Katalog podatności CVE

Wtyczka WordPress Speed Optimizer przed wersją 7.8.5 nie weryfikuje uprawnień na poziomie sieci przed zastosowaniem zmiany opcji do całej sieci multisite ani nie ogranicza, które opcje mogą być zmieniane. Pozwala to administratorowi witryny, który nie jest Super Adminem, tworzyć lub nadpisywać opcje obejmujące całą sieć.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nie egzekwuje warunków widoczności bloków, gdy opublikowany wpis jest renderowany przez REST API WordPressa. Pozwala to nieuwierzytelnionym użytkownikom czytać treść bloków, którą właściciel witryny ograniczył do określonych ról, zalogowanych użytkowników, autora wpisu, kategorii lub tagów, a w wersji Pro także do nabywców Stripe.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ustala, czy wpis jest publicznie czytelny, przed zwróceniem jego danych przez endpoint REST API, traktując każdy wpis o statusie published jako publiczny. Pozwala to nieuwierzytelnionym użytkownikom czytać ręczne zajawki wpisów chronionych hasłem, treść i tytuły niepublicznych typów wpisów, a w witrynach WooCommerce kody kuponów i ich opisy.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.8 nieprawidłowo oczyszcza i escapuje wartości stylów bloków dostarczane przez użytkownika przed zapisaniem ich do wbudowanego arkusza stylów. Umożliwia to użytkownikom z uprawnieniami contributor i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy dowolny odwiedzający, w tym administratorzy, wyświetli dotknięty wpis.

Part-DB przed wersją 2.13.2 zawiera podatność na wstrzyknięcie formuł arkusza kalkulacyjnego w procesie importu/eksportu części. Uwierzytelniony użytkownik z uprawnieniami do importu może zaimportować plik CSV zawierający wartości z prefiksem formuły, takie jak =1+1, do kontrolowanych pól części. Gdy część zostanie wyeksportowana jako arkusz XLSX, Part-DB zapisuje wartość za pomocą setCellValue() bez neutralizacji znaków formuły, co może spowodować wykonanie formuły przez oprogramowanie arkusza kalkulacyjnego innego użytkownika.

Part-DB przed wersją 2.13.2 pozwala uwierzytelnionym użytkownikom API obejść skonfigurowany maksymalny rozmiar załącznika, przesyłając załączniki przez API z danymi pliku zakodowanymi w base64. Aplikacja egzekwuje limit rozmiaru dla zwykłych przesyłań przez przeglądarkę, ale ścieżka API base64 nie stosuje tej samej walidacji. W rezultacie użytkownik z dostępem do API i uprawnieniami do tworzenia załączników może przesłać pliki większe niż limit, potencjalnie wyczerpując miejsce na dysku i powodując odmowę usługi.

Part-DB przed wersją 2.13.2 pozwala uwierzytelnionym użytkownikom obejść skonfigurowany maksymalny rozmiar załącznika podczas korzystania z funkcji „Download external file” po stronie serwera. Gdy pobieranie załączników po stronie serwera jest włączone, Part-DB pobiera zdalny plik i strumieniuje go bezpośrednio na dysk bez egzekwowania limitu MAX_ATTACHMENT_FILE_SIZE. W rezultacie użytkownik z uprawnieniami do tworzenia lub edycji załączników może spowodować przechowywanie plików większych niż limit, potencjalnie wyczerpując miejsce na dysku i powodując odmowę usługi.

Part-DB przed wersją 2.12.3 sanityzuje pliki SVG wyłącznie na podstawie rozszerzenia nazwy pliku kontrolowanego przez użytkownika, a nie rzeczywistego typu zawartości. Uwierzytelniony atakujący może przesłać złośliwy plik SVG z ładunkiem JavaScript podając inne rozszerzenie (np. .jpg), całkowicie omijając sanityzację. Gdy dowolny użytkownik wyświetli załącznik inline, przeglądarka otrzyma Content-Type: image/svg+xml i wykona osadzony skrypt w kontekście Part-DB.

Lookyloo przed wersją 1.39.4 pozwala nieuwierzytelnionemu użytkownikowi wywołać e-mail „report a capture” na żądanie (co jest oczekiwane). Endpoint API /json/<uuid>/report (CaptureReport) niepoprawnie przekazuje parametry email i comment, nadpisując as_admin. Gdy as_admin jest True, wywoływane jest zapytanie do instancji MISP (jeśli skonfigurowana) i dodawana jest lista pasujących URLi w e-mailu wysyłanym do analityka (nie do zgłaszającego, więc nie ma ryzyka wycieku informacji). Może to potencjalnie spowodować DoS na instancji MISP.

OpenStack Ironic przed wersją 39.0.1 pozwala na wykonywanie operacji DELETE i GET poprzez vendor_passthru, na przykład w celu usunięcia kont z usługi Redfish kontrolera BMC.

OpenStack Ironic przed wersją 39.0.1 czasami pozwala użytkownikowi zmienić ustawienie trybu konserwacji węzła poprzez PATCH do /v1/nodes/{ident}, czyli bez użycia dedykowanego endpointu konserwacji.

W Part-DB przed wersją 2.12.2 komunikaty walidacji BOM są renderowane z użyciem filtra |raw w Twig, a zawierają placeholdery wypełniane nazwami części kontrolowanymi przez użytkownika. Użytkownik mogący edytować nazwę części może zapisać znaczniki HTML, które zostaną wyrenderowane na stronie wyników walidacji BOM innego użytkownika, co prowadzi do przechowywanego wstrzyknięcia HTML.

W Part-DB przed wersją 2.12.1 plik .env w repozytorium zawiera stałą wartość APP_SECRET, której oficjalny obraz Docker jbtronics/part-db1 nie nadpisuje ani nie losuje przy starcie kontenera. Symfony używa APP_SECRET jako klucza HMAC do podpisywania ciasteczek remember-me, więc atakujący znający ten sekret może sfałszować ciasteczko remember-me dowolnego użytkownika i uzyskać w pełni uwierzytelnioną sesję bez poświadczeń.

W Part-DB, systemie zarządzania inwentarzem komponentów elektronicznych, w wersjach przed 2.12.1 występuje podatność typu stored XSS. Klasa LogEntryExtraFormatter w gałęzi CollectionElementDeleted wstawia nazwę usuniętego pod-elementu (getOldName(), getCollectionName()) do HTML bez użycia htmlspecialchars(), co pozwala użytkownikowi z niskimi uprawnieniami zapisać złośliwy kod HTML/JS jako nazwę pod-elementu, a następnie wywołać jego wykonanie w przeglądarce administratora lub audytora przeglądającego dziennik aktywności lub historię elementu.

OpenStack Ironic w wersjach do 39.0.1 zawiera podatność typu denial of service, która może być wywołana przez configdrive powodujący rozpakowanie bardzo dużej ilości danych, znaną jako gzip bomb.

W aplikacji HospitalManagement (gedelumbung) do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 funkcja simpan w pliku application/modules/admin/controllers/routing_pages.php nieprawidłowo waliduje argument url_route, co prowadzi do otwartego przekierowania (open redirect).

W aplikacji HospitalManagement (gedelumbung) do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 funkcja simpan w pliku application/modules/admin/controllers/routing_pages.php nieprawidłowo obsługuje argument content, co prowadzi do podatności cross-site scripting (XSS).

W komponencie iscsiuio pakietu open-iscsi parser opcji DHCPv6 wywołuje strlen() na surowych danych sieciowych bez zapewnienia terminatora NUL, powodując odczyt poza buforem do pamięci sterty. Może to spowodować awarię demona, jednobajtowe nadpisanie sterty lub uszkodzenie nazwy inicjatora iSCSI. Atakujący w tej samej podsieci może to wywołać, wysyłając spreparowaną wiadomość DHCPv6 Advertise.

W aplikacji gedelumbung HospitalManagement wykryto podatność typu cross-site scripting (XSS) w funkcji kirim w pliku application/modules/web/controllers/contact.php, w komponencie formularza kontaktowego. Manipulacja argumentami nama, email, alamat, telepon lub pesan może prowadzić do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Tokeny uwierzytelniające wydawane przez interfejs webowy E3 przy logowaniu otrzymują czas wygaśnięcia znacznie przekraczający rozsądny czas życia sesji, przez co praktycznie nigdy nie wygasają. Token przechwycony lub uzyskany w wyniku kompromitacji urządzenia pozostaje ważny przez długi czas.