Katalog podatności CVE

Emissary przed wersją 8.39.0 interpolował wartości linków kontrolowane przez konfigurację bezpośrednio do atrybutów href w szablonach nawigacji Mustache bez walidacji schematu URL. Administrator mogący modyfikować konfigurację navItems mógł wstrzyknąć identyfikatory URI javascript:, umożliwiając przechowywany XSS przeciwko innym uwierzytelnionym użytkownikom interfejsu webowego.

LinkAce w wersjach przed 2.5.4 nie sprawdza prywatnych adresów IP w funkcjach LinkRepository::update i CheckLinksCommand::checkLink. Uwierzytelniony użytkownik może odczytać odpowiedzi z usług wewnętrznych (AWS IMDSv1, metadane chmury, wewnętrzne API), tworząc link z publicznym URL, a następnie zmieniając go na prywatny adres IP; zadanie cron links:check wykonuje żądanie po stronie serwera bez filtrowania IP. Może to ujawnić dane uwierzytelniające chmury, dane usług wewnętrznych i topologię sieci. Podatność naprawiono w wersji 2.5.4.

Nest, framework do budowy skalowalnych aplikacji serwerowych Node.js, w wersjach przed 11.1.18 w metodzie SseStream._transform() wstawia pola message.type i message.id bezpośrednio do protokołu Server-Sent Events bez sanityzacji znaków nowej linii (\r, \n). Ponieważ protokół SSE traktuje te znaki jako separatory pól, atakujący mogący wpływać na te pola może wstrzykiwać dowolne zdarzenia SSE, podszywać się pod typy zdarzeń i psuć stan ponownego połączenia.

W Kedro-Datasets przed wersją 9.3.0 komponent PartitionedDataset jest podatny na path traversal, ponieważ identyfikatory partycji są łączone bezpośrednio ze ścieżką bazową bez walidacji. Złośliwy identyfikator partycji zawierający .. może spowodować zapis plików poza skonfigurowanym katalogiem, potencjalnie nadpisując dowolne pliki w systemie.

W Pi-hole FTL (FTLDNS) w wersjach od 6.0 do przed 6.6 sesje CLI, które powinny być tylko do odczytu, mogą poprzez /api/teleporter importować archiwa Teleporter i nadpisywać konfigurację. Stanowi to obejście autoryzacji, naprawione w wersji 6.6.

text-generation-webui przed wersją 4.3 zawiera nieuwierzytelnioną podatność path traversal w funkcji load_prompt(), umożliwiającą odczyt dowolnego pliku .txt z systemu plików serwera. Zawartość pliku jest zwracana dosłownie w odpowiedzi API.

Podatność w hoście natywnym komunikacji Pega Browser Extension (PBE) dotyczy użytkowników wszystkich wersji Pega Robotic Automation, którzy zainstalowali to rozszerzenie. Złośliwa strona internetowa może zawierać kod atakujący PBE i wyświetlić nieoczekiwane okno komunikatu, jeśli użytkownik na nią przejdzie.

Nokia MantaRay NM jest podatna na podatność Relative Path Traversal z powodu nieprawidłowej walidacji parametru wejściowego w systemie plików w aplikacji Software Manager.

W platformie runZero rozwiązano problem, który mógł pozwolić na aktualizację poświadczeń i użycie ich do zadania spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).

W runZero Explorer występuje problem nieprawidłowej autoryzacji (CWE-863), który może umożliwić dostęp do grup Explorer spoza autoryzowanego zakresu organizacji. Podatność została naprawiona w wersji 4.0.260208.0.

W platformie runZero rozwiązano problem, który mógł pozwolić autoryzowanemu użytkownikowi na przeglądanie jawnych sekretów dla podzbioru typów poświadczeń i pól. Jest to instancja CWE-522: Niewystarczająca ochrona poświadczeń, o szacowanym wyniku CVSS 5.3 (średni). Podatność została naprawiona w wersji 4.0.260204.2.

W runZero Platform rozwiązano problem, który pozwalał administratorom na tworzenie i aktualizowanie użytkowników poza ich autoryzowanym zakresem organizacyjnym. Jest to przykład CWE-863: Nieprawidłowa autoryzacja, o szacowanej ocenie CVSS 5.8 (średnia). Problem naprawiono w wersji 4.0.260203.0.

W platformie runZero rozwiązano problem, który mógł uniemożliwić wyzwalanie limitów czasu bezczynności sesji z powodu automatycznego przeładowywania strony. Jest to instancja CWE-613: Niewystarczająca kontrola zasobów po wygaśnięciu lub zwolnieniu, o szacowanym wyniku CVSS 5.9 (średni).

W platformie runZero rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o remediacji i zasobach spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).

W platformie runZero wykryto wektor ataku SQL Injection związany z zapisanymi zapytaniami (wprowadzony w wersji 4.0.260123.0). Jest to instancja CWE-89: Niewłaściwa neutralizacja specjalnych elementów w poleceniach SQL, o szacowanym wyniku CVSS 6.4 (średni). Podatność naprawiono w wersji 4.0.260123.1.

text-generation-webui przed wersją 4.3 zawiera nieuwierzytelnioną lukę path traversal w funkcji load_preset(), która pozwala na odczyt dowolnego pliku .yaml z systemu plików serwera. Sparsowane pary klucz-wartość YAML (w tym hasła, klucze API, ciągi połączeń) są zwracane w odpowiedzi API. Luka została naprawiona w wersji 4.3.

text-generation-webui przed wersją 4.3 ma nieuwierzytelnioną podatność path traversal w load_template(), pozwalającą na odczyt plików z rozszerzeniami .jinja, .jinja2, .yaml lub .yml z dowolnego miejsca w systemie plików serwera. Dla plików .jinja treść jest zwracana dosłownie, a dla .yaml wyodrębniany jest sparsowany klucz. Problem naprawiono w wersji 4.3.

W go-ipld-prime przed wersją 0.22.0 dekoder DAG-CBOR używa rozmiarów kolekcji zadeklarowanych w nagłówkach CBOR jako wskazówek prealokacji pamięci, bez ograniczania ich rozmiaru. Małe ładunki mogą powodować nadmierną alokację pamięci.

W Django w wersjach 6.0 przed 6.0.4, 5.2 przed 5.2.13 oraz 4.2 przed 4.2.30 komponent MultiPartParser pozwala zdalnym atakującym pogorszyć wydajność poprzez przesyłanie plików multipart z nagłówkiem Content-Transfer-Encoding: base64 zawierającym nadmiarowe białe znaki. Starsze, niewspierane serie Django również mogą być podatne.

Wtyczka Ocean Extra dla WordPressa (do wersji 2.5.3) zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.