Lujiefsi

Usuários autenticados da Web UI ou API com acesso delegado a configurações específicas podem injetar caracteres de Retorno de Carro (CR) ou Alimentação de Linha (LF) em campos que deveriam conter apenas uma linha. Isso permite a inserção de diretivas ou linhas de política controladas por um invasor em arquivos de configuração de serviços privilegiados. No caminho do Dnsmasq, as variáveis afetadas incluem `dhcp boot.filename`, `dhcp boot.servername`, `dhcp boot.address` e `dhcp options.value`, que são renderizadas no arquivo `/usr/local/etc/dnsmasq.conf` através do endpoint `api/dnsmasq/*`. Outras áreas afetadas abrangem OpenVPN, DHCPv6, Unbound, IPsec, NTP, PPP ou MPD, Monit, firewall, sudo, WebGUI e configurações Gerais do Sistema. A exploração pode alterar o comportamento do serviço, criar arquivos no lado do serviço, cruzar limites de Controle de Acesso Baseado em Função (RBAC) ou causar negação de serviço. Especificamente, a injeção de linha através da senha de e-mail do Monit e campos de texto adjacentes no arquivo `/usr/local/etc/monitrc` pode resultar na execução de comandos como root.

Existe uma falha de bypass de autenticação no recurso de roaming do portal cativo. Atacantes não autenticados no mesmo segmento de Camada 2 podem sequestrar sessões de clientes autorizados simulando observações não autenticadas de MAC-para-IP. Isso é feito enviando respostas ARP (Address Resolution Protocol) gratuitas forjadas—mensagens usadas para atualizar o cache ARP de outros dispositivos—para vincular o endereço IP do atacante ao endereço MAC de uma vítima, obtendo assim acesso ao portal com o tráfego atribuído à vítima.

OpenWrt LuCI contains an overly permissive ACL definition in luci-mod-system-mounts that grants write access to /etc/crontabs/root to users intended only for mount configuration. Authenticated users with only the mount-configuration ACL group can append arbitrary cron entries via ubus file.write, which the default busybox crond daemon executes as root within one minute.

Um problema de cross-site scripting armazenado existe no campo de nome da lista de bloqueio, especificamente envolvendo a variável `file url.name`. Isso permite que usuários com privilégios inferiores injetem HTML ativo. O payload injetado é executado no navegador do administrador sob a origem LuCI quando o administrador acessa a página de status do AdBlock Fast.

Existe um problema onde usuários autenticados podem injetar HTML ativo através do parâmetro `resolver url`. Isso leva a uma condição de cross-site scripting (XSS) armazenada—uma vulnerabilidade onde scripts maliciosos são armazenados permanentemente no servidor alvo—que executa JavaScript na origem do navegador do administrador quando a página de status do HTTPS DNS Proxy é visualizada.

Ocorre um cross-site scripting armazenado quando clientes LAN não autenticados injetam JavaScript por meio de requisições SOAP AddPortMapping do UPnP IGD. O problema surge porque o campo `NewPortMappingDescription` pode conter HTML malicioso, que é armazenado pelo miniupnpd e posteriormente renderizado pelo luci-app-upnp sem a codificação de saída. Isso permite que a carga útil seja executada quando administradores acessam as páginas de Status ou UPnP.

O LuCI não codifica adequadamente os nomes de host de concessão DHCPv6 antes de renderizá-los em tabelas de status. Isso permite que atacantes na mesma rede injetem marcações HTML ao enviar um FQDN de Cliente DHCPv6 contendo tags de script. Esses scripts são executados no navegador do administrador ao visualizar as páginas de concessão DHCP.

Uma falha de verificação de permissão no Navidrome permite que qualquer usuário comum autenticado contorne verificações de autorização e execute operações de configuração de transcodificação exclusivas de administrador, incluindo criar, modificar e excluir configurações de transcodificação. A vulnerabilidade existe nos endpoints da API que gerenciam configurações de transcodificação, como `POST /api/transcoding`, `PUT /api/transcoding/:id`, `DELETE /api/transcoding/:id` e `GET /api/transcoding`. A aplicação falha ao validar corretamente se um usuário possui privilégios administrativos ao processar solicitações de configuração de transcodificação, apesar do token JWT indicar claramente que o usuário não é um administrador (`"adm":false`).

Foi identificada uma vulnerabilidade no componente HTTP RPC API do ThingsBoard, que pode levar ao consumo excessivo de recursos. O ataque pode ser lançado remotamente, mas sua complexidade é bastante elevada e a exploração parece ser difícil. O problema é classificado como problemático e afeta uma funcionalidade desconhecida do componente.

Uma falha no OpenStack Storlets yoga-eom permite que um invasor remoto execute código arbitrário por meio do componente gateway.py.

A vulnerabilidade permite que um invasor remoto execute código arbitrário por meio do componente gateway.py.

Uma falha no software permite que um invasor remoto execute código arbitrário por meio do componente `cert manager.py`.

O problema está relacionado à fixação de sessão, em que uma sessão permanece válida após a alteração da senha. Isso poderia permitir o acesso não autorizado. Recomenda-se aos usuários que atualizem para uma versão que corrija esse problema.

A vulnerabilidade afeta um sistema de reserva de ingressos de código aberto, permitindo que um invasor acesse dados de outros organizadores por meio de uma solicitação especialmente criada para receber o registro de e-mails enviado por outros eventos.

O Alf.io é um sistema gratuito e de código aberto para gerenciamento de participação em eventos. A vulnerabilidade permite que os usuários acessem a área administrativa mesmo após terem sido desativados ou excluídos. Não há soluções alternativas conhecidas para este problema. Recomenda-se que todos os usuários atualizem para a versão 2.0-M4-2402 para resolver esta falha.

O iTop é uma plataforma de gerenciamento de serviços de TI. Ao criar ou atualizar um objeto, os valores de extkey não são verificados para garantir que estejam no silo do usuário atual. Ao falsificar uma solicitação HTTP, um usuário pode criar objetos que apontam para objetos fora do silo, como um UserRequest em uma Organização fora do escopo.

Metersphere is an open-source testing framework. Files uploaded to Metersphere may define a `belongType` value with a relative path like `../../../../` which may cause Metersphere to attempt to overwrite an existing file in the defined location or to create a new file. Attackers would be limited to overwriting files that the Metersphere process has access to.

Metersphere is an open source continuous testing platform. In the affected versions, some key APIs lack permission checks, allowing ordinary users to execute APIs that can only be executed by space administrators or project administrators. For example, ordinary users can be updated as space administrators.

The API interface for DataEase delete dashboard and delete system messages is vulnerable to insecure direct object references (IDOR). This could result in a user deleting another user's dashboard or messages or interfering with the interface for marking messages read. The vulnerability allows an attacker to delete dashboards or messages of other users by manipulating the request, for example, by replacing the ID of the dashboard or message with the ID of another user's dashboard or message. The interface for marking read messages is also affected.

The issue is related to a missing permission check on the user profile in CloudExplorer Lite, an open source cloud management tool. This allows users to add themselves to any organization. There is no information provided about the estimated number of potentially affected devices worldwide or real-world incidents where this issue was exploited.