CWE-915

Niezabezpieczony endpoint POST /v1/onboarding/config w Hoppscotch (samodzielnie hostowane wdrożenia) pozwala nieuwierzytelnionemu atakującemu nadpisać krytyczne wartości konfiguracyjne, w tym klucze JWT i sesji. Skutkuje to możliwością fałszowania tokenów dla dowolnego użytkownika, łącznie z administratorami, co prowadzi do pełnego przejęcia serwera.

Komponent camel-coap w Apache Camel przepuszcza parametry zapytania URI z przychodzących pakietów CoAP bezpośrednio do nagłówków wiadomości Camel bez żadnego filtrowania, co umożliwia zdalne wykonanie kodu. Nieuierzytelniony atakujący może wysłać pojedynczy pakiet UDP i przejąć pełną kontrolę nad procesem Camel.

Biblioteka SandboxJS przed wersją 0.8.36 pozwala atakującemu na ominięcie mechanizmu izolacji sandbox poprzez nadużycie ścieżki konstruktora. Podatność umożliwia trwałą modyfikację globalnych obiektów hosta, co prowadzi do naruszenia izolacji między instancjami sandbox w tym samym procesie.

Biblioteka Python DeepDiff w wersjach 5.0.0–8.6.0 jest podatna na class pollution za pośrednictwem konstruktora klasy Delta, co w połączeniu z gadżetem dostępnym w DeltaDiff może prowadzić do wykonania dowolnego kodu (RCE) oraz ataku odmowy usługi (DoS). Podatność otrzymała maksymalny wynik CVSS 10.0 i nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

W JetBrains Hub przed określonymi wersjami możliwe było nieuprawnione podniesienie uprawnień (privilege escalation) poprzez dołączanie cudzych danych uwierzytelniających do kont użytkowników. Podatność jest oceniana jako krytyczna (CVSS 9.9) i pozwala uwierzytelnionemu atakującemu na uzyskanie rozszerzonych uprawnień w systemie.

Podatność w Netgate pfSense CE 2.8.0 umożliwia wykonanie dowolnego kodu PHP za pośrednictwem wywołania pfsense.exec_php w interfejsie XMLRPC API. Producent kwestionuje klasyfikację jako podatność, wskazując że dostęp do tego API jest celowo ograniczony wyłącznie do administratorów.

Uwierzytelnieni użytkownicy backendu Winter CMS mogli podwyższyć swój poziom dostępu do systemu poprzez spreparowane żądania modyfikujące przypisane role i uprawnienia. Podatność jest krytyczna, ponieważ każdy użytkownik z jakimkolwiek dostępem do panelu administracyjnego mógł uzyskać pełną kontrolę nad systemem.

Krytyczna podatność w module Formatter Field dla Drupal umożliwia wstrzyknięcie obiektów (Object Injection) poprzez nieprawidłowo kontrolowaną modyfikację dynamicznie określanych atrybutów obiektów. Luka posiada ocenę CVSS 9.8, co czyni ją podatnością krytyczną wymagającą pilnej reakcji.

Podatność klasy CWE-915 (nieprawidłowo kontrolowana modyfikacja dynamicznie określanych atrybutów obiektów) w module Drupal AlternativeCommerce (Basket) umożliwia Object Injection. Brak wymagań uwierzytelnienia i niska złożoność ataku czynią tę podatność krytyczną.

Podatność w Drupal Core polega na deserializacji niezaufanych danych (CWE-502) i możliwości wstrzyknięcia obiektów (Object Injection). W połączeniu z inną podatnością na insecure deserialization obecną w aplikacji, może prowadzić do zdalnego wykonania kodu (RCE).

Podatność w Drupal Core polega na deserializacji niezaufanych danych, co umożliwia Object Injection. W połączeniu z inną podatnością na niebezpieczną deserializację na tej samej stronie może prowadzić do zdalnego wykonania kodu (RCE).

Drupal Core zawiera podatność polegającą na deserializacji niezaufanych danych (CWE-502), która może prowadzić do zdalnego wykonania kodu (RCE). Podatność jest oceniana jako krytyczna (CVSS 9.8), ponieważ w połączeniu z inną luką umożliwia atakującemu pełne przejęcie kontroli nad serwerem.

Biblioteka lightning-ai/pytorch-lightning w wersji 2.2.1 jest podatna na zdalne wykonanie kodu (RCE) z powodu nieprawidłowej obsługi deserializowanych danych wejściowych. Atakujący bez żadnego uwierzytelnienia może przejąć pełną kontrolę nad aplikacją hostowaną samodzielnie.

Podatność w systemie zarządzania plikami platformy DFIR-IRIS Iris umożliwia uwierzytelnionym użytkownikom usunięcie dowolnych plików na serwerze. Zagrożenie jest poważne ze względu na możliwość destrukcji danych i zakłócenia ciągłości działania systemu bez potrzeby posiadania uprawnień administracyjnych.

W kliencie terminalowym electerm w wersji 3.8.8 i wcześniejszych możliwe jest trwałe wykonanie dowolnego kodu (RCE) poprzez zaimportowanie złośliwego pliku JSON z zakładkami lub poprzez skompromitowany cel synchronizacji (gist/WebDAV). Podatność jest krytyczna, ponieważ nie wymaga uprawnień atakującego, a jej skutki obejmują pełne przejęcie środowiska lokalnego i systemowego.

W systemie APTRS (Automated Penetration Testing Reporting System) w wersji przed 2.0.1 każdy uwierzytelniony użytkownik mający dostęp do endpointu edycji konta mógł nadać sobie (lub innemu kontu) uprawnienia superusera. Jest to krytyczna luka privilege escalation umożliwiająca przejęcie pełnej kontroli nad aplikacją.

W bibliotece Locutus (wersje 2.0.12 – 2.0.38) istnieje podatność typu prototype pollution, która pozwala atakującemu na manipulację globalnym obiektem Object.prototype. Jest ona szczególnie niebezpieczna, ponieważ omija wcześniej wdrożoną naprawę, korzystając z obejścia przez String.prototype.

W systemie Camaleon CMS istnieje podatność umożliwiająca nieautoryzowane podniesienie uprawnień (privilege escalation) poprzez atak typu Mass Assignment. Zagrożenie jest krytyczne, ponieważ zalogowany użytkownik może zmodyfikować parametry, do których nie powinien mieć dostępu.

Django-Unicorn, biblioteka dodająca reaktywne komponenty do szablonów Django, jest podatna na atak typu Python class pollution. Luka pozwala nieuwierzytelnionemu atakującemu na zdalne wprowadzanie dowolnych zmian w środowisku uruchomieniowym Python, prowadząc do co najmniej pięciu udokumentowanych wektorów eksploatacji.

Podatność w Netgate pfSense CE 2.7.2 umożliwia wykonanie dowolnego kodu poprzez przesłanie pliku kopii zapasowej zawierającego zserializowany obiekt PHP z właściwością post_reboot_commands. Pomimo oceny CRITICAL, dostawca kwestionuje tę podatność, wskazując że instalator modułów jest dostępny wyłącznie dla administratorów, którym wykonywanie kodu PHP jest celowo dozwolone.