CWE-200

FOSSBilling w wersjach od 0.5.4 do wcześniejszych niż 0.8.0 zawiera krytyczną podatność polegającą na pominięciu autoryzacji w obsłudze ról API. Atakujący bez żadnych poświadczeń może uzyskać dostęp do uprzywilejowanych endpointów administracyjnych `/api/system/*`.

Cloud Foundry UAA w wersjach v76.12.0–v78.12.0 nieprawidłowo ujawnia komponenty prywatnych kluczy EC (Elliptic Curve) poprzez publiczny endpoint /token_keys. Podatność jest krytyczna, ponieważ pozwala nieuwierzytelnionemu atakującemu pozyskać klucze służące do podpisywania tokenów JWT, co umożliwia fałszowanie tożsamości i eskalację uprawnień w środowisku Cloud Foundry.

Podatność w Microsoft Azure DevOps umożliwia nieuwierzytelnionemu atakującemu zdalne ujawnienie wrażliwych informacji przez sieć. Krytyczny poziom zagrożenia (CVSS 10.0) wynika z braku wymagań co do uprawnień, interakcji użytkownika oraz szerokiego zakresu potencjalnego wycieku danych.

Podatność w produkcie BLUVOYIX polega na nieautoryzowanym ujawnieniu wewnętrznej dokumentacji API, co umożliwia nieuwierzytelnionemu atakującemu zdalne nadużycie wewnętrznych funkcji platformy. Oceniona jako KRYTYCZNA z maksymalnym wynikiem CVSS 10.0, stanowi poważne zagrożenie dla integralności i dostępności systemu.

Platforma BLUVOYIX firmy Blusparkglobal przechowuje hasła użytkowników w postaci jawnej (plaintext) i udostępnia je przez nieuwierzytelnione API. Atakujący bez żadnych uprawnień może pobrać hasła wszystkich użytkowników, w tym administratorów, i przejąć pełną kontrolę nad platformą.

Nieprawidłowa kontrola dostępu w endpoint realtime.cgi urządzeń DSE855 firmy Deep Sea Electronics umożliwia nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad urządzeniem. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją skrajnie krytyczną.

Podatność w urządzeniach Azure-Access BLU-IC2 oraz BLU-IC4 (firmware do wersji 1.19.5) umożliwia nieautoryzowanemu atakującemu uzyskanie hasła konta e-mail skonfigurowanego w urządzeniu. Krytyczny poziom CVSS 10.0 wskazuje na brak jakichkolwiek wymagań wstępnych po stronie atakującego, co czyni tę lukę szczególnie niebezpieczną.

MikroTik RouterOS v.7.14.2 oraz SwOS v.2.18 domyślnie udostępniają interfejs zarządzania WebFig przez niezaszyfrowany protokół HTTP, co umożliwia atakującemu znajdującemu się na ścieżce sieciowej przechwycenie danych uwierzytelniających oraz wykonanie wstrzykniętego kodu JavaScript w przeglądarce administratora. Podatność posiada najwyższy możliwy wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla każdej sieci korzystającej z urządzeń MikroTik.

Plugin docusaurus-plugin-content-gists w wersjach przed 4.0.0 nieprawidłowo dołącza GitHub Personal Access Token do klienckich pakietów JavaScript, czyniąc go dostępnym dla każdego, kto może przeglądać kod źródłowy strony. Podatność otrzymała maksymalny wynik CVSS 10.0, ponieważ token może zostać wykorzystany przez nieuwierzytelnionego atakującego zdalnie bez jakiejkolwiek interakcji użytkownika.

W aplikacji Coolify przed wersją 4.0.0-beta.374 zalogowany użytkownik może pobrać dowolny klucz prywatny przechowywany w instancji w postaci jawnego tekstu. W określonych okolicznościach podatność może prowadzić do wykonania dowolnych poleceń na zdalnym serwerze zarządzanym przez ofiarę.

Podatność w aplikacji ownCloud/graphapi umożliwia nieuwierzytelnionemu atakującemu uzyskanie pełnych informacji o środowisku PHP (phpinfo), w tym wrażliwych zmiennych środowiskowych. W środowiskach kontenerowych może to prowadzić do ujawnienia hasła administratora ownCloud, danych dostępowych serwera pocztowego oraz klucza licencyjnego.

Bramka telematyczna Digitalcomtech Syrus 4G IoT korzysta z niezabezpieczonego serwera MQTT, który umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu na urządzeniu. Podatność jest krytyczna, ponieważ nie wymaga żadnych poświadczeń ani interakcji ze strony użytkownika, a skutki mogą obejmować fizyczną ingerencję w pojazd.

SQLpage is a SQL-only webapp builder. Someone using SQLpage versions prior to 0.11.1, whose SQLpage instance is exposed publicly, with a database connection string specified in the `sqlpage/sqlpage.json` configuration file (not in an environment variable), with the web_root is the current working directory (the default), and with their database exposed publicly, is vulnerable to an attacker retrieving database connection information from SQLPage and using it to connect to their database directly. Version 0.11.0 fixes this issue. Some workarounds are available. Using an environment variable instead of the configuration file to specify the database connection string prevents exposing it on vulnerable versions. Using a different web root (that is not a parent of the SQLPage configuration directory) fixes the issue. One should also avoid exposing one's database publicly.

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. A critical vulnerability has been discovered in Argo CD starting with version 1.4.0 and prior to versions 2.1.15, 2.2.9, and 2.3.4 which would allow unauthenticated users to impersonate as any Argo CD user or role, including the `admin` user, by sending a specifically crafted JSON Web Token (JWT) along with the request. In order for this vulnerability to be exploited, anonymous access to the Argo CD instance must have been enabled. In a default Argo CD installation, anonymous access is disabled. The vulnerability can be exploited to impersonate as any user or role, including the built-in `admin` account regardless of whether it is enabled or disabled. Also, the attacker does not need an account on the Argo CD instance in order to exploit this. If anonymous access to the instance is enabled, an attacker can escalate their privileges, effectively allowing them to gain the same privileges on the cluster as the Argo CD instance, which is cluster admin in a default installation. This will allow the attacker to create, manipulate and delete any resource on the cluster. They may also exfiltrate data by deploying malicious workloads with elevated privileges, thus bypassing any redaction of sensitive data otherwise enforced by the Argo CD API. A patch for this vulnerability has been released in Argo CD versions 2.3.4, 2.2.9, and 2.1.15. As a workaround, one may disable anonymous access, but upgrading to a patched version is preferable.

Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.

A vulnerability in Juniper Networks NorthStar Controller Application prior to version 2.1.0 Service Pack 1 may allow an unauthenticated, unprivileged, network-based attacker to cause various denials of services leading to targeted information disclosure, modification of any component of the NorthStar system, including managed systems, and full denial of services to any systems under management which NorthStar interacts with using read-only or read-write credentials.

Omron CX-One CX-Programmer before 9.6, CJ2M PLC devices before 2.1, and CJ2H PLC devices before 1.5 rely on cleartext password transmission, which allows remote attackers to obtain sensitive information by sniffing the network during a PLC unlock request.

Sierra Wireless ALEOS before 4.4.2 on AirLink ES, GX, and LS devices has hardcoded root accounts, which makes it easier for remote attackers to obtain administrative access via a (1) SSH or (2) TELNET session.

The Clorius Controls Java web client before 01.00.0009g allows remote attackers to discover credentials by sniffing the network for cleartext-equivalent traffic.

Adobe Flash Player before 13.0.0.259 and 14.x through 16.x before 16.0.0.235 on Windows and OS X and before 11.2.202.425 on Linux allows attackers to obtain sensitive information via unspecified vectors.