Katalog podatności CVE

Claude SDK dla Pythona w wersjach od 0.86.0 do przed 0.87.0 zawiera podatność w asynchronicznym narzędziu pamięci lokalnego systemu plików. Walidacja ścieżek modelu jest wykonywana, ale zwracana jest nierozwiązana ścieżka, co pozwala lokalnemu atakującemu na użycie dowiązań symbolicznych do ominięcia sandboksowania.

Claude SDK dla TypeScript w wersjach od 0.79.0 do przed 0.81.0 zawiera podatność w narzędziu pamięci lokalnego systemu plików, które sprawdza ścieżki dostarczone przez model za pomocą prefiksu bez dodawania separatora ścieżki, umożliwiając odczyt i zapis poza katalogiem piaskownicy.

W SDK Claude dla Pythona (wersje od 0.86.0 do przed 0.87.0) narzędzie pamięci lokalnego systemu plików tworzy pliki pamięci z uprawnieniami 0o666, co czyni je światłoczytelnymi na systemach ze standardową maską umask i światłozapisywalnymi w środowiskach z permisywną maską, np. w wielu obrazach Docker. Lokalny atakujący na współdzielonym hoście może odczytać stan agenta, a w kontenerach może modyfikować pliki pamięci, wpływając na zachowanie modelu.

FreeScout, system helpdesk oparty na Laravelu, zawiera błąd w funkcji checkIpByMask(), która sprawdza, czy adres IP zawiera znak '/'. Zwykłe adresy IP nigdy nie zawierają '/', więc funkcja zawsze zwraca false, nie sprawdzając zakresów CIDR. Prywatne zakresy 10.0.0.0/8 i 172.16.0.0/12 pozostają niechronione. Podatność dotyczy wersji przed 1.8.211.

FreeScout przed wersją 1.8.211 zawiera podatność na manipulację nagłówkiem Host, która pozwala atakującemu wstrzyknąć dowolną domenę do generowanych absolutnych URL-i. Prowadzi to do ładowania zewnętrznych zasobów i otwartego przekierowania. Łatka dostępna w wersji 1.8.211.

cpp-httplib jest podatne na przemycanie żądań HTTP (HTTP Request Smuggling). Serwer nie konsumuje treści żądania GET, a na połączeniach keep-alive nieprzeczytane bajty są interpretowane jako nowe żądanie.

Nuxt OG Image przed wersją 6.2.5 zawiera podatność w komponencie generowania obrazów przez URI /_og/d/ (oraz /og-image/ w starszych wersjach), która pozwala na wstrzykiwanie dowolnych atrybutów do ciała strony HTML. Łatka dostępna w wersji 6.2.5.

W programie XML Notepad dla systemu Windows przed wersją 2.9.0.21 domyślnie nie wyłączono przetwarzania DTD, co umożliwia automatyczne rozwiązywanie encji zewnętrznych. Atakujący może stworzyć złośliwy plik XML, który ładuje DTD powodujące wysyłanie żądań HTTP/SMB, potencjalnie wyciekając zawartość plików lub przechwytując poświadczenia NTLM. Problem został naprawiony w wersji 2.9.0.21.

W SonicWall Email Security stwierdzono podatność na trwałe XSS z powodu niewłaściwego neutralizowania danych wejściowych użytkownika. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wykonać dowolny kod JavaScript.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność SSRF w funkcji EPG (Electronic Program Guide). Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania mogą przechowywać dowolne adresy URL, które serwer pobiera przy każdej wizycie na stronie EPG. Walidacja URL jest niewystarczająca, co pozwala na skanowanie sieci wewnętrznych i dostęp do usług wewnętrznych.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie User_Location na stronie testIP.php, która odzwierciedla parametr ip bez kodowania wyjściowego, umożliwiając wstrzykiwanie dowolnego HTML i JavaScript. Mimo że strona jest ograniczona do adminów, konfiguracja ciasteczek SameSite=None pozwala na eksploatację międzyoriginową. Brak publicznie dostępnych łat.

WWBN AVideo w wersjach 26.0 i wcześniejszych akceptuje parametr overrideStatus w żądaniu, który pozwala każdemu przesyłającemu ustawić status wideo na dowolny stan, w tym "active" (a). Obejmuje to kontrolowane przez administratora procesy moderacji i wersji roboczych. Metoda setStatus() nie sprawdza, czy wywołujący ma uprawnienia do ustawienia danego statusu.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w pluginie StripeYPT. Punkt końcowy test.php jest dostępny dla każdego zalogowanego użytkownika, a nie tylko administratorów. Z powodu błędu w metodzie retrieveSubscriptions(), która anuluje subskrypcje zamiast je pobierać, każdy uwierzytelniony użytkownik może anulować dowolne subskrypcje Stripe, podając identyfikator subskrypcji.

W AVideo w wersji 26.0 i wcześniejszych wykryto podatność w skrypcie install/deleteSystemdPrivate.php. Z powodu błędu pierwszeństwa operatorów w PHP, warunek !php_sapi_name() === 'cli' zawsze zwraca false, co umożliwia zdalny dostęp bez uwierzytelnienia do skryptu, który usuwa pliki z katalogu tymczasowego i ujawnia jego zawartość.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera lukę w szablonie CreatePlugin dla list.json.php, który nie wymaga uwierzytelnienia ani autoryzacji. Skutkuje to 21 nieuwierzytelnionymi punktami końcowymi ujawniającymi wrażliwe dane, w tym PII użytkowników, logi transakcji płatniczych, adresy IP i nagłówki User-Agent.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność XSS w pluginie YPTSocket. Funkcja połączeń przychodzących przekazuje nazwę dzwoniącego bezpośrednio jako nagłówek w jQuery Toast Plugin, który jest wstawiany jako surowy HTML. Atakujący może ustawić swoją nazwę wyświetlaną jako ładunek XSS, a po zainicjowaniu połączenia kod wykona się w przeglądarce każdego online użytkownika bez jego interakcji.

WWBN AVideo umożliwia administratorom włączanie/wyłączanie wtyczek przez endpoint objects/pluginSwitch.json.php bez walidacji CSRF i z pominięciem walidacji domeny Referer/Origin. Atakujący może wyłączyć krytyczne wtyczki bezpieczeństwa (np. 2FA) poprzez zwabienie administratora na złośliwą stronę.

WWBN AVideo w wersji 26.0 i wcześniejszych pozwala administratorom wysyłać e-maile HTML do wszystkich użytkowników przez endpoint objects/emailAllUsers.json.php. Brak walidacji tokena CSRF, a ciasteczka sesji mają SameSite=None, co umożliwia atak CSRF z innej domeny.

PdfDing przed wersją 1.7.1 nie sprawdza w funkcji check_shared_access_allowed() czy udostępniony PDF jest nieaktywny (wygasł, osiągnął limit wyświetleń) lub usunięty. Pozwala to wcześniej autoryzowanym użytkownikom na dostęp do PDF po wygaśnięciu lub usunięciu.

WWBN AVideo w wersjach 26.0 i wcześniejszych nie koduje wartości konfiguracyjnych wtyczek przed wyświetleniem w panelu administracyjnym. Funkcja jsonToFormElements() w admin/functions.php bezpośrednio interpoluje dane użytkownika do elementów HTML, co pozwala na wstrzyknięcie dowolnego JavaScript.