Katalog podatności CVE

W systemie Dell Wyse Management Suite (WMS) w wersjach starszych niż 2605 wykryto podatność na wstrzykiwanie SQL. Luka ta wynika z nieprawidłowego neutralizowania specjalnych elementów w poleceniach SQL. Umożliwia ona atakującemu z niskimi uprawnieniami i zdalnym dostępem uzyskanie nieautoryzowanego dostępu do systemu.

Astro to framework webowy, który przed wersją 6.4.6 miał problem z aplikacjami SSR, które korzystały z prerenderowanych stron błędów. W przypadku wystąpienia błędu, strony te były pobierane przez HTTP, co umożliwiało atakującemu skierowanie żądania do dowolnego hosta.

W bibliotece NLTK (Natural Language Toolkit) w wersjach przed 3.10.0-rc1 wykryto podatność na path traversal w funkcji nltk.data.load() przy użyciu schematu URL nltk:. Atakujący może ominąć zabezpieczenia poprzez zakodowane w URL-u separatory ścieżek (np. %2f, %2e%2e), co pozwala na odczyt dowolnych plików z systemu plików.

WebP Server Go do wersji 0.14.4 zawiera podatność na przechodzenie po ścieżkach w systemie Windows, która pozwala nieuwierzytelnionym atakującym na odczyt plików poza skonfigurowanym katalogiem IMG_PATH poprzez wysyłanie żądań z zakodowanymi procentowo backslashami (%5C), które omijają sanityzację path.Clean() w handler/router.go. Atakujący mogą wykorzystać rozbieżność między normalizacją ścieżek w Go (tylko ukośniki) a API systemu plików Windows, które traktuje backslashe i ukośniki jako równoważne, aby uzyskać dostęp do dowolnych plików w systemie plików hosta dostępnych dla procesu serwera.

Astro to framework webowy, który przed wersją 6.3.3 miał lukę, w której komponenty używające dyrektywy client:* wstawiały zawartość slotu do atrybutu data-astro-template bez odpowiedniego zabezpieczenia, co umożliwiało atakującemu wstrzyknięcie dowolnego HTML i prowadziło do odzwierciedlonego XSS podczas SSR.

W logice przetwarzania opcji DHCP w wielu modelach routerów TP-Link wykryto podatność na wstrzykiwanie poleceń, spowodowaną niewystarczającą walidacją danych opcji DHCP pochodzących z zewnątrz. Sąsiadujący atakujący może wykorzystać tę podatność, dostarczając spreparowane odpowiedzi DHCP, co może prowadzić do nieautoryzowanego wykonania poleceń podczas inicjalizacji urządzenia lub procesów konfiguracji. Zazwyczaj ma to miejsce, gdy urządzenie jest w stanie fabrycznym lub nieskonfigurowanym.

Podatność w bibliotece http-proxy-middleware dla Node.js umożliwia atakującemu ominięcie konfiguracji routingu proxy poprzez spreparowanie nagłówka Host, który jest nadciągiem (superstring) dla skonfigurowanego klucza host+path. Problem występuje w wersjach od 0.16.0 do 2.0.10, 3.0.6 i 4.1.0, a został naprawiony w wersjach 2.0.10, 3.0.6 i 4.1.0.

W bibliotece piscina, przed wersjami 6.0.0-rc.2, 5.2.0 i 4.9.3, występowała podatność związana z odczytem opcji filename, co mogło prowadzić do wykonania złośliwego kodu w wątkach roboczych.

Hono to framework aplikacji webowej, który przed wersją 4.12.25 miał lukę w middleware CORS. Przy ustawieniu 'credentials: true' i braku wyraźnie określonego pochodzenia, middleware odzwierciedlało pochodzenie żądania, co pozwalało na wykonywanie uwierzytelnionych żądań międzydomenowych przez dowolne strony.

Podatność w frameworku Starlette od wersji 0.4.1 do 1.3.1 powoduje, że limity max_fields i max_part_size dla request.form() są stosowane tylko dla multipart/form-data, ale ignorowane dla application/x-www-form-urlencoded. Nieuwierzytelniony atakujący może wysłać ciało żądania z dowolnie dużą liczbą pól lub dowolnie dużym polem, omijając skonfigurowane ograniczenia.

W bibliotece AIOHTTP przed wersją 3.14.1 zasoby ładunku (payload) nie są poprawnie zamykane, gdy klient rozłączy się w trakcie zapisu. Może to prowadzić do tymczasowego wyczerpania zasobów, takich jak otwarte pliki, do momentu ich zwolnienia przez garbage collector.

W bibliotece AIOHTTP w wersjach przed 3.14.1 występuje podatność polegająca na utracie statusu 'host-only' przez ciasteczka zapisane za pomocą CookieJar.save(), a następnie przywrócone za pomocą CookieJar.load().

W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność polegającą na możliwości dekompresji skompresowanego ciała żądania do pamięci w jednym fragmencie podczas procesu czyszczenia. Atakujący może wysłać specjalnie spreparowany skompresowany ładunek, który po dekompresji może doprowadzić do przeciążenia serwera (przypadek brzegowy bomby zip).

W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność umożliwiającą ominięcie ograniczenia długości linii w żądaniach HTTP podczas korzystania z optymalizowanego parsera C. Atakujący może wysłać nadmiernie długie linie, co prowadzi do nadmiernego zużycia pamięci i potencjalnie do ataku typu DoS.

W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność polegającą na możliwości ominięcia sprawdzenia TLS SNI dla parametru server_hostname podczas ponownego użycia istniejącego połączenia. Jeśli aplikacja wykonuje wiele żądań do tej samej domeny, ale z różnymi wartościami server_hostname, późniejsze wywołania mogą nieprawidłowo wykorzystać wcześniejsze połączenie, zamiast zostać odrzucone.

Podatność w frameworku AIOHTTP przed wersją 3.14.1 umożliwia atakującemu ominięcie limitów pamięci poprzez wysyłanie dużych, niekompletnych ramek WebSocket. Może to prowadzić do nadmiernego zużycia pamięci i potencjalnego wyczerpania zasobów serwera.

W bibliotece AIOHTTP przed wersją 3.14.1 nie było limitu liczby żądań potokowych (pipelined), które mogły być kolejkowane. Atakujący może wykorzystać to do przeciążenia pamięci, co może prowadzić do ataku typu DoS.

W protobufjs-cli, przed wersjami 1.3.2 i 2.5.0, występowała niekompletna poprawka dotycząca niebezpiecznego przetwarzania nazw w generowaniu kodu statycznego. Affected versions mogły emitować niebezpieczne odniesienia JavaScript podczas generowania statycznego wyjścia z przygotowanego wejścia JSON.

Vite to framework narzędziowy dla JavaScript, który przed wersjami 8.0.16, 7.3.5 i 6.4.3 mógł zwracać zawartość plików określonych przez server.fs.deny do przeglądarki na systemie Windows. Problemy z normalizacją ścieżek NTFS ADS pozwalały na nieautoryzowany dostęp do wrażliwych plików.

Podatność w bibliotece Python-Multipart przed wersją 0.0.30 powoduje kwadratową złożoność obliczeniową podczas parsowania treści typu application/x-www-form-urlencoded z separatorem średnika. Atakujący może wysłać małe, spreparowane żądanie zawierające wiele pól oddzielonych średnikami, co prowadzi do znacznego obciążenia procesora i potencjalnego wyczerpania zasobów.