CVE Vulnerability Catalog

W panelu powiadomień CTI Transmute występuje podatność na przechowywane ataki XSS w wersjach przed poprawką. Wiadomości powiadomień zawierające nazwy konwersji kontrolowane przez użytkownika były renderowane w rozwijanym menu powiadomień bez odpowiedniej sanitizacji, co umożliwiało atakującemu wstrzyknięcie dowolnego kodu JavaScript.

A flaw was found in Keycloak's ClientRegistrationAuth component. A remote unauthenticated attacker can exploit this vulnerability by sending a specially crafted POST request with a malformed 'Authorization: Bearer' header to any client registration endpoint. This can lead to an ArrayIndexOutOfBoundsException, causing the server to return an HTTP 500 error and resulting in a Denial of Service (DoS) for the affected service.

A flaw was found in Keycloak where, with revokeRefreshToken=true enabled and persistent session storage in use, a server restart can reset internal timing mechanisms, allowing a remote attacker who has captured a user's refresh token to replay it even after revocation.

A flaw was found in Keycloak where a remote attacker with high privileges (e.g., a realm administrator configuring a malicious LDAP server or an attacker compromising an upstream LDAP server) can trigger an OutOfMemoryError by sending a malformed LDAP password policy response during a password authentication request. This causes the Keycloak JVM to terminate, leading to a denial of service (DoS) for all realms on the affected node.

W Keycloak, rozwiązaniu do zarządzania tożsamością i dostępem, znaleziono lukę. Atakujący z ważnymi poświadczeniami klienta może wykorzystać przepływ CIBA, aby obejść ochronę przed atakami typu brute-force, gdy konto użytkownika jest tymczasowo zablokowane z powodu wielokrotnych nieudanych prób logowania.

A vulnerability in the json-2-csv library versions 3.15.0 through 5.5.10 allows CSV injection by bypassing the preventCsvInjection option. An attacker can inject malicious formulas into CSV files that execute when opened in spreadsheet applications.

W Keycloak odkryto lukę, która pozwala uwierzytelnionemu administratorowi z rolą `manage-clients` wykorzystać podatność typu Time-of-check to time-of-use (TOCTOU) w kontrolach ról administracyjnych opartych na nazwach. Umożliwia to atakującemu eskalację uprawnień do roli `realm-admin` dla wszystkich użytkowników w danym realmie.

A flaw was found in Keycloak that allows a remote, unauthenticated attacker to send specially crafted SOAP requests to the SAML ECP endpoint. By observing distinct fault strings in the responses, the attacker can determine the client's protocol type, leading to information disclosure.

W Keycloak znaleziono lukę, która pozwala na nieprawidłowe przetwarzanie niesygnowanych roszczeń w przypadku przesłania zaszyfrowanego obiektu żądania JSON Web Encryption (JWE). Może to prowadzić do obejścia skonfigurowanej polityki sygnatury i umożliwić zdalnemu atakującemu przesyłanie nieautoryzowanych roszczeń, co narusza integralność danych w procesie autoryzacji OpenID Connect (OIDC).

A flaw was found in Keycloak's Client Policies, specifically within the `org.keycloak.protocol.oidc` component. When certain condition providers (client-type, client-roles, client-attributes, client-scopes) are used to enforce security restrictions, the `reject-ropc-grant` executor is silently bypassed. This allows an unauthenticated remote attacker to obtain tokens via a Resource Owner Password Credentials (ROPC) grant, even when a policy is explicitly configured to block it.

A flaw was found in Keycloak where an authenticated user with existing organization membership can disclose organization metadata in OIDC tokens or via the account API, even after the administrator has disabled the Organizations feature, potentially leading to incorrect authorization decisions by resource servers.

In Microsoft UFO version 3.0.1-4-ge2626659, the server accepts client-supplied session_id values in WebSocket task messages and reuses an existing in-memory session object. If a prior session has completed and remains in memory with results, a different authenticated client can send a new TASK message with the same session_id and receive the stale result. This requires knowing or predicting a live or recently completed session_id.

In Microsoft UFO's constellation client (version 3.0.1-4-ge2626659), pending task responses are tracked by session_id only and the TASK_END message is not verified to come from the device that originally received the task. An authenticated peer device can send a forged TASK_END with the same session_id, and the constellation accepts the response and completes the victim device's pending task with attacker-controlled data.

In Microsoft UFO version 3.0.1-4-ge2626659, a single shared UFOWebSocketHandler instance is reused for multiple authenticated WebSocket connections. Per-connection protocol objects are stored in mutable instance fields that are overwritten by each new connection, causing protocol responses to be sent to the wrong client.

W OpenLearnX, platformie do nauki i oceniania, zidentyfikowano krytyczną podatność na uwierzytelnianie przed wersją 2.0.4, która mogła umożliwić nieautoryzowany dostęp do kont użytkowników w określonych warunkach. Podatność ta została naprawiona w wersji 2.0.4.

Volcano to system planowania wsadowego natywny dla Kubernetes. W wersjach przed v1.14.2, v1.13.3 i v1.12.4 serwer webhook Volcano nie wymusza limitu rozmiaru dla przychodzących ciał żądań HTTP, co pozwala na wysyłanie dowolnie dużych żądań przez pod'y w klastrze.

In pam_usb prior to 0.9.0, three functions used by the deny_remote feature called the non-reentrant strtok(), which stores state in a single global pointer. If two authentications race, one thread's strtok() call can overwrite the other's in-progress tokenisation pointer, causing incorrect parsing of tmux session data or the /proc environ scan. Additionally, pusb_tmux_get_client_tty() passed the raw pointer returned by getenv(TMUX) directly to strtok(), permanently corrupting the TMUX variable in the process. This vulnerability is fixed in 0.9.0.

In pam_usb prior to 0.8.7, src/device.c passed the return values of udisks_drive_get_serial(), udisks_drive_get_vendor(), and udisks_drive_get_model() directly to strcmp() without NULL checks. The GIO/UDisks API can return NULL for devices that do not expose the corresponding field, and passing NULL to strcmp() is undefined behaviour (typically a SIGSEGV). This vulnerability is fixed in 0.8.7.

Błędnie skonfigurowana Polityka Bezpieczeństwa Treści (CSP) w HCL BigFix Remote Control Server WebUI (wersje 10.1.0.0442 i wcześniejsze) nie definiuje dyrektyw bez zapasowych opcji, co umożliwia atakującym obejście zamierzonych ograniczeń bezpieczeństwa i ładowanie nieautoryzowanych zasobów.

Wersje Wireshark od 4.6.0 do 4.6.5 oraz od 4.4.0 do 4.4.15 zawierają błąd w analizatorze protokołu ROHC, który może prowadzić do awarii aplikacji. Wykorzystanie tej podatności może skutkować odmową usługi.