Katalog podatności CVE

Biblioteka MailKit w wersjach przed 4.16.0 zawiera podatność typu STARTTLS Response Injection. Atakujący w pozycji man-in-the-middle może wstrzyknąć dowolne odpowiedzi protokołu przez granicę zaufania plaintext-TLS, umożliwiając downgrade mechanizmu uwierzytelniania SASL (np. wymuszenie PLAIN zamiast SCRAM-SHA-256). Wewnętrzny bufor odczytu w SmtpStream, ImapStream i Pop3Stream nie jest opróżniany przy zamianie strumienia na SslStream podczas uaktualnienia STARTTLS.

W AnythingLLM przed wersją 1.12.1 renderer markdown w czacie ma niebezpieczną regułę dla obrazów, która wstawia tekst alt obrazu do atrybutu HTML alt bez kodowania. Wszystkie miejsca wywołania renderMarkdown są owinięte DOMPurify.sanitize, z wyjątkiem komponentu Chartable, który renderuje podpisy wykresów bez sanityzacji, co pozwala na przechowywany XSS w przeglądarce innych użytkowników.

Pakiet go-ntlmssp w wersji przed 0.1.1 zawiera podatność na panikę z powodu wyjścia poza zakres wycinka (slice out of bounds) podczas przetwarzania złośliwej wiadomości wyzwania NTLM. Może to doprowadzić do awarii każdego procesu Go używającego `ntlmssp.Negotiator` jako transportu HTTP.

Kirby przed wersjami 4.9.0 i 5.4.0 sprawdzał uprawnienia pages.create i pages.changeStatus niezależnie, przez co uprawnienie changeStatus nie działało przy tworzeniu stron. Uwierzytelniony atakujący z uprawnieniem pages.create mógł przez REST API nadpisać flagę isDraft i od razu utworzyć opublikowane strony, omijając workflow redakcyjny.

Xibo przed wersją 4.4.1 pozwala każdemu uwierzytelnionemu użytkownikowi na ręczne skonstruowanie adresu URL w celu podglądu kampanii i regionów oraz eksportu zapisanych raportów należących do innych użytkowników. Wykorzystanie jest możliwe przez użytkownika z uprawnieniami do stron zarządzania układami, kampaniami lub zapisanymi raportami. Problem naprawiono w wersji 4.4.1.

Xibo przed wersją 4.4.1 zawiera uwierzytelnioną podatność SSRF, która pozwala użytkownikom z uprawnieniami DataSet na wykonywanie dowolnych żądań HTTP z serwera CMS do zasobów wewnętrznych lub zewnętrznych. Można to wykorzystać do skanowania infrastruktury, dostępu do metadanych chmury (np. AWS IMDS) lub eksfiltracji danych.

Xibo (platforma digital signage z systemem CMS i odtwarzaczem dla Windows) w wersjach przed 4.4.1 zawiera podatność przechowywanego XSS. Uwierzytelniony użytkownik z uprawnieniami do tworzenia powiadomień może wstrzyknąć dowolny JavaScript do treści powiadomienia. Gdy powiadomienie jest ustawione jako „interrupt”, ładunek wykonuje się automatycznie w przeglądarce każdego docelowego użytkownika przy logowaniu, bez interakcji użytkownika. Wymaga to uprawnień do Notification Centre i przycisku „Add Notification”, które nie są standardowo przyznawane nieadministratorom. Naprawiono w wersji 4.4.1.

Interfejs zarządzania SenseLive X3050 wykorzystuje niezaszyfrowany protokół HTTP do całej komunikacji administracyjnej. Dane uwierzytelniania i konfiguracji przesyłane są jawnym tekstem, co umożliwia ich przechwycenie przez atakującego w tej samej sieci.

W wersjach <8.4.0, <8.3.2, <8.2.2, <8.1.3, <8.0.4, <7.13.6, <7.12.7, <7.11.7 i <7.10.10 endpointy /api/apps/logs oraz /api/apps/:id/logs mają literówkę w sprawdzaniu wymaganych uprawnień, co pozwala uwierzytelnionym użytkownikom bez odpowiednich uprawnień na odczyt logów apps-engine.

W narzędziu melange w wersjach od 0.32.0 do przed 0.43.4 opcja --persist-lint-results buduje ścieżki plików wyjściowych z wartości arch i pkgname odczytanych z pliku .PKGINFO bez walidacji separatorów ścieżek ani sekwencji '..'. Atakujący dostarczający APK do pipeline'u lint/build może spowodować zapis pliku JSON raportu w dowolnej ścieżce osiągalnej przez proces melange. Nie ma bezpośredniej ścieżki wykonania kodu, ale można nadpisać inne artefakty JSON. Problem naprawiono w wersji 0.43.4.

melange (narzędzie do budowania pakietów apk z użyciem deklaratywnych pipeline'ów) w wersjach od 0.32.0 do przed 0.43.4 pozwala atakującemu wpływającemu na plik konfiguracyjny melange ustawić pipeline[].uses na wartość zawierającą sekwencje ../ lub ścieżkę absolutną. Funkcja (*Compiled).compilePipeline w pkg/build/compile.go przekazywała uses bezpośrednio do filepath.Join(pipelineDir, uses + ".yaml") bez walidacji, więc rozwiązana ścieżka mogła wyjść poza --pipeline-dir i odczytać dowolny plik YAML widoczny dla procesu melange. Ponieważ ładowany plik jest interpretowany jako pipeline melange, a jego blok runs: jest wykonywany przez /bin/sh -c w sandboxie budowania, umożliwiało to uruchomienie poleceń powłoki z pliku spoza drzewa, omijając przegląd. Naprawiono w melange v0.43.4 (commit 5829ca4).

Interfejs webowy SenseLive X3050 nie wymusza prawidłowego czasu życia sesji, przez co uwierzytelnione sesje pozostają aktywne przez długi czas bez ponownego uwierzytelnienia. Atakujący z dostępem do wcześniej uwierzytelnionej sesji może nadal korzystać z funkcji administracyjnych.

Podatność w interfejsie zdalnego zarządzania opartym na przeglądarce może pozwolić administratorowi na dostęp do poufnych informacji na urządzeniu poprzez spreparowane żądania. Dotyczy niektórych produkcyjnych drukarek oraz wielofunkcyjnych drukarek biurowych/małych biur.

W bibliotece libxml2 wykryto usterkę związaną z błędem typu (type confusion) podczas przetwarzania specjalnie spreparowanego dokumentu XML z definicją schematu (XSD) zawierającego wewnętrzne odwołanie do encji. Atakujący może wykorzystać tę podatność, dostarczając złośliwy dokument, co prowadzi do awarii aplikacji.

radare2 przed wersją 6.1.4 zawiera podatność path traversal w obsłudze notatek projektowych, umożliwiającą odczyt lub zapis plików poza skonfigurowanym katalogiem projektu poprzez import złośliwego archiwum .zrp zawierającego dowiązanie symboliczne notes.txt. Atakujący może ominąć sprawdzenia ograniczenia katalogu i uzyskać dostęp do dowolnych plików poza katalogiem dir.projects.

SWUpdate zawiera podatność na niedomiar liczby całkowitej w parserze przesyłania wieloczęściowego w pliku mongoose_multipart.c, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi poprzez wysłanie spreparowanego żądania HTTP POST do /upload z nieprawidłowym ogranicznikiem wieloczęściowym i kontrolowanym taktowaniem strumienia TCP. Atakujący mogą wywołać niedomiar liczby całkowitej w funkcji mg_http_multipart_continue_wait_for_chunk(), gdy długość bufora mieści się w określonym zakresie, powodując odczyt sterty poza przydzielonym buforem odbiorczym do lokalnego gniazda IPC.

Moduł @node-oauth/oauth2-server w Node.js ma lukę, która pozwala na akceptację nieprawidłowych wartości code_verifier zgodnych z RFC7636, w tym jednoczłonowych ciągów, w przepływach S256 PKCE. To umożliwia atakującym przeprowadzanie ataków brute-force na code_verifier po przechwyceniu kodu autoryzacyjnego.

W pakiecie AWS X-Ray Remote Sampler (OpenTelemetry.Sampler.AWS) w wersjach przed 0.1.0-alpha.8 odczytywane są nieograniczone ciała odpowiedzi HTTP z skonfigurowanego punktu końcowego do pamięci. AWSXRaySamplerClient.DoRequestAsync wywołuje HttpClient.SendAsync, a następnie ReadAsStringAsync(), co materializuje całe ciało odpowiedzi w jednym łańcuchu w pamięci bez limitu rozmiaru. Atakujący kontrolujący punkt końcowy lub przechwytujący ruch (MitM) może zwrócić dowolnie duże ciało odpowiedzi, powodując wyczerpanie pamięci.

OpenTelemetry.Exporter.Jaeger w wersji 1.6.0-rc.1 i wcześniejszych może powodować utrzymujące się zużycie pamięci, gdy rozmiar wewnętrznej puli rośnie na podstawie dużego zestawu spanów/tagów i jest ponownie wykorzystywany. Przy danych telemetrycznych o wysokiej kardynalności lub kontrolowanych przez atakującego może to zwiększyć zużycie pamięci i potencjalnie doprowadzić do odmowy usługi. Projekt nie planuje naprawy, ponieważ eksporter został zdeprecjonowany w 2023 roku.

OpenTelemetry dotnet to framework telemetrii dla .NET. W pakietach OpenTelemetry.Api 0.5.0-beta.2 do 1.15.2 oraz OpenTelemetry.Extensions.Propagators 1.3.1 do 1.15.2 implementacja przetwarzania baggage, B3 i Jaeger może alokować nadmierną pamięć podczas parsowania, co może powodować potencjalną odmowę usługi (DoS) w aplikacji konsumującej. Podatność naprawiono w wersji 1.15.3.