CWE-202БазаЧерновик
Раскрытие конфиденциальной информации через запросы к данным
При попытке сохранить конфиденциальность информации злоумышленник нередко может вывести часть этой информации с помощью статистических методов.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2021-32743Icinga — это система мониторинга, которая проверяет доступность сетевых ресурсов, уведомляет пользователей о перебоях в работе и генерирует данные о производительности для составления отчетов. В версиях до 2.11.10 и с 2.12.0 по 2.12.4 некоторые функции Icinga 2, требующие учетных данных для внешних служб, предоставляют эти учетные данные через API аутентифицированным пользователям API с разрешениями на чтение для соответствующих типов объектов. IdoMysqlConnection и IdoPgsqlConnection (каждая выпущенная версия) предоставляет пароль пользователя, используемого для подключения к базе данных. IcingaDB (добавлено в 2.12.0) предоставляет пароль, используемый для подключения к серверу Redis. ElasticsearchWriter (добавлено в 2.8.0) предоставляет пароль, используемый для подключения к серверу Elasticsearch. Злоумышленник, получивший эти учетные данные, может выдавать себя за Icinga для этих служб и добавлять, изменять и удалять там информацию. Если используются учетные данные с большими разрешениями, это соответственно увеличивает воздействие. Начиная с выпусков 2.11.10 и 2.12.5 эти пароли больше не предоставляются через API. В качестве обходного пути разрешения пользователя API можно ограничить, чтобы не разрешать запросы к каким-либо затронутым объектам, либо явно перечислив только необходимые типы объектов для разрешений запроса объектов, либо применив правило фильтрации.
CVE-2025-25205Audiobookshelf — это самодельный сервер аудиокниг и подкастов. Начиная с версии 2.17.0 и до версии 2.19.1, ошибка в логике обхода аутентификации позволяет неаутентифицированным запросам соответствовать определенным неякорным паттернам regex в URL. Злоумышленники могут создавать URL-адреса, содержащие подстроки вроде "/api/items/1/cover" в параметре запроса (?r=/api/items/1/cover), чтобы частично обойти аутентификацию или вызвать сбой сервера при выполнении определенных маршрутов. Это может привести к раскрытию информации о защищенных данных, а в некоторых случаях к полному отказу в обслуживании (сбой сервера), если последующий код ожидает объект пользователя с аутентификацией. Версия 2.19.1 содержит патч для этой проблемы.
CVE-2024-6400Уязвимость Cleartext Storage of Sensitive Information в Finrota Netahsilat позволяет извлекать встроенные конфиденциальные данные. Эта проблема решена в версиях 1.21.10, 1.23.01, 1.23.08, 1.23.11 и 1.24.03.
CVE-2026-30778Конечная точка SkyWalking OAP /debugging/config/deump может утечка конфиденциальной информации конфигурации MySQL/PostgreSQL.
Эта проблема затрагивает Apache SkyWalking: с 9.7.0 до 10.3.0.
Пользователям рекомендуется обновиться до версии 10.4.0, что устраняет проблему.
CVE-2025-69200phpMyFAQ - это веб-приложение с открытым исходным кодом. В версиях до 4.0.16 неаутентированный удаленный злоумышленник может запустить генерацию резервной копии конфигурации ZIP через `POOST /api/setup/backup`, а затем загрузить сгенерированную ZIP из веб-доступного местоположения. ZIP содержит конфиденциальные конфигурационные файлы (например, `database.php` с учетными данными базы данных), что приводит к раскрытию информации с высокой отдачей от воздействия и потенциальному последующем компромиссу. Версия 4.0.16 исправляет проблему.
CVE-2025-36575В Dell Wyse Management Suite версий до WMS 5.2 обнаружена уязвимость, связанная с раскрытием конфиденциальной информации через запросы данных. Неаутентифицированный злоумышленник с удаленным доступом потенциально может эксплуатировать эту уязвимость, что приведет к раскрытию информации.
Источники:
- [1] https://www.dell.com/support/kbdoc/en-us/000325679/dsa-2025-226
CVE-2025-29981Dell Wyse Management Suite, версии ранее WMS 5.1, содержит уязвимость в области раскрытия конфиденциальной информации через запросы данных. Неаутентифицированный злоумышленник с удаленным доступом может потенциально использовать эту уязвимость, что может привести к раскрытию информации.
CVE-2024-13255Раскрытие конфиденциальной информации через запросы данных уязвимость в Drupal RESTful Web Services позволяет принудительный просмотр. Эта проблема затрагивает RESTful Web Services: от 7.X-2.0 до 7.X-2.10.
CVE-2023-7072Плагин Post Grid Combo – 36+ Gutenberg Blocks для WordPress подвержен раскрытию конфиденциальной информации во всех версиях до 2.2.68 включительно через REST API Endpoint 'get_posts'. Это позволяет неаутентифицированным злоумышленникам извлекать конфиденциальные данные, включая полные черновики сообщений и сообщения, защищенные паролем, а также пароль для сообщений, защищенных паролем.
CVE-2023-41081Важно: обход аутентификации CVE-2023-41081
Компонент mod_jk Apache Tomcat Connectors при определенных обстоятельствах, например, когда конфигурация включала «JkOptions +ForwardDirectories», но конфигурация не предоставляла явных подключений для всех возможных проксированных запросов, mod_jk использовал бы неявное сопоставление и сопоставлял запрос с первым определенным работником. Такое неявное сопоставление могло привести к непреднамеренному раскрытию рабочего статуса и/или обходу ограничений безопасности, настроенных в httpd. Начиная с JK 1.2.49, функция неявного сопоставления была удалена, и теперь все сопоставления должны выполняться через явную конфигурацию. Эта проблема затрагивает только mod_jk. ISAPI redirector не затрагивается.
Эта проблема затрагивает Apache Tomcat Connectors (только mod_jk): с 1.2.0 по 1.2.48.
Пользователям рекомендуется обновиться до версии 1.2.49, в которой эта проблема устранена.
История
2023-09-13 Оригинальное уведомление
2023-09-28 Обновленное резюме
CVE-2022-41623Раскрытие конфиденциальных данных в премиум-плагине Villatheme ALD - AliExpress Dropshipping and Fulfillment for WooCommerce <= 1.1.0 на WordPress.
CVE-2023-1625Утечка информации была обнаружена в OpenStack heat. Эта проблема может позволить удаленному аутентифицированному злоумышленнику использовать команду 'stack show' для раскрытия параметров, которые должны оставаться скрытыми. Это оказывает низкое воздействие на конфиденциальность, целостность и доступность системы.
CVE-2025-68456Craft - это платформа для создания цифрового опыта. В версиях 5.0.0-RC1 - 5.8.20 и 3.0.0-4.16.16 без аутентификации пользователи могут инициировать операции резервного копирования в базе данных с помощью конкретных действий администратора, что может привести к истощению ресурсов или раскрытию информации. Пользователи должны обновить исправленные версии (5.8.21 и 4.16.17), чтобы смягчить проблему. Пользователи Craft 3 должны обновиться до последних выпусков Craft 4 и 5, которые включают исправления.
CVE-2026-33530InventTree - это система управления запасами с открытым исходным кодом. До версии 1.2.6 определенные конечные точки API, связанные с операциями с объемными данными, могут быть захвачены для извлечения конфиденциальной информации из базы данных. Конечные точки API с объемной работой (например, `/api/part/`, `/api/stock/``, `/api/order/so/allocation/``, принимает параметр фильтры, который передается непосредственно на ORM queryset.filter(**filters) Джанго без какого-либо полевого списка. Это позволяет любому аутентифицированному пользователю проходить через отношения модели, используя синтаксис поиска Django __, и выполнять слепую добычу данных на основе буля. Этот выпуск исправлен в версии 1.2.6 и 1.3.0 (или выше). Пользователи должны обновиться до исправленных версий. Известных обходных путей не имеется.
CVE-2024-38892Проблема в Wavlink WN551K1 позволяет удаленному злоумышленнику получить конфиденциальную информацию через компонент ExportAllSettings.sh.