Katalog podatności CVE

W Google Chrome przed wersją 148.0.7778.168 w komponencie ViewTransitions występuje niewystarczające egzekwowanie polityki. Zdalny atakujący może ujawnić dane międzyoriginowe za pomocą spreparowanej strony HTML.

W Google Chrome na Linux i ChromeOS przed wersją 148.0.7778.168 w komponencie Media występuje odczyt poza granicami bufora. Zdalny atakujący, który przejął proces renderera, może uzyskać potencjalnie wrażliwe informacje z pamięci procesu za pomocą spreparowanego pliku JPEG.

Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie SiteIsolation przeglądarki Google Chrome w wersjach przed 148.0.7778.168. Zdalny atakujący, który przejął proces renderera, może obejść izolację witryn za pomocą spreparowanej strony HTML.

W Google Chrome przed wersją 148.0.7778.168 występuje niewystarczająca walidacja niezaufanych danych wejściowych w komponencie DataTransfer. Zdalny atakujący, który nakłoni użytkownika do określonych gestów UI, może uzyskać poufne informacje z pamięci procesu za pomocą spreparowanej strony HTML. Ważność wg Chromium: Critical.

W bibliotece OpenImageIO w wersjach przed 3.0.18.0 i 3.1.13.0 występuje błąd przepełnienia arytmetyki 32-bitowej w funkcji TGAInput::decode_pixel. Sprawdzenie granic oblicza k + palbytespp jako unsigned 32-bit, co przy k = 0xFFFFFFFC i palbytespp = 4 zawija się do 0 i przechodzi walidację, po czym następuje odczyt około 4 GB poza bufor palety, powodując SEGV.

Fleet przed wersją 4.81.0 zawiera podatność odmowy usługi (DoS) w punkcie końcowym gRPC Launcher PublishLogs. Nieoczekiwane wartości wejściowe nie były obsługiwane w sposób łagodny, co mogło spowodować zakończenie procesu serwera Fleet podczas przetwarzania uwierzytelnionego żądania. Uwierzytelniony atakujący z dostępem do klucza węzła Launcher mógł wywołać natychmiastową odmowę usługi pojedynczym żądaniem gRPC. Poprawka znajduje się w wersji 4.81.0.

Fleet przed wersją 4.80.1 ufał nagłówkom adresów IP dostarczanym przez klienta przy ustalaniu źródłowego adresu IP żądań. Uwierzytelnieni i nieuwierzytelnieni klienci mogli podszyć się pod dowolny adres IP i ominąć limity szybkości na IP. Poprawka znajduje się w wersji 4.80.1.

Foscam VD1 Video Doorbell w wersjach przed V5.3.13_1072 przesyła poufne informacje (SDP, w tym dane uwierzytelniające ICE i kandydatów) w postaci jawnej przez interfejsy sieciowe.

W Strapi w wersjach przed 5.33.3 punkty końcowe Content API wtyczki Upload nie egzekwowały skonfigurowanych przez administratora ograniczeń typu MIME. Uwierzytelniony użytkownik z uprawnieniem do uploadu przez Content API mógł przesłać zabronione typy plików, w tym HTML i SVG, co w domyślnej konfiguracji mogło prowadzić do przejęcia sesji administratora.

W Strapi przed wersją 5.33.3 zmiana lub reset hasła użytkownika domyślnie nie unieważniały istniejących sesji refresh-token, ponieważ krok unieważniania zależał od dostarczonego przez wywołującego deviceId. Atakujący posiadający wcześniej refresh token mógł nadal generować nowe tokeny dostępu po resecie hasła przez prawowitego użytkownika, utrzymując nieautoryzowany dostęp do 30 dni. Poprawka w wersji 5.33.3 unieważnia wszystkie refresh tokeny przy każdej zmianie i resecie hasła.

W Strapi w wersjach przed 5.45.0 middleware rate-limit w pluginie users-permissions budował klucz limitu m.in. na podstawie pola `ctx.request.body.email`, nawet na trasach, których schemat żądania nie zawiera pola email (np. /auth/local, /auth/reset-password, /auth/change-password). Nieuwierzytelniony atakujący mógł podać dowolną wartość email w treści żądania, uzyskując nowy klucz limitu przy każdym żądaniu i tym samym omijając ograniczenie liczby prób na IP. Umożliwiało to masowe ataki brute-force na dane logowania, kody resetowania hasła oraz credential stuffing.

Podatność w GStreamer gst-plugins-good przed wersją 1.28.2. Podczas parsowania ścieżek audio MP4 funkcja qtdemux_audio_caps w pluginie isomp4 nie waliduje wystarczająco danych atomów przed wykonaniem operacji dzielenia, co prowadzi do odmowy usługi wskutek dzielenia przez zero.

W GStreamer gst-plugins-good przed wersją 1.28.2 wykryto problem. Podczas parsowania ścieżek audio MP4 funkcja qtdemux_parse_trak wtyczki isomp4 nie waliduje wystarczająco danych atomów przed wykonaniem operacji dzielenia, co prowadzi do odmowy usługi z powodu dzielenia przez zero.

Docling-Graph przed wersją 1.5.1 wykonuje żądania HTTP do adresów URL podanych przez użytkownika bez walidacji, czy nie wskazują one adresów prywatnych, loopback lub link-local. Dodatkowo przekierowania są dozwolone, co umożliwia atakującemu wywołanie Server-Side Request Forgery (SSRF) poprzez parametr --source lub PipelineConfig.source.

W Pode, wieloplatformowym frameworku PowerShell do tworzenia REST API, stron WWW i serwerów TCP/SMTP, w wersjach od 2.4.0 do przed 2.13.0 istniała możliwość żądania ścieżek takich jak http://localhost:8080/c:/Windows/System32/drivers/etc/hosts i zwracania ich zawartości z tras statycznych.

W Distribution (toolkit do pakowania, wysyłania, przechowywania i dostarczania zawartości kontenerów) przed wersją 3.1.1 usuwanie tagów przez endpoint DELETE /v2/<name>/manifests/<tag> omija konfigurację storage.delete.enabled: false, pozwalając dowolnemu klientowi API na usuwanie tagów z repozytoriów, nawet gdy operator wyraźnie wyłączył usuwanie. Podatność została naprawiona w wersji 3.1.1.

Podatność typu open redirect (CWE-601) polegająca na przekierowaniu użytkownika do niezaufanej witryny. Szczegóły techniczne nie zostały podane w opisie.

Kubetail przed wersją 0.14.0 udostępnia endpointy WebSocket, które nieprawidłowo walidują nagłówek Origin przy uaktualnieniu połączenia. Złośliwa strona odwiedzona przez użytkownika z aktywną sesją Kubetail może otworzyć WebSocket do dashboardu i odczytywać logi Kubernetes w czasie rzeczywistym (Cross-Site WebSocket Hijacking).

css_parser to parser CSS dla języka Ruby. W wersjach przed 2.1.0 i 1.22.0 gem CSS Parser nie waliduje połączeń HTTPS, umożliwiając atakującemu typu Man-in-the-Middle (MITM) wstrzyknięcie lub modyfikację treści CSS podczas ładowania arkuszy stylów przez HTTPS. Połączenie jest nawiązywane z OpenSSL::SSL::VERIFY_NONE, co oznacza, że każdy certyfikat HTTPS — nawet całkowicie niezaufany — zostanie zaakceptowany bez walidacji.

Podatność w interfejsie webowym Cisco Catalyst SD-WAN Manager (dawniej SD-WAN vManage) umożliwia uwierzytelnionemu, zdalnemu atakującemu z uprawnieniami tylko do odczytu modyfikację konfiguracji i wykonywanie nieautoryzowanych działań. Problem wynika z braku maskowania wrażliwych informacji w konfiguracjach i szablonach urządzeń.