Katalog podatności CVE

W niezałatanych migawkach repozytorium uhttpd funkcja `uh_ubus_data_send()` może desynchronizować granice żądań HTTP, gdy ciało JSON żądania `POST /ubus` przychodzi w wielu segmentach TCP. Nieprzeczytany sufiks ciała jest następnie przetwarzany jako nowe żądanie na tym samym połączeniu keep-alive.

uhttpd to mały serwer HTTP. W niezałatanych migawkach repozytorium funkcja client_poll_post_data() w client.c przetwarza nieprawidłową linię długości fragmentu (np. rozmiar przekraczający INT_MAX), a następnie czyści r->content_length i r->transfer_chunked bez opróżnienia pozostałej treści lub ustawienia request.connection_close. Kontrolowane przez atakującego bajty treści wyrównane jako kompletne żądanie HTTP są następnie przetwarzane jako kolejne żądanie w tym samym połączeniu, powodując przemyt żądań HTTP (HTTP request smuggling) i desynchronizację granic żądań.

W LORIS w wersjach od 22.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 API modułu `imaging_browser` pozwala na edycję danych obrazowania bez sprawdzania uprawnień edycji obowiązujących w interfejsie Imaging Browser. Uwierzytelniony wywołujący API może modyfikować dane bez wymaganej autoryzacji.

W LORIS w wersjach od 16.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 backend `issue_tracker` nieprawidłowo weryfikuje uprawnienia edycji, mimo że interfejs ogranicza edytowane zgłoszenia. Uwierzytelniony użytkownik może zmieniać zgłoszenia spoza swojego zakresu uprawnień.

Biblioteka fickling w wersjach do 0.1.12 błędnie uznaje za bezpieczne wywołania funkcji pochodzących z modułów biblioteki standardowej Pythona, bez analizy ich rzeczywistego zachowania. W efekcie mechanizm check_safety() zwraca werdykt LIKELY_SAFE dla złośliwych payloadów pickle, które poprzez takie funkcje (np. dataclasses._create_fn, mailcap.findmatch, readline.write_history_file) prowadzą do wykonania dowolnego kodu lub zapisu plików. Ponieważ fickling.load() wykorzystuje ten werdykt jako bramkę bezpieczeństwa przed pickle.loads(), payload zostaje zdeserializowany i wykonany z uprawnieniami procesu ofiary.

Podatność w bibliotece fickling (do wersji 0.1.12) polega na tym, że operacja STACK_GLOBAL z kropkowaną nazwą __qualname__ (np. "Values.read_file") jest rozwiązywana przez pickle.find_class do dowolnej ścieżki atrybutu, a nie do funkcji na poziomie modułu. Fickling śledzi tylko pierwszy człon nazwy i wyświetla operację jako zwykły import, przez co końcowe odwołanie do atrybutu nie jest analizowane jako wywołanie. W efekcie analiza OvertlyBadEvals nie wykrywa zagrożenia, a check_safety() zwraca LIKELY_SAFE z zerową liczbą ustaleń, co pozwala atakującemu na osiągnięcie metody klasy wykonującej kod (optparse.Values.read_file uruchamia exec(open(filename).read(), vars)) i uzyskanie dowolnego wykonania kodu przy ładowaniu spreparowanego pickla przez fickling.load().

Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.

Shopper to headless panel administracyjny e-commerce. W wersji przed 2.10.1 trasa szczegółów klienta /cpanel/customers/{user}/show sprawdza uprawnienie read_customers, ale wyszukuje dowolny identyfikator użytkownika bez zastosowania zakresu roli customers używanego na liście. Uwierzytelniony personel z access_dashboard i read_customers może zmienić ID użytkownika, aby uzyskać profile administratorów lub personelu, mimo braku view_users. Luka ujawnia dane profilu i umożliwia enumerację ID użytkowników; w połączeniu z delete_customers może umożliwić destrukcyjne działania wobec kont niebędących klientami. Problem naprawiono w wersji 2.10.1.

Podatność typu stored XSS w panelu administracyjnym Shopper pozwala uwierzytelnionemu pracownikowi z uprawnieniami do przesyłania treści na zapisanie wykonywalnych plików HTML lub SVG, które są serwowane bez nagłówka Content-Disposition i CSP. Gdy administrator otworzy taki plik, złośliwy skrypt wykonuje się w jego sesji i może utworzyć nowe konto administratora z wybranym hasłem. Problem dotyczy wersji 2.0.0–2.10.0 oraz 3.0.0-beta.1 i beta.2; naprawiono w 2.10.1 i 3.0.0-beta.3.

W Shopper przed wersją 2.10.0 komponent Livewire Variants w packages/admin/src/Livewire/Components/Products/Form/Variants.php udostępnia DeleteAction i DeleteBulkAction bez autoryzacji po stronie serwera. Uwierzytelniony pracownik z uprawnieniem edit_products może uzyskać podpisany stan komponentu i trwale usuwać pojedyncze lub wiele wariantów bez uprawnienia delete_product_variants. Może to zniszczyć katalog produktów i zakłócić działanie sklepu, koszyka i finalizacji zamówień. Problem naprawiono w wersji 2.10.0.

W jack przed wersją 0.1.0 plik middleware/handle-error.ts serializuje surowe obiekty FetchError do odpowiedzi HTTP, a lib/servers/base.ts dołącza nagłówki żądań wychodzących przy błędach odpowiedzi上游 i walidacji schematu. Publiczne pole extras w lib/errors/FetchError.ts pozostaje wyliczalne i jest emitowane przez serializację JSON, ujawniając wewnętrzne klucze X-Api-Key Radarr/Sonarr oraz nagłówki łączników, takie jak CF-Access-Client-Secret. Endpointy GET /peer/items/:id, GET /servers/health i GET /torznab/download/:id mogą ujawnić te sekrety. Problem naprawiono w wersji 0.1.0.

W Dream Displays od wersji 1.5.0 do 1.8.2 dane wejściowe kontrolowane przez użytkownika mogą wpływać na argumenty przekazywane do yt-dlp w określonych warunkach. Niezamierzone opcje wiersza poleceń mogą zostać zinterpretowane przez yt-dlp, potencjalnie zmieniając jego zachowanie. Problem naprawiono w wersji 1.8.2.

W ZTNET przed wersją 0.8.0 każdy uwierzytelniony użytkownik o niskich uprawnieniach może trwale dezaktywować inne konto, w tym administratora, poprzez POST /api/auth/user/invalidateUser. Handler sprawdza tylko istnienie sesji i nie porównuje session.user.id z userId dostarczonym przez klienta, więc podanie userId ofiary i nieistniejącej pary deviceId powoduje ustawienie isActive na false i odmowę logowania. Problem naprawiono w wersji 0.8.0.

Biblioteka ESPAsyncWebServer przed wersją 3.11.2 zawiera błąd w parserze multipart, który po zwolnieniu bufora i ustawieniu go na NULL nadal zapisuje dane przez wskaźnik NULL. Występuje to, gdy bajt po granicy części pliku nie jest poprawnym zakończeniem, co prowadzi do wyjątku StoreProhibited i restartu urządzenia. Podatność wymaga obecności trasy z obsługą przesyłania plików lub OTA.

SABnzbd przed wersją 5.1.0Beta3 pozwala atakującemu z ważnym kluczem API na wywołanie operacji usuwania osieroconych zadań z parametrem ścieżki, który nie jest ograniczony do katalogu pobierania. Bezwzględna ścieżka może spowodować rekurencyjne usunięcie plików lub katalogów zapisywalnych przez proces SABnzbd. Klucz API jest przechowywany jawnie w pliku konfiguracyjnym.

libriscv przed wersją 1.18 pozwala spreparowanemu plikowi ELF na wywołanie odczytów poza granicami bufora w emulatorze hosta. Funkcje serialize_execute_segment i lookup ufają przesunięciom i rozmiarom sekcji bez weryfikacji względem rozmiaru pliku, co może prowadzić do SIGSEGV lub ujawnienia pamięci hosta. Podatność została naprawiona w wersji 1.18.

Ring przed wersją 1.15.5 zawiera podatność w middleware wrap-nested-params, które używa wyrażenia regularnego z cofaniem do dopasowywania nazw parametrów. Atakujący może spreparować nazwę parametru powodującą kwadratowe zużycie CPU (O(n^2)), prowadząc do odmowy usługi. Użytkownicy Ring-Defaults są również narażeni, ponieważ middleware jest domyślnie włączony.

MoLing w trybie SSE (uruchamiany z opcją -l) nie uwierzytelnia żądań do endpointów /sse i /message, a zależność mcp-go ustawia nagłówek Access-Control-Allow-Origin: *. Złośliwa strona może otworzyć cross-origin EventSource do /sse, odczytać sessionId i wykonać nieautoryzowane wywołania narzędzi MCP przez /message, co może prowadzić do odczytu/zapisu plików lub wykonania poleceń. Problem naprawiono w wersji 0.5.0.

Picsou to samodzielnie hostowany panel finansów osobistych. W podatnej implementacji logowania endpoint /api/auth/login ujawnia istnienie nazwy użytkownika poprzez różnicę czasową: AuthController.login() natychmiast rzuca BadCredentialsException dla nieznanej nazwy użytkownika, przed passwordEncoder.matches(...), podczas gdy istniejąca nazwa z błędnym hasłem ponosi koszt porównania bcrypt. Oba przypadki zwracają ten sam ogólny HTTP 401, ale powtarzane pomiary opóźnień ujawniają prawidłowe nazwy użytkowników bez poświadczeń. Problem naprawiono w wersji 1.0.8.

W ThingLinks przed wersją 1.4.0 endpoint /groovyScriptTest/registerScript przyjmuje treść skryptu Groovy od użytkownika i przekazuje ją do niesandboxowanego procesu kompilacji i ładowania. Uwierzytelniony atakujący może dostarczyć kod, który zostanie skompilowany i uruchomiony na serwerze, co prowadzi do zdalnego wykonania kodu po stronie serwera. Problem dotyczy przepływu testowania/rejestracji skryptów Groovy w silniku reguł i został naprawiony w wersji 1.4.0.