rozmiarze do 500 MB, opcjonalnie równolegle, aby wyczerpać pamięć i CPU oraz uniemożliwić działanie usługi.

Kortix Suna w wersjach od 0.10.7 do 0.13.52 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala menedżerom projektów ominąć zabezpieczenie isPrivateIp poprzez podanie adresów IPv6 6to4 lub Teredo, które osadzają prywatne cele IPv4. Atakujący posiadający uprawnienia project.connector.write mogą ustawić base_url konektora, adresy URL OpenAPI, Postman lub MCP, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury oraz odczytać odpowiedzi.

Strapi w wersjach od 5.47.0 do 5.57.0 zawiera podatność na nieprawidłową autoryzację, która pozwala tokenom API administratora zachować pełny dostęp do Menedżera Treści po ograniczeniu pól roli właściciela. Ponieważ funkcja reconcileTokenPermissionsToUserCeiling ignoruje uprawnienia tokenów z pominiętymi lub pustymi polami, posiadacze tokenów mogą nadal czytać pola treści, które administrator usunął z roli.

Wtyczka WPAdverts autorstwa Grega Winiarskiego do wersji 2.3.4 zawiera podatność Reflected XSS (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Atakujący może wykorzystać odbity XSS do wykonania złośliwego skryptu w przeglądarce ofiary.

Wtyczka WPAdverts autorstwa Grega Winiarskiego do wersji 2.3.4 zawiera podatność Stored XSS (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Atakujący może zapisać złośliwy skrypt, który wykona się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Tainacan do wersji 1.3.0 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu (Object Injection). Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu lub manipulacji obiektami aplikacji.

Wtyczka WP Rollback autorstwa Devin Walker zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Problem dotyczy WP Rollback w wersjach od n/a do 3.1.2.

Immich do wersji 3.3.1 zawiera podatność na brak autoryzacji w strumieniu synchronizacji partnerów, która pozwala uwierzytelnionym partnerom odczytywać metadane zasobów w zablokowanych folderach, ponieważ zapytania synchronizacji nie wykluczają widoczności Locked. Atakujący z aktywną relacją partnerską mogą wywołać POST /api/sync/stream z typami PartnerAssetsV2 i PartnerAssetExifsV1, aby uzyskać współrzędne GPS, czasy przechwycenia, opisy i szczegóły aparatu.

Open Source Social Network (OSSN) do wersji 10.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu w pliku components/OssnMessages/ossn_com.php, która pozwala uwierzytelnionym użytkownikom odczytywać załączniki prywatnych wiadomości innych użytkowników. Atakujący mogą żądać trasy /messages/attachment/{guid} z sekwencyjnymi lub zgadywanymi identyfikatorami GUID, aby pobrać załączniki z prywatnych rozmów bez weryfikacji nadawcy lub odbiorcy.

Pingvin Share X przed wersją 1.22.0 zawiera podatność na nieskuteczne ograniczanie szybkości, ponieważ wartości TTL throttlera podane w sekundach są interpretowane jako milisekundy. Nieuwierzytelnieni atakujący mogą wysyłać praktycznie nieograniczone żądania do /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP.

Pingvin Share X przed wersją 1.22.0 zawiera podatność na obejście ograniczeń szybkości, która pozwala nieuwierzytelnionym zdalnym atakującym unikać ograniczeń per-IP, ponieważ backend/src/main.ts bezwarunkowo ufa nagłówkom proxy. Atakujący mogą zmieniać sfałszowane wartości X-Forwarded-For wobec /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP oraz sfałszować zalogowane adresy IP klientów.

FusionPBX do wersji 5.6.5 zawiera podatność wstrzyknięcia komend systemu operacyjnego w funkcji call_recordings::download(). Nieuwierzytelnieni atakujący mogą wykonywać komendy, wykonując połączenia z złośliwymi wartościami identyfikatora dzwoniącego. Gdy szablon nazwy pliku record_name jest włączony, atakujący mogą osadzić metaznaki powłoki, takie jak $(...), w nazwie lub numerze identyfikatora dzwoniącego, wykonując komendy jako użytkownik serwera WWW, gdy uprzywilejowany użytkownik pobiera wiele nagrań jako ZIP.

Wtyczka Slider by 10Web do wersji 1.2.62 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu (Object Injection). Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu lub manipulacji obiektami aplikacji.