The newsletter posting area in the web interface in Sympa 6.0.x before 6.0.10 and 6.1.x before 6.1.24 allows remote attackers to read arbitr

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• sympa sympa6.0.0
• sympa sympa6.0.1
• sympa sympa6.0.2
• sympa sympa6.0.3
• sympa sympa6.0.4
• sympa sympa6.0.5
• sympa sympa6.0.6
• sympa sympa6.0.7
• sympa sympa6.0.8
• sympa sympa6.0.9
• sympa sympa6.1.0
• sympa sympa6.1.1
• sympa sympa6.1.10
• sympa sympa6.1.11
• sympa sympa6.1.12
• sympa sympa6.1.13
• sympa sympa6.1.14
• sympa sympa6.1.15
• sympa sympa6.1.16
• sympa sympa6.1.17

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2018-1000550The Sympa Community Sympa version prior to version 6.2.32 contains a Directory Traversal vulnerability in wwsympa.fcgi template editing func
  40Planlayın
• CVE-2020-26880Sympa through 6.2.57b.2 allows a local privilege escalation from the sympa user account to full root access by modifying the sympa.conf conf
  31İzleyin
• CVE-2020-10936Sympa before 6.2.56 allows privilege escalation.
  31İzleyin
• CVE-2020-9369Sympa 6.2.38 through 6.2.52 allows remote attackers to cause a denial of service (disk consumption from temporary files, and a flood of noti
  31İzleyin
• CVE-2012-2352The archive management (arc_manage) page in wwsympa/wwsympa.fcgi.in in Sympa before 6.1.11 does not check permissions, which allows remote a
  31İzleyin
• CVE-2021-46900Sympa before 6.2.62 relies on a cookie parameter for certain security objectives, but does not ensure that this parameter exists and has an
  30İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Eklenti işlevi için gerekenden geniş izin istiyor ve topladığı veriyi amacı dışında dışarı gönderiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.