Katalog podatności CVE

W Weblate przed wersją 5.17.1 API linków do zrzutów ekranu, zadań i komponentów umożliwiało wyliczenie tłumaczeń w projekcie niedostępnym dla użytkownika. Podatność została naprawiona w wersji 5.17.1.

Wallos to open-source'owy tracker subskrypcji. W wersjach 4.8.4 i wcześniejszych funkcja powiadomień webhook używa tej samej listy dozwolonych lokalnych celów skonfigurowanej przez administratora dla każdego zalogowanego użytkownika. Każdy zwykły użytkownik może kontrolować URL, nagłówki i treść webhooka, a następnie wysyłać żądania po stronie serwera do dozwolonych wewnętrznych usług automatyzacji, co może umożliwić RCE w sąsiedniej usłudze. Brak publicznych poprawek.

W Wallos przed wersją 4.8.1 ochrona SSRF w endpoints/subscription/add.php i endpoints/payments/add.php nie blokuje adresów CGNAT (100.64.0.0/10, RFC 6598). Uwierzytelnieni użytkownicy mogą wykonywać Blind SSRF do usług wewnętrznych w środowiskach Tailscale, Carrier-Grade NAT i innych. Problem naprawiono w wersji 4.8.1.

fast-xml-parser przed wersją 5.7.0 nie escapuje sekwencji "-->" w komentarzach ani "]]>" w sekcjach CDATA podczas budowania XML z obiektów JavaScript. Umożliwia to wstrzyknięcie XML, prowadząc do XSS, wstrzyknięcia SOAP lub manipulacji danymi.

W narzędziu Weblate przed wersją 5.17.1 zmiana hasła przez użytkownika prawidłowo unieważnia sesje przeglądarki przez cycle_session_keys(), ale tokeny API DRF (prefiks wlu_*) przechowywane w authtoken_token nie są unieważniane. Podatność została naprawiona w wersji 5.17.1.

Podatność niekontrolowanego zużycia zasobów w bibliotece decimal umożliwia nieuwierzytelnioną zdalną odmowę usługi. Biblioteka decimal nie ogranicza wykładnika w analizowanych danych wejściowych. Przechowywanie liczby dziesiętnej z bardzo dużym wykładnikiem (np. Decimal.new("1e1000000000")) jest akceptowane bez błędu. Kolejne wywołania funkcji arytmetycznych, formatowania, konwersji do liczby całkowitej lub porównania z progiem alokują pamięć proporcjonalnie do wartości wykładnika, co może wyczerpać dostępną pamięć i spowodować awarię BEAM VM. Każda aplikacja przyjmująca dane dziesiętne od użytkownika i wykonująca na nich operacje jest narażona. Pojedyncze złośliwe żądanie wystarczy do awarii z powodu braku pamięci. Problem dotyczy decimal od 0.1.0 przed 3.0.0.

Sidekiq-cron do wersji 2.3.1, open-source'owy dodatek do harmonogramowania dla Sidekiq, jest podatny na cross-site scripting (XSS) poprzez spreparowany URL renderowany z cron.erb.

Incus to menedżer kontenerów systemowych i maszyn wirtualnych. Przed wersją 7.0.0 przesyłanie dużych ilości danych przez uwierzytelnionych użytkowników może spowodować wyczerpanie miejsca na dysku serwera Incus, potencjalnie powodując awarię systemu hosta. Wpływ jest ograniczony dla użytkowników korzystających z storage.images_volume i storage.backups_volume, ponieważ duże przesłane dane będą przechowywane na tych woluminach, a nie bezpośrednio w systemie plików hosta (domyślne zachowanie w IncusOS).

Incus przed wersją 7.0.0 ufa wbudowanej konfiguracji backup/index.yaml i tylko warunkowo parsuje starszy plik backup/container/backup.yaml. Złośliwe archiwum może zawierać poprawną konfigurację inline, ale zniekształcony plik backup.yaml bez sekcji container, co prowadzi do dereferencji nil i awarii demona Incus. Podatność występuje w ścieżce przywracania i importu kopii zapasowych.

Incus przed wersją 7.0.0 rozpakowywał dostarczone przez użytkownika obrazy i archiwa backupów oraz parsował pliki YAML bez ograniczeń rozmiaru. Uwierzytelniony użytkownik mógł dostarczyć spreparowane archiwum, które po sparsowaniu ładowało do pamięci bardzo duży dokument YAML, potencjalnie powodując wyczerpanie pamięci całego serwera. Problem naprawiono w wersji 7.0.0.

Incus przed wersją 7.0.0 zawiera brak obsługi błędów, który może pozwolić uwierzytelnionemu użytkownikowi na spowodowanie awarii demona poprzez import obciętego pliku kopii zapasowej zasobnika storage. Podatność została naprawiona w wersji 7.0.0.

W MISP przed wersją 2.5.37 występuje podatność na przechowywane XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Atakujący może wprowadzić złośliwe wartości w polach typu i kategorii atrybutów elementów szablonu.

Podatność Cross-Site Request Forgery (CSRF) w PluginUs.Net BEAR pozwala na wymuszenie niepożądanych żądań w imieniu uwierzytelnionego użytkownika. Problem dotyczy BEAR w wersjach od n/a do 1.1.5.

W kliencie ZTE Cloud PC uSmartview występuje zdalna podatność typu denial-of-service, która może prowadzić do uszkodzenia pamięci i zdalnej odmowy usługi. Opis nie podaje szczegółów technicznych ani wersji dotkniętych.

Wtyczka PDF Poster firmy bPlugins zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.4.1.

Wtyczka YITH WooCommerce Wishlist do wersji 4.12.0 zawiera lukę polegającą na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce WPGraphQL w wersjach od n/a do 2.5.3. Atakujący może wymusić na zalogowanym użytkowniku wykonanie niepożądanych akcji.

Brak autoryzacji w wtyczce Bus Ticket Booking with Seat Reservation (przed wersją 5.6.8) umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność pozwala na nieautoryzowany dostęp do funkcji.

Wtyczka WEN Logo Slider dla WordPressa zawiera podatność na ataki typu DOM-Based Cross-Site Scripting (XSS) we wszystkich wersjach do 3.4.0 włącznie. Podatność wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Klient ZTE Cloud PC uSmartView zawiera podatność na przejęcie DLL (DLL hijacking). Ponieważ uSmartViewServiceAgent.exe działa z uprawnieniami SYSTEM, udane przejęcie umożliwia lokalne wykonanie dowolnego kodu, podniesienie uprawnień i uszkodzenie pamięci.