Base de CVEs

O Ghost é um sistema de gerenciamento de conteúdo baseado em Node.js. Desde a versão 0.7.2 até a 6.19.0, temas maliciosos especialmente elaborados podem executar código arbitrário no servidor que executa o Ghost. Este problema foi corrigido na versão 6.19.1.

O Open OnDemand é um portal de código aberto para computação de alto desempenho (HPC). O aplicativo Files no OnDemand, nas versões anteriores a 4.0.9 e 4.1.3, é suscetível a entrada maliciosa ao navegar para um diretório. Isso foi corrigido nas versões 4.0.9 e 4.1.3. Versões abaixo destas continuam suscetíveis.

A flaw has been found in itsourcecode School Management System 1.0. This impacts an unknown function of the file /settings/index.php of the component Setting Handler. This manipulation of the argument ID causes sql injection. The attack may be initiated remotely. The exploit has been published and may be used.

Storybook é um workshop de frontend para construir componentes e páginas de interface de usuário de forma isolada. Antes das versões 7.6.23, 8.6.17, 9.1.19 e 10.2.10, a funcionalidade de WebSocket no servidor de desenvolvimento do Storybook, usada para criar e atualizar stories, é vulnerável a sequestro de WebSocket. Esta vulnerabilidade afeta apenas o servidor de desenvolvimento do Storybook; builds de produção não são afetados. A exploração exige que um desenvolvedor visite um site malicioso enquanto seu servidor de desenvolvimento local do Storybook estiver em execução. Como a conexão WebSocket não valida a origem das conexões recebidas, um site malicioso pode enviar mensagens WebSocket silenciosamente para a instância local sem qualquer interação adicional do usuário. Se o servidor de desenvolvimento do Storybook for intencionalmente exposto publicamente (por exemplo, para revisões de design ou demonstrações para stakeholders), o risco é maior, pois nenhuma visita a site malicioso é necessária. Qualquer atacante não autenticado pode enviar mensagens WebSocket diretamente para ele. A vulnerabilidade afeta os manipuladores de mensagens WebSocket para criação e salvamento de stories. Ambos são vulneráveis a injeção por meio de entrada não sanitizada no campo componentFilePath, que pode ser explorada para alcançar XSS persistente ou Execução Remota de Código (RCE). As versões 7.6.23, 8.6.17, 9.1.19 e 10.2.10 contêm uma correção para o problema.

mchange-commons-java, uma biblioteca que fornece utilitários para Java, inclui código que espelha implementações iniciais de funcionalidade JNDI, incluindo suporte a valores remotos de factoryClassLocation, pelos quais código pode ser baixado e invocado dentro de uma aplicação em execução. Se um invasor conseguir levar uma aplicação a ler um jaxax.naming.Reference maliciosamente elaborado ou um objeto serializado, ele pode provocar o download e a execução de código malicioso. Implementações dessa funcionalidade no JDK foram desabilitadas por padrão atrás de uma propriedade do sistema cujo valor padrão é false, com.sun.jndi.ldap.object.trustURLCodebase. Como o mchange-commons-java inclui uma implementação independente de desreferenciação JNDI, bibliotecas (como o c3p0) que resolvem referências por meio dessa implementação poderiam ser levadas a baixar e executar código malicioso mesmo após o endurecimento do JDK. Espelhando o patch do JDK, a funcionalidade JNDI do mchange-commons-java é controlada por parâmetros de configuração que têm por padrão valores restritivos a partir da versão 0.4.0. Não há workarounds conhecidos disponíveis. Versões anteriores à 0.4.0 devem ser evitadas em CLASSPATHs de aplicações.

A vulnerability was detected in itsourcecode Event Management System 1.0. The affected element is an unknown function of the file /admin/index.php. Performing a manipulation of the argument ID results in sql injection. The attack is possible to be carried out remotely. The exploit is now public and may be used.

Foi identificada uma vulnerabilidade no Dromara UJCMS 10.0.2. É afetada a função importChanel do arquivo /api/backend/ext/import-data/import-channel do componente ImportDataController. A manipulação do argumento driverClassName/url resulta em injeção. É possível iniciar o ataque remotamente. O exploit foi tornado público e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma.

A vulnerability was determined in itsourcecode Vehicle Management System 1.0. Affected is an unknown function of the file /billaction.php. Executing a manipulation of the argument ID can lead to sql injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized.

D-Tale é um visualizador para estruturas de dados do pandas. Versões anteriores à 3.20.0 são vulneráveis a execução remota de código através do endpoint /save-column-filter. Usuários que hospedam o D-Tale publicamente podem estar vulneráveis à execução remota de código, permitindo que atacantes executem código malicioso no servidor. Este problema foi corrigido na versão 3.20.0.