Katalog podatności CVE

W lsquic w wersjach przed 4.9.0 implementacja HTTP/3 może zużywać nadmierną ilość pamięci, ponieważ liczba buforowanych zestawów nagłówków nie jest ograniczona, co pokazano na przykładzie ataku amplifikacji QPACK. Problem dotyczy pól header_out_dynamic_entry i es_max_header_list_size.

W repozytoriach koszyka i listy życzeń szablonu MarcosCamara01 Ecommerce Template występuje obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639). Metody cartRepository.delete(), cartRepository.updateQuantityInternal() i wishlistRepository.delete() dopasowują wiersze wyłącznie po kluczu głównym, bez warunku właściciela, a autoryzacja opiera się na zabezpieczeniach wierszy PostgreSQL. Migracje włączają RLS i tworzą polityki, ale nie stosują FORCE ROW LEVEL SECURITY, a PostgreSQL nie stosuje polityk do roli będącej właścicielem tabeli; aplikacja łączy się jako właściciel, więc polityki jej nie dotyczą. Identyfikatory są sekwencyjne, więc można je wyliczyć, co pozwala dowolnemu uwierzytelnionemu użytkownikowi usuwać i modyfikować koszyki i listy życzeń innych użytkowników.

W przepływie koszyka i zamówienia szablonu MarcosCamara01 Ecommerce Template występuje zewnętrzna kontrola parametru uznawanego za niezmienny (CWE-472). Endpoint POST /api/user/cart przyjmuje variantId (co zapisuje zamówienie) i stripeId (co obciąża Stripe) jako niezależne pola, bez sprawdzenia, czy stripeId należy do variantId. POST /api/stripe/payment buduje pozycje Stripe Checkout z zapisanego stripeId, a webhook checkout.session.completed tworzy produkty zamówienia z variantId, więc zamówienie rejestruje produkt, za który nie zapłacono. Wszystkie stripeId są publicznie czytelne, więc nie trzeba nic zgadywać.

OCO-Server w wersjach przed 1.2.1 zawiera podatność, w której Html::commandButton() w lib/Html.class.php osadza URL akcji zawierający przechowywaną nazwę hosta komputera w łańcuchu JavaScript w obsłudze onclick, używając htmlspecialchars(ENT_QUOTES) tylko do escapowania HTML. Przeglądarki dekodują encje HTML przed interpretacją obsługi jako JavaScript, więc spreparowana nazwa hosta może uciec z łańcucha i wykonać skrypt w uwierzytelnionej sesji administratora po aktywowaniu przycisku polecenia. Zdalny atakujący posiadający współdzielony agent-registration-key może zapisać niekontrolowaną nazwę hosta przez oco.agent.hello, gdy włączona jest samorejestracja agenta (domyślnie wyłączona). Problem naprawiono w wersji 1.2.1.

CleanShot X dla macOS niebezpiecznie deserializuje niezaufane dane osadzone w pliku projektu .cleanshot (edytowalne adnotacje zrzutów ekranu). Atakujący musi przygotować złośliwy plik .cleanshot, dostarczyć go ofierze i nakłonić ją do otwarcia; ładunek wykonuje się automatycznie podczas parsowania, prowadząc do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Podatność naprawiono w wersjach 4.5.2, 4.6.3, 4.7.8 i 4.8.10.

Flexible GraphRAG to framework Pythona do budowy aplikacji grafowych i RAG. W wersjach od 0.6.0 do 0.8.2 funkcja pomocnicza _escape() w falkordb_adapter.py escapuje cudzysłowy przed backslashami, co pozwala na wstrzyknięcie klauzul Cypher do zapytań budowanych przez FalkorDBAdapter.add_graph_documents. Przy konfiguracji GRAPH_BACKEND=langchain i GRAPH_DB=falkordb treść dokumentów może spowodować wygenerowanie złośliwych wartości encji lub relacji, umożliwiając modyfikację lub usunięcie danych grafu oraz ich ujawnienie. Podatność naprawiono w wersji 0.8.2.

multer to middleware Node.js obsługujący przesyłanie plików multipart/form-data. W wersjach od 2.0.0 przed 2.5.0, gdy multer jest skonfigurowany z asynchronicznym fileFilter, pojedyncze żądanie może spowodować awarię procesu Node.js. Jeśli żądanie zostanie przerwane, gdy asynchroniczny fileFilter oczekuje, późniejsze wywołanie zwrotne wznawia strumień parsowania, który multer już zniszczył, a parser emituje błąd na strumieniu bez nasłuchiwacza błędów, co kończy proces. Podatność naprawiono w multer 2.5.0.

body-parser to middleware parsowania ciała żądań dla Node.js i Express. W wersjach przed 1.20.9 oraz od 2.0.0 przed 2.4.0 pojedyncze żądanie może spowodować awarię aplikacji używającej body-parser z domyślnymi opcjami. Gdy żądanie zawiera Content-Encoding, takie jak gzip, body-parser przekazuje je do strumienia dekompresji i po odczytaniu ciała pozostawia ten strumień bez nasłuchiwacza błędów; końcowe bajty trafiają do zakończonego dekodera, który emituje błąd rzucany jako nieprzechwycony wyjątek i kończy proces. Podatność naprawiono w body-parser 2.4.0 i 1.20.9.

Rsyslog to szybki system przetwarzania logów. W wersjach od 1.15.0 do 8.2610.0 mechanizm dynaFile w omfile celowo pozwala szablonom generować elastyczne ścieżki wyjściowe. Wdrożenie staje się niebezpieczne, gdy szablon dynaFile używa wartości pochodzącej z niezaufanego wejścia jako komponentu ścieżki bez jawnego bezpiecznego przetwarzania; wyrenderowana ścieżka może wtedy wyjść poza zamierzony katalog logów. Nie ogranicza się to do pola HOSTNAME w RFC5424. W momencie publikacji brak publicznie dostępnych poprawek.

W EmberZNet 9.1.1 i wcześniejszych specjalnie spreparowana komenda Publish Billing Period może wywołać rekurencyjne wywołanie funkcji, które nigdy nie osiągnie warunku końcowego. Komunikaty muszą pochodzić od urządzenia, które już dołączyło do sieci; dotyczy to tylko urządzeń obsługujących Price Cluster.

W EmberZNet 9.1.1 i wcześniejszych specjalnie spreparowana komenda Discover Attributes może wywołać pętlę z nieosiągalnym warunkiem wyjścia (pętla nieskończona). Komunikaty muszą pochodzić od urządzenia, które już dołączyło do sieci; dotyczy to tylko urządzeń obsługujących klastry specyficzne dla producenta.

W Connect SDK 4.3.1 i wcześniejszych oraz Flex SDK 3.7.7 i wcześniejszych wiadomość z nieprawidłowymi ustawieniami bezpieczeństwa może ominąć uwierzytelnianie, powodując zakłócenie pracy sieci. Podatność nie pozwala atakującemu uzyskać klucza sieciowego ani naruszyć poufności.

Nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML w Apache Abdera pozwala atakującemu na dostęp do poufnych danych lub wykonywanie żądań po stronie serwera, gdy aplikacja parsuje kontrolowany przez atakującego XML za pomocą Abdera. Podatność dotyczy wszystkich wersji Apache Abdera. Projekt jest wycofany i nieobsługiwany, więc nie planuje się wydania poprawki.

Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzyknąć SQL poprzez rejestrowanie spreparowanych subscription_filter_keys omijających walidację opartą wyłącznie na słowach kluczowych. Atakujący mogą tworzyć subskrypcje ze złośliwym kluczem, renderowanym jako niecytowany identyfikator group-by, aby wstrzyknąć SQL do zapytań agregacji użycia w współdzielonej bazie danych wielu dzierżawców.

Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzykiwać SQL poprzez dostarczanie spreparowanych wartości właściwości metryk rozliczeniowych lub filtrów kategorycznych. Atakujący mogą osadzić SQL w wartościach renderowanych bez escapowania w zapytaniach metryk generowanych przez Jinja, uzyskując dostęp do bazy danych współdzielonej przez wszystkich najemców.

Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wykonywać dowolny SQL poprzez dołączanie dodatkowych instrukcji do zapytań metryk niestandardowych. Atakujący mogą przesyłać SQL oddzielony średnikami przez POST /app/metrics/, omijając walidację tylko pierwszej instrukcji, aby odczytywać lub modyfikować dane wszystkich najemców.

JSON-SCADA przed wersją 0.65-alpha zawiera podatność na wstrzyknięcie SQL w funkcji opcApi() w pliku src/server_realtime_auth/index.js, która pozwala uwierzytelnionym użytkownikom wstrzykiwać SQL poprzez parametry HistoryReadRequest. Atakujący mogą wstrzykiwać dodatkowe instrukcje poprzez wartości NodeId.Id, StartTime lub EndTime, aby odczytywać, modyfikować lub usuwać dane historyczne we wszystkich lokalizacjach niezależnie od roli.

Netmaker do wersji 1.7.0 zawiera podatność na obejście autoryzacji w handlerze updateExtClient, która pozwala użytkownikom o zakresie sieci modyfikować zewnętrznych klientów w innych sieciach. Atakujący posiadający uprawnienia do zewnętrznych klientów w jednej sieci mogą wysyłać żądania PUT do /api/extclients/{network}/{clientid}, aby zastąpić klucze publiczne, wyłączyć klientów i uzyskać prywatne klucze WireGuard.

mem0 w wersji 0.1.117 przed 1.0.8 zawiera podatność na wstrzyknięcie SQL w pliku mem0/vector_stores/databricks.py, która pozwala atakującym wstrzykiwać SQL poprzez wpływ na przechowywaną treść pamięci. Atakujący mogą dostarczać spreparowany tekst pamięci, metadane lub nazwy wiadomości, które trafiają do nieescapowanej interpolacji ciągów w insert() i update(), wykonując wstrzyknięty SQL w skonfigurowanym magazynie Databricks SQL.

EverShop w wersji 1.2.2 przed 2.2.1 zawiera podatność na brak autoryzacji w API adresów klientów, która pozwala nieuwierzytelnionym atakującym zarządzać adresami innych klientów. Atakujący znający identyfikatory UUID klienta i adresu mogą wysyłać żądania POST, PATCH lub DELETE do tras /api/customers/:customer_id/addresses, aby dodawać, modyfikować lub usuwać zapisane adresy wysyłki.