Katalog podatności CVE

W Incus w wersjach 7.0.1–7.0.2 oraz 7.2.0–7.5.0 występuje obejście autoryzacji pozwalające klientom ograniczonym do projektu kopiować wolumeny poprzez pominięcie source.type. Atakujący może wysyłać spreparowane żądania POST do endpointu wolumenów z wybranym source.project, aby kopiować i czytać wolumeny, snapshoty i konfigurację innych projektów.

W Incus w wersjach 7.0.0–7.0.2 oraz 7.1.0–7.5.0 występuje błąd weryfikacji podpisu w wbudowanym serwerze S3, pozwalający posiadaczom presigned URL wstrzykiwać niepodpisane nagłówki x-amz-*. Atakujący może dodać niepodpisany nagłówek X-Amz-Copy-Source do presigned URL uploadu, aby skopiować inne obiekty bucketu na przyznany klucz i ujawnić ich zawartość oraz ETagi.

Incus w wersjach od 7.3.0 przed 7.5.0 zawiera obejście ograniczeń projektu, które pozwala użytkownikom z ograniczonym dostępem ustawić opcję block.create_options poprzez operacje aktualizacji, kopiowania i przenoszenia woluminów. Atakujący może ustawić tę opcję na woluminie niestandardowym i wywołać kopiowanie lub przeniesienie na pulę formatującą, aby wstrzyknąć argumenty do mkfs uruchamianego jako root.

Incus w wersjach 6.0.3 przed 6.0.7, 6.6.0 przed 7.0.2 oraz 7.1.0 przed 7.5.0 zawiera podatność niewłaściwej autoryzacji, która pozwala ograniczonym klientom TLS odczytywać klucze bucketów storage w projekcie domyślnym. Atakujący może odpytywać endpointy kluczy bucketów, aby uzyskać klucze dostępu i sekretne klucze S3, a następnie czytać, modyfikować lub usuwać obiekty w tych bucketach.

Mistune przed wersją 3.3.0 zawiera podatność path traversal w dyrektywie Include, która pozwala atakującym odczytać dowolne pliki poprzez podanie sekwencji ../ w ścieżkach include. Atakujący może również wstrzyknąć HTML poprzez nieescapowane komunikaty błędów i zawartość dołączonych plików, aby przeprowadzić cross-site scripting, nawet gdy escape=True jest ustawione.

Mistune przed wersją 3.3.0 zawiera podatność path traversal w dyrektywie RST include, która pozwala atakującym odczytać dowolne pliki poprzez podanie ścieżek względnych lub absolutnych. Atakujący może przesłać Markdown zawierający dyrektywy include odwołujące się do sekwencji ../ lub ścieżek absolutnych, aby osadzić poufne pliki, takie jak dane uwierzytelniające lub zmienne środowiskowe, w renderowanym HTML.

Mistune przed wersją 3.3.0 zawiera podatność złożoności algorytmicznej w parserze linków inline, która pozwala nieuwierzytelnionym atakującym wyczerpać CPU poprzez przesyłanie długich ciągów niedopasowanych znaków '['. Atakujący może wysyłać małe ładunki Markdown wywołujące sondowanie parse_link_text i parse_link_label o złożoności O(N^2), zajmując procesy renderujące przez ponad 30 sekund na każde 16 KB danych wejściowych.

Mistune w wersjach od 3.0.0 przed 3.3.0 zawiera podatność odmowy usługi typu algorithmic complexity w funkcji parse_link_text w src/mistune/helpers.py. Atakujący może przesłać Markdown z głęboko zagnieżdżonymi nawiasami kwadratowymi, wywołując kwadratowy czas parsowania i wyczerpując CPU serwera małymi, spreparowanymi żądaniami.

Mistune w wersjach od 3.0.0 przed 3.3.0 zawiera podatność złożoności algorytmicznej w funkcji parse_link_text parsera linków inline, która pozwala nieuwierzytelnionym atakującym wyczerpać CPU przy użyciu niezbalansowanych nawiasów. Atakujący może przesłać Markdown zawierający wiele niezbalansowanych znaków '[' lub '![', wymuszając powtarzające się nieograniczone skanowania w przód i zajmując procesy robocze na minuty.

Mistune przed wersją 3.3.0 zawiera podatność nieefektywnej złożoności algorytmicznej w funkcji parse_link_text, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez niezbalansowane nawiasy kwadratowe. Atakujący może przesłać Markdown zawierający długie ciągi niedopasowanych nawiasów do mistune.html(), wywołując powtarzające się skanowania w przód, które blokują procesy robocze na minuty.

Sterownik MongoDB C# nie neutralizuje znaków kropki i dolara w kluczach słowników, nazwach pól i identyfikatorach filtrów tablic używanych w zapytaniach LINQ przed umieszczeniem ich w ścieżkach pól wysyłanych do serwera. Użytkownik aplikacji, którego dane wejściowe trafiają do tych miejsc, może przekierować zapytanie lub aktualizację na pola, których aplikacja nie nazwała, co może ujawnić dokumenty innych użytkowników i rozszerzyć aktualizacje poza zamierzone dane. Niektóre wartości mogą również zapisywać nieprawidłowe pola, które pozostawiają przechowywane dokumenty nieczytelne dla aplikacji do czasu ich naprawy.

MessagePack to implementacja serializatora dla Python msgpack.org. Przed wersją 1.2.3 rozszerzenie C msgpack-python (msgpack._cmsgpack) wycieka zdekodowaną wartość mapy, gdy deserializacja odrzuca klucz z strict_map_key=True (domyślnie). Powtarzające się złośliwe dane wejściowe mogą powodować nieograniczony wzrost pamięci procesu i odmowę usługi w aplikacjach deserializujących dane MessagePack kontrolowane przez atakującego. Dotyczy to zarówno unpackb(), jak i strumieniowego API Unpacker. Czysto pythonowy fallback nie wykazuje tego wycieku w zgłoszonych testach. Problem naprawiono w wersji 1.2.3.

W aplikacji Roskus Prospero Flow CRM (wersje 2.0.0–5.26.0) brakuje autoryzacji w API użytkownika. Użytkownik z podstawową rolą może odczytać konta innych użytkowników swojej firmy (w tym o wyższych uprawnieniach), a od wersji 3.5.0 także je usuwać, ponieważ trasy GET i DELETE /api/user/{id} wymagają jedynie ważnego tokenu JWT, bez sprawdzania uprawnień.

Interfejs webowy Agent Zero przed wersją 1.15 nieprawidłowo oczyszcza dane wejściowe użytkownika w wiadomościach czatu i przesyłanych plikach. Gdy Agent Zero wyświetla treść w interfejsie czatu, wstrzyknięty JavaScript jest wykonywany w kontekście uwierzytelnionej sesji ofiary.

W Canonical Juju w wersjach 4.0–4.0.15 brakuje autoryzacji w trasie pobierania zasobów jednostki. Uwierzytelniony podmiot kontrolera (agent jednostki lub użytkownik z uprawnieniem tylko do logowania) może odczytać zasoby charm dowolnej aplikacji w dowolnym modelu, w tym dane uwierzytelniające do rejestru kontenerów, poprzez spreparowane żądanie wskazujące dowolną jednostkę.

W ABB Ability Edgenius do wersji 3.2.3.0 występuje brak uwierzytelniania dla krytycznej funkcji. Luka pozwala na dostęp do funkcji wymagającej uwierzytelnienia bez jego przeprowadzenia.

SmileCDR HAPI FHIR pozwala niezaufanemu ciału bundle zastąpić tożsamość partycji ustanowioną wcześniej przez zaufane źródło i domyślnie nie egzekwuje uprawnień do partycji przechowywania. Atakujący upoważniony do jednego tenanta może czytać lub zapisywać dane w partycji innego tenanta.

SmileCDR HAPI FHIR nieprawidłowo obsługuje silnie skompresowane dane. Nieuwierzytelniony atakujący może wysłać skompresowane ładunki, które po dekompresji wyczerpują stertę serwera lub powodują awarię niektórych usług.

W bibliotece PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 funkcja Ods::processTableRow przyjmuje nieograniczony atrybut table:number-rows-repeated z wiersza tabeli ODS. Gdy wiersz zawiera wartość, czytnik tworzy komórkę dla każdego powtórzenia bez sprawdzania limitu wierszy, więc mały plik ODS może zużyć dużo CPU i pamięci i zakończyć proces PHP.

W bibliotece PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 funkcja XmlScanner::scan wykrywa DOCTYPE z uwzględnieniem bajtów NUL, ale nie sekwencji ucieczki ISO-2022 w częściach XML plików XLSX. Sekwencje te omijają skaner, a normalizacja kodowania usuwa bajty ucieczki przed parsowaniem, ujawniając prawidłowy DOCTYPE i definicje encji.