🔍 Наиболее интересные уязвимости прошедшей недели

🐛 CVE-2023-48292, обнаруженная в приложении XWiki Admin Tools до версии 4.5.1, может приводить к исполнению произвольного кода. Уязвимость заключается возможности запуска системных команд на эндпойнте /xwiki/bin/view/Admin/RunShellCommand без проверки CSRF-токена. Атакующий может сформировать ссылку, для которой будет исполнена произвольная команда с административными правами (например, /xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/pwned). Патч добавляет функциональность генерации/валидации CSRF-токенов с помощью функции "services.csrf.isTokenValid".

🐛 CVE-2023-48712 в ownCloud до версии 10.13.1 может приводить к обходу процесса аутентификации. Уязвимость заключается в возможности использования пустой строки для значения "signing-key" в качестве соли для функции формирования ключа "hash_pbkdf2". В исправлении добавили проверку заполненности значения переменной "$signingKey" в функции "verifySignature".

🐛 CVE-2023-48699 в библиотеке fastbots до версии 0.1.5 может приводить к исполнению произвольного Python кода. Уязвимость заключается в возможности исполнения через функцию "eval" данных, поступающих из файла "locators.ini". Атакующий может подменить файл "locators.ini" с измененной директивой "locator_name", включающей в себя произвольный Python код. В исправлении было исключено попадание пользовательских данных в функцию "eval".

🐛 CVE-2023-6293, обнаруженная в библиотеке sequelize-typescript до версий 2.1.6, может приводить к Prototype Pollution. Уязвимость связана с возможностью в функции "deepAssign" резолвинга атрибута объекта как прототипа объекта . В патче была добавлена проверка по "черному" списку имен атрибутов (['proto', 'constructor', 'prototype']).

🐛 CVE-2023-48228, обнаруженная в платформе для менеджмента Pimcore до версии 11.1.1, может приводить к обходу процесса авторизации. К уязвимости приводила ошибка логики - проверка параметра PKCE "code_verifier" в процессе валидации токена проходила даже при его отсутствии, что делает "Proof Key for Code Exchange" неэффективным. В патче была добавлена проверка на существование "code_verifier" и при его отсутствии срабатывает исключение "TokenError".