Katalog podatności CVE

Refitter przed wersją 2.1.2 wstawia klucze content-type z map `requestBody/responses` bezpośrednio do atrybutu `[Headers(...)]` Refit, bez escapowania cudzysłowów. Spreparowany klucz content-type w opisie OpenAPI może zamknąć atrybut, interfejs i przestrzeń nazw oraz wstrzyknąć klasę z metodą `[ModuleInitializer]`, która wykonuje kod atakującego przy załadowaniu zestawu. Podatność naprawiono w wersji 2.1.2.

Broker MQTT Aedes przed wersją 1.1.1 nie ogranicza głębokości ani złożoności tematów przed przekazaniem ich przez `mqemitter` do `qlobber`. Wiadomość `PUBLISH`, `SUBSCRIBE` lub zarejestrowany `Will` z nadmiernie głębokim tematem wywołuje nieobsłużony wyjątek `too many words`, który ucieka do pętli zdarzeń Node.js i kończy proces brokera. Podatność naprawiono w wersji 1.1.1.

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na podniesienie uprawnień do poziomu administratora. Ograniczenie funkcji administracyjnych zmniejsza ekspozycję, ale nie stanowi pełnego rozwiązania. Podatność naprawiono w wersji 7.3.0.

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi na przeglądanie i edycję zasobu należącego do innego użytkownika bez autoryzacji. Ścieżka edycji/aktualizacji klucza API w `ApiKeyController` wybiera rekordy po identyfikatorze bez sprawdzenia zgodności `user_id` z wywołującym. Podatność naprawiono w wersji 7.3.0.

W platformie OpenRemote przed wersją 1.26.0 API eksportu datapointów konstruuje zapytanie SQL CSV crosstab poprzez konkatenację nazwy assetu i nazwy atrybutu, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie metaznaków SQL. Poprzez żądanie eksportu crosstab możliwe jest zwrócenie wyników wstrzykniętego SELECT w odpowiedzi ZIP/CSV, co umożliwia eksfiltrację danych z bazy. W środowisku wielodostępnym może to ujawnić dane innych najemców.

W serwerze Netopeer2 niskouprzywilejowany uwierzytelniony użytkownik NETCONF może zdalnie spowodować awarię netopeer2-server, wysyłając RPC get z nieprawidłowym filtrem subtree zawierającym specyfikatory formatu. W src/log.c sformatowany bufor jest przekazywany do np2log() jako ciąg formatujący, co powoduje, że vsyslog() interpretuje sekwencje procentowe kontrolowane przez atakującego. Potwierdzono odmowę usługi na wersji 2.8.7; nie potwierdzono niezawodnego zdalnego wykonania kodu.

W narzędziu dotnet refitter przed wersją 2.1.1 biblioteka NJsonSchema jest wywoływana z niebezpiecznymi domyślnymi ustawieniami rozwiązywania $ref podczas generowania interfejsów Refit z opisów OpenAPI kontrolowanych przez atakującego. Zdalne odwołania http(s) powodują żądania z hosta dewelopera lub CI i wstawianie niezaufanej treści do wygenerowanego wyniku, a bezwzględne ścieżki lokalne i przejścia ../ pozwalają na ujawnienie dowolnych plików lokalnych. Łańcuch kończy się na SSRF, zdalnym i lokalnym włączaniu plików, bez wykonania kodu.

W bibliotece LightSAML przed wersjami 4.7.1 i 5.0.1 występuje niezgodność z xmlseclibs co do tego, którą asercję obejmuje podpis SAML. XMLSecurityDSig::validateReference() usuwa podpis z współdzielonego DOM, ale processRefNode() rozwiązuje Reference URI="#id" w całym dokumencie przez XPath //*[@Id] i bierze item(0), co nie musi być asercją, której dane LightSAML wykorzystuje. Atakujący z przechwyconą prawdziwie podpisaną asercją może umieścić jej bajty bez podpisu w samlp:Extensions i przedstawić sfałszowaną asercję z tym samym ID i skopiowanym podpisem, co umożliwia obejście uwierzytelniania lub eskalację uprawnień.

Biblioteka fickling w wersjach do 0.1.12 błędnie uznaje za bezpieczne wywołania funkcji pochodzących z modułów biblioteki standardowej Pythona, bez analizy ich rzeczywistego zachowania. W efekcie mechanizm check_safety() zwraca werdykt LIKELY_SAFE dla złośliwych payloadów pickle, które poprzez takie funkcje (np. dataclasses._create_fn, mailcap.findmatch, readline.write_history_file) prowadzą do wykonania dowolnego kodu lub zapisu plików. Ponieważ fickling.load() wykorzystuje ten werdykt jako bramkę bezpieczeństwa przed pickle.loads(), payload zostaje zdeserializowany i wykonany z uprawnieniami procesu ofiary.

Podatność w bibliotece fickling (do wersji 0.1.12) polega na tym, że operacja STACK_GLOBAL z kropkowaną nazwą __qualname__ (np. "Values.read_file") jest rozwiązywana przez pickle.find_class do dowolnej ścieżki atrybutu, a nie do funkcji na poziomie modułu. Fickling śledzi tylko pierwszy człon nazwy i wyświetla operację jako zwykły import, przez co końcowe odwołanie do atrybutu nie jest analizowane jako wywołanie. W efekcie analiza OvertlyBadEvals nie wykrywa zagrożenia, a check_safety() zwraca LIKELY_SAFE z zerową liczbą ustaleń, co pozwala atakującemu na osiągnięcie metody klasy wykonującej kod (optparse.Values.read_file uruchamia exec(open(filename).read(), vars)) i uzyskanie dowolnego wykonania kodu przy ładowaniu spreparowanego pickla przez fickling.load().

Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.

Podatność typu stored XSS w panelu administracyjnym Shopper pozwala uwierzytelnionemu pracownikowi z uprawnieniami do przesyłania treści na zapisanie wykonywalnych plików HTML lub SVG, które są serwowane bez nagłówka Content-Disposition i CSP. Gdy administrator otworzy taki plik, złośliwy skrypt wykonuje się w jego sesji i może utworzyć nowe konto administratora z wybranym hasłem. Problem dotyczy wersji 2.0.0–2.10.0 oraz 3.0.0-beta.1 i beta.2; naprawiono w 2.10.1 i 3.0.0-beta.3.

W Shopper przed wersją 2.10.0 komponent Livewire Variants w packages/admin/src/Livewire/Components/Products/Form/Variants.php udostępnia DeleteAction i DeleteBulkAction bez autoryzacji po stronie serwera. Uwierzytelniony pracownik z uprawnieniem edit_products może uzyskać podpisany stan komponentu i trwale usuwać pojedyncze lub wiele wariantów bez uprawnienia delete_product_variants. Może to zniszczyć katalog produktów i zakłócić działanie sklepu, koszyka i finalizacji zamówień. Problem naprawiono w wersji 2.10.0.

W jack przed wersją 0.1.0 plik middleware/handle-error.ts serializuje surowe obiekty FetchError do odpowiedzi HTTP, a lib/servers/base.ts dołącza nagłówki żądań wychodzących przy błędach odpowiedzi上游 i walidacji schematu. Publiczne pole extras w lib/errors/FetchError.ts pozostaje wyliczalne i jest emitowane przez serializację JSON, ujawniając wewnętrzne klucze X-Api-Key Radarr/Sonarr oraz nagłówki łączników, takie jak CF-Access-Client-Secret. Endpointy GET /peer/items/:id, GET /servers/health i GET /torznab/download/:id mogą ujawnić te sekrety. Problem naprawiono w wersji 0.1.0.

W Dream Displays od wersji 1.5.0 do 1.8.2 dane wejściowe kontrolowane przez użytkownika mogą wpływać na argumenty przekazywane do yt-dlp w określonych warunkach. Niezamierzone opcje wiersza poleceń mogą zostać zinterpretowane przez yt-dlp, potencjalnie zmieniając jego zachowanie. Problem naprawiono w wersji 1.8.2.

W ZTNET przed wersją 0.8.0 każdy uwierzytelniony użytkownik o niskich uprawnieniach może trwale dezaktywować inne konto, w tym administratora, poprzez POST /api/auth/user/invalidateUser. Handler sprawdza tylko istnienie sesji i nie porównuje session.user.id z userId dostarczonym przez klienta, więc podanie userId ofiary i nieistniejącej pary deviceId powoduje ustawienie isActive na false i odmowę logowania. Problem naprawiono w wersji 0.8.0.

Biblioteka ESPAsyncWebServer przed wersją 3.11.2 zawiera błąd w parserze multipart, który po zwolnieniu bufora i ustawieniu go na NULL nadal zapisuje dane przez wskaźnik NULL. Występuje to, gdy bajt po granicy części pliku nie jest poprawnym zakończeniem, co prowadzi do wyjątku StoreProhibited i restartu urządzenia. Podatność wymaga obecności trasy z obsługą przesyłania plików lub OTA.

SABnzbd przed wersją 5.1.0Beta3 pozwala atakującemu z ważnym kluczem API na wywołanie operacji usuwania osieroconych zadań z parametrem ścieżki, który nie jest ograniczony do katalogu pobierania. Bezwzględna ścieżka może spowodować rekurencyjne usunięcie plików lub katalogów zapisywalnych przez proces SABnzbd. Klucz API jest przechowywany jawnie w pliku konfiguracyjnym.

libriscv przed wersją 1.18 pozwala spreparowanemu plikowi ELF na wywołanie odczytów poza granicami bufora w emulatorze hosta. Funkcje serialize_execute_segment i lookup ufają przesunięciom i rozmiarom sekcji bez weryfikacji względem rozmiaru pliku, co może prowadzić do SIGSEGV lub ujawnienia pamięci hosta. Podatność została naprawiona w wersji 1.18.

Ring przed wersją 1.15.5 zawiera podatność w middleware wrap-nested-params, które używa wyrażenia regularnego z cofaniem do dopasowywania nazw parametrów. Atakujący może spreparować nazwę parametru powodującą kwadratowe zużycie CPU (O(n^2)), prowadząc do odmowy usługi. Użytkownicy Ring-Defaults są również narażeni, ponieważ middleware jest domyślnie włączony.