Katalog podatności CVE

FreeRDP w wersji 3.32.0 zawiera podatność use-after-free w kanale drdynvc, która polega na zwolnieniu strumienia należącego do puli za pomocą dealokatora dla strumieni własnych, gdy totalLength jest mniejszy niż rozmiar fragmentu. Złośliwy serwer RDP może wysłać pojedynczy poprawny pakiet PDU kanału wirtualnego, aby wywołać zwolnienie i spowodować awarię klienta podczas zamykania.

FreeRDP przed wersją 3.32.1 w systemie Windows zawiera błąd odczytu poza granicami bufora (heap out-of-bounds read) w funkcji client_cli_present_gateway_message, która przekazuje liczbę bajtów jako precyzję printf dla szerokich znaków. Złośliwy serwer RD Gateway może wysłać komunikaty zgody lub usługi przed uwierzytelnieniem, powodując odczyt dwukrotnie większego bufora przez klienta, co prowadzi do wycieku pamięci sterty lub awarii.

W device-mapper-multipath wykryto błąd odczytu poza granicami bufora. Lokalny użytkownik może wywołać ten błąd, wysyłając do demona multipath polecenie z ciągiem formatującym kończącym się znakiem procentu, co może ujawnić niezamierzone fragmenty pamięci demona (information disclosure) lub spowodować jego awarię (Denial of Service).

W itsourcecode Online Cake Ordering System 1.0 wykryto podatność w nieznanej funkcjonalności pliku /404.php. Manipulacja argumentem useruid prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W itsourcecode Online Cake Ordering System 1.0 wykryto podatność w nieznanej funkcjonalności pliku /deletecustomer.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL (SQL injection). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W repozytorium R6410418 Jackrong-llm-finetuning-guide do commita ef2b17f2798cd18cd85375080c35a58397ad0d09 wykryto podatność w funkcji extract_mtp_heads pliku qwen-mtp-gguf/scripts/qwen_mtp_gguf_pipeline.py (komponent MTP weight_map Handler). Manipulacja argumentem shard_name prowadzi do path traversal. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Projekt używa rolling release, więc szczegóły wersji nie są dostępne; zgłoszono problem, ale nie otrzymano odpowiedzi.

W repozytorium R6410418 Jackrong-llm-finetuning-guide do commita ef2b17f2798cd18cd85375080c35a58397ad0d09 wykryto podatność w funkcji validate_indexed_tensors pliku qwen-mtp-gguf/scripts/qwen_mtp_gguf_pipeline.py. Manipulacja argumentem weight_map prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Projekt używa rolling release, więc informacje o wersjach nie są ujawniane; zgłoszono problem, ale nie otrzymano odpowiedzi.

W bibliotece standardowej Go (pakiet crypto/x509) dodano listę blokowanych certyfikatów pośrednich, które nie są już uznawane za zaufane. Ma to chronić przed przypadkami, w których systemowe magazyny zaufania nie zostały zaktualizowane.

Astral uv przed wersją 0.8.22 zawiera podatność path traversal podczas rozpakowywania archiwów tar źródłowych dystrybucji (sdist), która pozwala na przekierowanie zapisu plików poza zamierzony prefiks ekstrakcji za pomocą specjalnie spreparowanej sekwencji dowiązań symbolicznych. Atakujący może opublikować złośliwy sdist, który po zainstalowaniu przez ofiarę zapisuje dowolne pliki w lokalizacjach poza prefiksem instalacji.

Vyper od wersji 0.1.0b4 przed 0.3.0 zawiera podatność polegającą na uszkodzeniu pamięci spowodowanym nieprawidłowym wskaźnikiem szczytu stosu podczas wywołań funkcji wewnętrznych wewnątrz tablic. Kontrakty umieszczające wywołania wewnętrzne w zagnieżdżonych elementach tablic, argumentach wywołań zewnętrznych, literałach struktur lub tematach raw_log mogą mieć uszkodzoną pamięć, co prowadzi do nieprawidłowego działania kontraktu.

Vyper w wersji przed 0.2.9 wdraża proxy forwarderów przez wbudowaną funkcję create_forwarder_to, która zgłasza stały rozmiar RETURNDATASIZE wynoszący 4096 bajtów zamiast rzeczywistego rozmiaru zwracanych danych. Wywołania przez te proxy mogą zwracać uszkodzone dane, gdy funkcja zwraca więcej niż 4096 bajtów bez sanityzacji danych zwrotnych, i powodują niepowodzenie ścisłych kontroli rozmiaru zwrotu, takich jak SafeERC20.safeTransfer.

Vyper w wersji przed 0.2.6 zawiera podatność na uszkodzenie stosu wywołań, która powoduje nieprawidłowe wyniki funkcji, gdy złożone typy z elementami niebazowymi są przekazywane jako argumenty. Kontrakty przekazujące wielowymiarowe tablice lub struktury do funkcji wewnętrznych lub zewnętrznych otrzymują uszkodzone wartości, ponieważ kompilator zakładał, że rozmiar każdego podtypu wynosi 32.

Vyper od wersji 0.1.0b4 przed 0.3.0 zawiera podatność na uszkodzenie pamięci spowodowaną nieprawidłowym wskaźnikiem szczytu stosu, gdy wywołania funkcji wewnętrznych pojawiają się wewnątrz krotek lub zagnieżdżonych wywołań. Kontrakty używające takich wywołań jako elementów krotek, argumentów wywołań lub argumentów wbudowanych, takich jak concat lub ecrecover, mogą zwracać uszkodzone wartości lub przekazywać błędne argumenty do wywołań zewnętrznych.

W a2aproject a2a-rs do wersji 0.4.4 wykryto lukę w zabezpieczeniach w funkcji InMemoryTaskStore::update w pliku a2a-server/src/task_store/inmemory.rs. Manipulacja prowadzi do sytuacji wyścigu (race condition), a atak może być przeprowadzony zdalnie. Poprawka została zidentyfikowana jako 7050c7d329238539424ee46440e23b91c4825bee.

Metasploit Framework w wersjach przed 6.5.7 pozwala żądaniom HTTP wykonywanym przez send_request_cgi! na podążanie za przekierowaniami do innego hosta bez ograniczania miejsca docelowego przekierowania. Złośliwy serwer HTTP może spowodować, że system z uruchomionym Metasploit wykona żądania do dowolnych usług HTTP osiągalnych z sieci operatora, w tym do usług wewnętrznych, które w innym przypadku nie są dostępne dla atakującego.

Klient FTP ufa odpowiedzi PASV serwera zawierającej IP:port bez walidacji względem celu połączenia kontrolnego. Złośliwy serwer FTP może podać dowolny IP:port w odpowiedzi 227 Passive Mode, powodując otwarcie przez maszynę operatora połączenia TCP do dowolnego hosta.

W a2aproject a2a-rs do wersji 0.4.3 wykryto podatność dotyczącą nieokreślonego przetwarzania w pliku a2a-server/src/error.rs. Manipulacja może prowadzić do ujawnienia informacji poprzez komunikaty błędów, a atak można przeprowadzić zdalnie. Poprawka nosi oznaczenie 713b943af94ab2d521d483b841618b97a2e78a4d.

Moduł Imager::File::GIF w wersjach przed 1.006 dla Perla pozwala na odczyt poza granicami bufora podczas konsolidacji obrazów GIF z opcją gif_consolidate. Indeksy palety są używane bez sprawdzenia granic tablicy kolorów, co prowadzi do odczytu poza alokacją sterty.

IBM Carbon Charts w wersjach od 0.4.0 do 1.27.19 jest podatny na cross-site scripting. Funkcja Title.truncateTitle() komponentu MeterChart ponownie wstawia podciąg tekstu etykiety dostarczonego przez użytkownika do DOM poprzez niezabezpieczony zapis innerHTML, gdy tytuł przekracza dostępną szerokość kontenera. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu JavaScript w sesji przeglądarki ofiary.

IBM i w wersjach 7.3, 7.4, 7.5 i 7.6 może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa z powodu niewłaściwej kontroli dostępu. Wysyłając specjalnie spreparowane żądanie HTTP do dowolnego adresu URL w aplikacji Navigator przed uwierzytelnieniem, atakujący może zmienić stan bezpieczeństwa sesji po stronie serwera.