Katalog podatności CVE

W FoundationAgents MetaGPT do wersji 0.8.1 wykryto lukę w funkcji decode_image w pliku metagpt/utils/common.py. Manipulacja argumentem img_url_or_b64 prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Projekt został poinformowany o problemie, ale nie odpowiedział.

W parisneo/lollms przed wersją 2.2.0 zidentyfikowano podatność Cross-site Scripting (XSS) w metodzie from_dict klasy AppLollmsMessage. Wynika ona z braku sanityzacji lub kodowania HTML pola content podczas deserializacji danych dostarczonych przez użytkownika, co pozwala na wstrzyknięcie złośliwego HTML lub JavaScript wykonywanego w przeglądarce innego użytkownika. Eksploatacja może prowadzić do przejęcia konta, przejęcia sesji lub ataków robakowych.

W MetaGPT do wersji 0.8.1 funkcja evaluateCode w pliku metagpt/environment/minecraft/mineflayer/index.js (komponent Mineflayer HTTP API) pozwala na przeprowadzenie ataku cross-site request forgery. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.

W 1Panel-dev MaxKB do wersji 2.6.1 wykryto podatność w funkcji execute pliku apps/application/flow/step_node/mcp_node/impl/base_mcp_node.py w komponencie Model Context Protocol Node. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca szybko wydał poprawioną wersję.

W komponencie Phoca Maps w wersjach 5.0.0-6.0.2 odkryto różne podatności typu Stored XSS w logice renderowania map i ikon.

Net::CIDR::Lite w wersjach przed 0.23 dla Perla nieprawidłowo obsługuje adresy IPv4 mapowane na IPv6, co może pozwolić na obejście list kontroli dostępu IP. Funkcja _pack_ipv6() dołącza bajt wartownika z _pack_ipv4(), tworząc 18-bajtową wartość zamiast 17 bajtów, co powoduje błędne wyniki w operacjach maskowania oraz w find()/bin_find().

W Microsoft Edge opartym na Chromium występuje błędne przedstawienie krytycznych informacji w interfejsie użytkownika, co pozwala nieautoryzowanemu atakującemu na przeprowadzenie ataku typu spoofing za pośrednictwem sieci. Podatność dotyczy wprowadzania użytkownika w błąd poprzez zniekształcony interfejs.

W Microsoft Edge (oparty na Chromium) występuje błąd w interfejsie użytkownika, który może prowadzić do błędnej prezentacji krytycznych informacji. Umożliwia to nieautoryzowanemu atakującemu przeprowadzenie ataku typu spoofing w sieci.

W serwerze gRPC frontendu Temporal brakowało interceptora autoryzacji w łańcuchu przetwarzania strumieniowego. Skonfigurowane ClaimMapper i Authorizer były pomijane dla endpointu AdminService/StreamWorkflowReplicationMessages, co pozwalało na dostęp bez uwierzytelnienia.

ClearanceKit w wersjach przed 5.0.4-beta-1f46165 posiada lukę w obsłudze zdarzeń Endpoint Security, gdzie sprawdzana jest tylko ścieżka źródłowa operacji dwuścieżkowych, a ścieżka docelowa jest ignorowana. Pozwala to dowolnemu lokalnemu procesowi obejść ochronę dostępu do plików poprzez operacje rename, link, copyfile, exchangedata lub clone.

W bibliotece LangSmith JavaScript/TypeScript SDK (langsmith) przed wersją 0.5.18 wykryto niekompletną ochronę przed zanieczyszczeniem prototypu. Funkcja baseAssignValue() blokuje jedynie klucz __proto__, ale nie zapobiega modyfikacji prototypu przez konstruktor.prototype, co umożliwia atakującemu kontrolującemu klucze w danych przetwarzanych przez API createAnonymizer() zanieczyszczenie Object.prototype i wpłynięcie na wszystkie obiekty w procesie Node.js.

Podatność w bibliotece Axios przed wersjami 1.15.0 i 0.3.1 umożliwia atak typu gadget-style, w którym zanieczyszczenie prototypu w zależności innej firmy może być wykorzystane do wstrzyknięcia niesanitowanych wartości nagłówków do wychodzących żądań HTTP.

Podatność SSRF w GeoNode w wersjach 4.4.5 i 5.0.2 (oraz wcześniejszych) pozwala uwierzytelnionym atakującym na wysyłanie żądań sieciowych do dowolnych adresów URL poprzez przesłanie spreparowanego adresu URL usługi podczas walidacji formularza. Brak odpowiedniego filtrowania adresów IP w handlerze usług WMS umożliwia skanowanie wewnętrznych zasobów sieciowych, w tym adresów pętli zwrotnej, prywatnych zakresów RFC1918, adresów link-local oraz metadanych usług chmurowych.

Podatność SSRF w GeoNode pozwala uwierzytelnionym użytkownikom z uprawnieniami do przesyłania dokumentów na wysyłanie dowolnych żądań HTTP poprzez podanie złośliwego adresu URL w parametrze doc_url. Atakujący mogą kierować żądania do wewnętrznych zasobów sieciowych, adresów pętli zwrotnej, adresów RFC1918 lub usług metadanych chmury.

Funkcja base64.b64decode() i powiązane przestają dekodować po napotkaniu pierwszego wypełnionego bloku (padded quad), nawet jeśli dane zawierają więcej informacji. Może to prowadzić do akceptacji danych, które inne implementacje przetworzą inaczej. Aby wymusić stricter przetwarzanie, należy użyć parametru validate=True.

W Chamilo LMS przed wersjami 1.11.38 i 2.0.0-RC.3 wiele plików używa funkcji simplexml_load_string() bez ochrony przed XXE. Z flagą LIBXML_NOENT możliwe jest odczytanie dowolnych plików serwera.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 2.0.0-RC.3 każdy uwierzytelniony użytkownik (w tym ROLE_STUDENT) może wyliczyć wszystkich użytkowników platformy i uzyskać dostęp do danych osobowych (e-mail, telefon, role) poprzez GET /api/users, w tym kont administratorów. Podatność została naprawiona w wersji 2.0.0-RC.3.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 1.11.38 endpoint REST API get_user_info_from_username zwraca dane osobowe (e-mail, imię, nazwisko, ID użytkownika, status aktywności) dowolnego użytkownika każdemu uwierzytelnionemu użytkownikowi, w tym studentom. Brak sprawdzania autoryzacji. Podatność została naprawiona w wersji 1.11.38.

Chamilo LMS przed wersją 1.11.38 umożliwia nieuwierzytelniony dostęp do plików szablonów Twig (.tpl) w katalogu /main/template/default/ poprzez żądania HTTP GET. Szablony te ujawniają wewnętrzną logikę aplikacji, nazwy zmiennych, adresy URL punktów końcowych AJAX oraz strukturę panelu administracyjnego.

Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność IDOR w endpoincie /social-network/personal-data/{userId}, pozwalającą każdemu uwierzytelnionemu użytkownikowi uzyskać pełne dane osobowe i tokeny API dowolnych użytkowników poprzez modyfikację parametru userId. Prowadzi to do masowego ujawnienia danych i poświadczeń.