CWE-116

Podatność w komponencie XWiki Remote Macros (xwiki-pro-macros) umożliwia zdalne wykonanie kodu (RCE) każdemu użytkownikowi posiadającemu uprawnienia do edycji dowolnej strony. Krytyczny poziom zagrożenia wynika z braku konieczności uwierzytelnienia uprzywilejowanego oraz pełnego zasięgu ataku – od poufności, przez integralność, po dostępność systemu.

Podatność w rozszerzeniu XWiki Remote Macros umożliwia zdalne wykonanie kodu (RCE) przez każdego użytkownika posiadającego uprawnienia do edycji dowolnej strony. Wynika z braku escapowania parametru w makrze confluence paste code, co pozwala na wstrzyknięcie składni XWiki.

IBM Tivoli Application Dependency Discovery Manager w wersjach 7.3.0.0–7.3.0.10 jest podatny na atak typu HTTP header injection poprzez nagłówek HOST. Podatność uzyskała najwyższy możliwy wynik CVSS 10.0, co oznacza krytyczne zagrożenie dla systemów, na których jest wdrożona.

Projekty organizacji WilderForge zawierają krytyczną podatność polegającą na niebezpiecznym użyciu zmiennych kontrolowanych przez użytkownika (np. `${{ github.event.review.body }}`) bezpośrednio w kontekstach skryptów powłoki w przepływach GitHub Actions. Atakujący może wstrzyknąć dowolny kod powłoki poprzez spreparowaną recenzję pull requesta, co prowadzi do przejęcia kontroli nad infrastrukturą CI/CD.

Podatność w XWiki Platform umożliwia wykonanie dowolnego kodu wiki z uprawnieniami autora arkusza IconThemeSheet poprzez spreparowany motyw ikon. Jest to krytyczna luka, ponieważ może zostać wykorzystana nawet przez użytkowników nieposiadających prawa do edycji, np. za pośrednictwem profilu użytkownika.

Podatność w XWiki Platform pozwala każdemu użytkownikowi posiadającemu prawo do odczytu powszechnie dostępnych dokumentów na wykonanie dowolnego kodu Groovy, Python lub Velocity. Skutkuje to pełnym przejęciem kontroli nad instalacją XWiki.

Podatność w module XWiki Platform Wiki UI Main Wiki umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem podglądu wstrzyknięcie dowolnego kodu Groovy, Python lub Velocity poprzez parametr URL. Skutkuje to pełnym wykonaniem kodu po stronie serwera z pominięciem wszelkich mechanizmów kontroli dostępu.

Podatność w module tagów platformy XWiki (dokument Main.Tags) umożliwia wykonanie dowolnego kodu Groovy, Python lub Velocity z uprawnieniami programistycznymi. Atakujący posiadający jedynie prawa do odczytu dokumentu może przejąć pełną kontrolę nad instalacją XWiki, omijając wszelkie mechanizmy kontroli dostępu.

Aplikacja iTunesRPC-Remastered, służąca do wyświetlania statusu Discord Rich Presence dla iTunes i Apple Music, nie sanityzuje poprawnie danych wejściowych od użytkownika, umożliwiając wstrzyknięcie kodu. Podatność otrzymała ocenę krytyczną (CVSS 9.9) ze względu na brak wymaganych uprawnień i możliwość oddziaływania poza bezpośredni kontekst aplikacji.

Biblioteka jmespath.php w wersjach wcześniejszych niż 2.9.1 pozwala atakującemu na wstrzyknięcie i wykonanie dowolnego kodu PHP poprzez spreparowane wyrażenie JMESPath przetwarzane przez komponent CompilerRuntime. Podatność umożliwia zdalne wykonanie kodu (RCE) bez uwierzytelnienia, co czyni ją krytycznym zagrożeniem dla aplikacji PHP korzystających z tej biblioteki.

Podatność typu Host Header Injection w Avigilon ACM v7.10.0.20 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu. Ze względu na brak wymagań co do uprawnień i interakcji użytkownika, podatność stanowi krytyczne zagrożenie dla systemów kontroli dostępu.

Podatność w Apache Tomcat umożliwia obejście niektórych reguł rewrite za pomocą specjalnie spreparowanego żądania HTTP. Jeśli ominięte reguły wymuszały ograniczenia bezpieczeństwa, możliwe jest ich całkowite pominięcie bez uwierzytelnienia.

Podatność nieprawidłowego kodowania lub escapowania danych wyjściowych w daemonie systemowego pluginu Synology BeeStation OS (BSM) oraz DiskStation Manager (DSM) umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Krytyczny wynik CVSS 9.8 wskazuje na bardzo wysokie ryzyko dla wszystkich podatnych urządzeń dostępnych z sieci.

Podatność w module mod_rewrite serwera Apache HTTP Server 2.4.59 i wcześniejszych umożliwia atakującemu wykonanie skryptów w katalogach niedostępnych bezpośrednio przez URL lub ujawnienie kodu źródłowego skryptów przeznaczonych wyłącznie do wykonania jako CGI. Ze względu na brak wymagań dotyczących uwierzytelnienia i niską złożoność ataku podatność jest oceniana jako krytyczna.

Podatność w Apache Zeppelin wynikająca z nieprawidłowego kodowania lub escapowania danych wyjściowych umożliwia nieuwierzytelnionemu atakującemu wykonanie złośliwego kodu. Wysoki wynik CVSS 9.8 i brak wymagań dotyczących uwierzytelnienia czynią ją szczególnie niebezpieczną.

Podatność w OpenNDS Captive Portal przed wersją 10.1.2 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Podatność jest krytyczna, ponieważ nie wymaga żadnej autoryzacji ani interakcji użytkownika.

W aplikacji MISP przed wersją 2.4.176 wykryto podatność polegającą na nieprawidłowym filtrowaniu parametrów zapytań w komponencie IndexFilterComponent. Podatność jest sklasyfikowana jako krytyczna (CVSS 9.8) i może być wykorzystana zdalnie bez uwierzytelnienia.

iTerm2 w wersjach przed 3.4.20 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) wynikającą z błędnej obsługi określonych sekwencji escape powiązanych z integracją tmux. Krytyczny poziom CVSS 9.8 oznacza, że atakujący nie potrzebuje żadnych uprawnień ani interakcji użytkownika.

iTerm2 w wersjach przed 3.4.20 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) z powodu nieprawidłowej obsługi określonych sekwencji escape związanych z funkcją upload. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co czyni ją wyjątkowo groźną dla użytkowników tego emulatora terminala.

Podatność w firmware sterownika Honeywell C300 umożliwia wywołanie odmowy usługi (DoS) poprzez przepełnienie stosu podczas dekodowania wiadomości z serwera. Ze względu na wynik CVSS 9.8 oraz brak wymagań co do uwierzytelnienia, podatność stanowi poważne zagrożenie dla systemów przemysłowych (ICS/OT).