CWE-829

Podatność w repozytorium Eclipse Theia Website pozwala dowolnemu użytkownikowi GitHub na wykonanie arbitralnego kodu w środowisku CI/CD organizacji. Wynika to z nieprawidłowej konfiguracji workflow GitHub Actions, która umożliwia uruchomienie niezaufanego kodu z pull requestów z dostępem do tajemnic repozytorium i rozległymi uprawnieniami zapisu.

Biblioteka Fastjson w wersjach przed 1.2.48 nieprawidłowo obsługuje mechanizm autoType, co umożliwia atakującemu przeprowadzenie ataku JNDI injection poprzez spreparowany dokument JSON. Podatność posiada maksymalny wynik CVSS 10.0 i była aktywnie wykorzystywana w środowiskach produkcyjnych.

Podatność PHP object injection w opartym na Laravel oprogramowaniu forum projektu Monero umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Wynika z niebezpiecznego przetwarzania niezaufanych danych wejściowych w endpoincie /get/image/, co przy CVSS 10.0 czyni ją podatnością krytyczną.

In Eclipse p2, installable units are able to alter the Eclipse Platform installation and the local machine via touchpoints during installation. Those touchpoints can, for example, alter the command-line used to start the application, injecting things like agent or other settings that usually require particular attention in term of security. Although p2 has built-in strategies to ensure artifacts are signed and then to help establish trust, there is no such strategy for the metadata part that does configure such touchpoints. As a result, it's possible to install a unit that will run malicious code during installation without user receiving any warning about this installation step being risky when coming from untrusted source.

An attacker with the ability to modify a user program may change user program code on some ControlLogix, CompactLogix, and GuardLogix Control systems. Studio 5000 Logix Designer writes user-readable program code to a separate location than the executed compiled code, allowing an attacker to change one and not the other.

IBM Cognos Analytics 11.0 and 11.1 DQM API allows submitting of all control requests in unauthenticated sessions. This allows a remote attacker who can access a valid CA endpoint to read and write files to the Cognos Analytics system. IBM X-Force ID: 183903.

Podatność w bibliotece vm2 (sandbox dla Node.js) umożliwia ominięcie mechanizmu ograniczania dostępu do wbudowanych modułów Node.js. Atakujący z dostępem do sandboxowanego kodu może uzyskać zdalne wykonanie kodu (RCE) na hoście.

Podatność w platformie OpenLIT umożliwia wykonanie niezaufanego kodu z forka repozytorium w kontekście bezpieczeństwa repozytorium bazowego, z dostępem do uprzywilejowanego tokenu GITHUB_TOKEN oraz wrażliwych sekretów. Ze względu na krytyczny poziom CVSS 9.9 i możliwość przejęcia całego środowiska CI/CD, zagrożenie jest bardzo poważne.

W projekcie Miazzy oa-front-service (gałąź master) wykryto krytyczną podatność sklasyfikowaną jako CWE-829, polegającą na dołączaniu funkcjonalności z niezaufanej sfery kontroli. Podatność uzyskała ocenę CVSS 9.8, co czyni ją ekstremalnie niebezpieczną i możliwą do zdalnego wykorzystania bez jakiejkolwiek autoryzacji.

Krytyczna podatność w aplikacji Langflow umożliwia zdalnym atakującym wykonanie dowolnego kodu bez uwierzytelnienia. Luka jest szczególnie niebezpieczna, ponieważ kod wykonywany jest w kontekście użytkownika root.

Podatność typu PHP Local File Inclusion w aplikacji AcBakImzala firmy ArkSigner Software and Hardware Inc. umożliwia nieuwierzytelnionemu atakującemu zdalne włączenie dowolnych plików po stronie serwera. Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie dla poufności, integralności i dostępności systemu.

Podatność w Vasion Print (dawniej PrinterLogic) umożliwia dołączanie dowolnych zewnętrznych treści za pośrednictwem elementu Iframe (CWE-829). Ocena CVSS 9.8 wskazuje na krytyczne zagrożenie, które nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Wtyczka WordPress Build App Online w wersji do 1.0.23 włącznie zawiera podatność PHP Local File Inclusion (LFI), umożliwiającą nieuwierzytelnionemu atakującemu dołączenie dowolnych plików z serwera. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla serwisów opartych na WordPress.

Podatność w rdzeniu Apache HTTP Server 2.4.59 i wcześniejszych umożliwia ujawnienie informacji, atak SSRF lub lokalne wykonanie skryptu poprzez złośliwe lub exploitowalne nagłówki odpowiedzi aplikacji backendowych. Ze względu na wysoki wynik CVSS 9.8 i brak wymagań co do uprawnień stanowi poważne zagrożenie dla serwerów działających jako proxy lub reverse proxy.

The Dropbox Folder Share for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 1.9.7 via the editor-view.php file. This allows unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.

Certain General Electric Renewable Energy products have a hidden feature for unauthenticated remote access to the device configuration shell. This affects iNET and iNET II before 8.3.0.

The NetConfig UI administrative interface in Extreme Networks ExtremeWireless Aerohive HiveOS and IQ Engine through 10.0r8a allows attackers to execute PHP code as the root user via remote HTTP requests that insert this code into a log file and then traverse to that file.

A local file inclusion (LFI) vulnerability exists in the options.php script functionality of Advantech R-SeeNet v 2.4.12 (20.10.2020). A specially crafted HTTP request can lead to arbitrary PHP code execution. An attacker can send a crafted HTTP request to trigger this vulnerability.

A local file inclusion vulnerability was discovered in the captcha function in Monstra 3.0.4 which allows remote attackers to execute arbitrary PHP code.

ColdFusion versions ColdFusion 2016, and ColdFusion 2018 have a file inclusion vulnerability. Successful exploitation could lead to arbitrary code execution of files located in the webroot or its subdirectory.