Katalog podatności CVE

PingTools Network Utilities 4.64 zawiera podatność wstrzyknięcia poleceń systemu operacyjnego w polu Host usługi Watcher ICMP. Aplikacja dołącza kontrolowaną przez atakującego wartość Host do polecenia ping, serializuje je jako pojedynczy ciąg i wykonuje przez sh -c. Lokalny atakujący mogący utworzyć lub zmodyfikować usługę Watcher może wstrzyknąć składnię powłoki i wykonać dowolne polecenia z UID aplikacji PingTools i przyznanymi jej uprawnieniami Android.

Endpoint SCIM nie weryfikuje wystarczająco autoryzacji dla użytkowników sfederowanych podczas operacji na lokalnym magazynie użytkowników. Gdy lokalny i sfederowany użytkownik mają tę samą nazwę użytkownika, sfederowany użytkownik może wykonywać dowolne operacje na kontach lokalnych, co może prowadzić do przejęcia konta.

Nieograniczona rekurencja w logice dekodowania BSON w sterowniku MongoDB dla PHP może pozwolić nieuwierzytelnionej stronie dostarczającej spreparowane dane binarne na wyczerpanie stosu procesu. Może to spowodować nieoczekiwane zakończenie procesu PHP korzystającego ze sterownika, prowadząc do utraty dostępności.

Picomatch do wersji 4.0.7 zawiera podatność na odmowę usługi przez wyrażenia regularne, pozwalającą atakującym zablokować pętlę zdarzeń poprzez dostarczenie wzorców extglob z pojedynczą gałęzią powtórzeń. Wzorce takie jak +(*) lub +(*a) są pomijane przez analyzeRepeatedExtglob w lib/parse.js, powodując wykładnicze cofanie i odmowę usługi dla aplikacji Node.js.

@rvf/set-get przed wersją 7.0.4 zawiera podatność na zanieczyszczenie prototypu w setPath, pozwalającą nieuwierzytelnionym atakującym nadpisać właściwości współdzielonych funkcji wbudowanych poprzez odziedziczone metody Object.prototype. Atakujący mogą przesłać pole formularza o nazwie hasOwnProperty.call poprzez parsowanie formularzy @rvf/core, aby zastąpić współdzieloną właściwość funkcji, powodując odmowę usługi w całym procesie do momentu restartu.

Biblioteka crewai-tools do wersji 1.15.28 zawiera podatność SSRF w narzędziu SeleniumScrapingTool, ponieważ nie stosuje ona sprawdzenia validate_url dla adresów prywatnych. Atakujący mogąc wpływać na dane wejściowe narzędzia agenta (np. przez prompt injection) mogą skierować headless Chrome do adresów loopback, RFC1918 lub metadanych chmury, ujawniając wewnętrzne dane i poświadczenia chmurowe.

sqlparse do wersji 0.6.0 zawiera podatność wstrzyknięcia kodu PHP, która pozwala atakującym wstrzyknąć wyrażenia PHP poprzez dostarczenie tekstu SQL zawierającego nieescapowane znaki dolara. Atakujący mogą osadzić sekwencje ${expr} lub {${expr}}, które OutputPHPFilter umieszcza w ciągach znaków w podwójnych cudzysłowach, wykonując dowolny kod PHP przy uruchomieniu wygenerowanego fragmentu.

NocoBase @nocobase/plugin-collection-sql do wersji 2.2.28 zawiera podatność wstrzyknięcia SQL, która pozwala uprzywilejowanym użytkownikom przechowywać niezwalidowany SQL poprzez obejście checkSQL() w akcji sqlCollection:setFields. Atakujący posiadający snippet collection-sql może zastąpić łagodne zapytanie kolekcji niebezpiecznymi instrukcjami wykonywanymi przy przeładowaniu, odczytując hasła z pg_shadow lub wywołując pg_read_file.

Semaphore UI do wersji 2.19.16 zawiera podatność zdalnego wykonania kodu, która pozwala użytkownikom z rolą task_runner nadpisać chronione zmienne Ansible poprzez dostarczenie dowolnych kluczy w JSON środowiska zadania. Atakujący mogą wysłać zadania ustawiające ansible_ssh_common_args z ProxyCommand lub ansible_connection=local, aby wykonać polecenia jako użytkownik serwera Semaphore, ujawniając klucze szyfrujące, klucze SSH i przechowywane sekrety.

docTR do wersji 1.1.0 zawiera podatność niebezpiecznej deserializacji w load_pretrained_params(), która ładuje punkty kontrolne za pomocą torch.load bez weights_only=True. Atakujący kontrolujący lokalny lub dostarczony przez URL punkt kontrolny może osadzić złośliwy ładunek pickle, aby wykonać kod Python z uprawnieniami procesu ładującego w wersjach torch przed 2.6.

Wykryto podatność w vraj404 Criminal-Management-System do wersji 2808d057e7ddc5295519a487365b0cacfd0ba8c4. Dotyczy ona funkcji mysqli_error w pliku Officers/addOfficer.php w komponencie formularza rejestracji funkcjonariusza; manipulacja argumentami offName/offID/ID/contact/gender/weapon/role prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być użyty.

Wykryto podatność bezpieczeństwa w vraj404 Criminal-Management-System do wersji 2808d057e7ddc5295519a487365b0cacfd0ba8c4. Dotyczy ona funkcji mysqli_query w pliku Officers/searchOff.php w komponencie strony wyszukiwania; manipulacja argumentem Search prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty.

CLI Bridge zapewnia dostęp do systemu plików w katalogu głównym obszaru roboczego. Przed wersją 0.0.2 wiszący dowiązanie symboliczne wskazujące poza katalog główny obszaru roboczego omija resolveSafePath, gdy fs.realpathSync zgłasza ENOENT dla nieistniejącego celu. Fallback rozwiązuje tylko katalog nadrzędny i zwraca ścieżkę dowiązania jako bezpieczną, więc write_file podąża za dowiązaniem i może zapisywać dowolne pliki poza katalogiem głównym obszaru roboczego. Problem naprawiono w wersji 0.0.2.

Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność braku kontroli autoryzacji w podzasobach zadań engine-rest. Uwierzytelniony atakujący bez przyznanych uprawnień może uzyskać dostęp do komentarzy i załączników zadań oraz je usuwać, wywołując pojedyncze punkty końcowe odczytu i usuwania, które nie mają filtrów autoryzacji stosowanych w odpowiadających im punktach końcowych listy.

Nieprawidłowe domyślne uprawnienia w instalatorze Windows Progressive Robot hMailServer 6.0.0 do 6.3.6 pozwalają lokalnemu uwierzytelnionemu użytkownikowi na wykonanie kodu jako wysokouprzywilejowane konta serwera pocztowego, gdy produkt jest zainstalowany w folderze, którego uprawnienia są dziedziczone z zapisywalnego katalogu nadrzędnego, takiego jak katalog główny dysku. Instalator umieszcza programy serwera w folderze Bin folderu programu i nie nadaje ani folderowi programu, ani Bin własnych uprawnień, więc dziedziczą one uprawnienia katalogu nadrzędnego. W domyślnej lokalizacji Program Files zwykli użytkownicy otrzymują tylko odczyt i wykonanie i konfiguracja nie jest zagrożona; jednak instalator akceptuje dowolną ścieżkę bez ostrzeżenia, a folder programu w katalogu głównym wolumenu NTFS dziedziczy uprawnienia zapisu dla szerokiej grupy - Authenticated Users (Modyfikuj) w kliencie Windows, Users (tworzenie plików i folderów) w Windows Server. Lokalny użytkownik bez uprawnień administratora może następnie zmienić lub zastąpić program usługi, który działa jako LocalSystem lub jako konto wirtualne usługi, albo programy uruchamiane z podniesionymi uprawnieniami przez administratora z Bin podczas instalacji i konserwacji, albo umieścić bibliotekę w Bin, którą te programy ładują zamiast kopii systemowej, uzyskując wykonanie kodu z tymi uprawnieniami. Domyślna instalacja w Program Files nie jest zagrożona.

Podatność w hMailServer (wersje 6.0.0–6.3.6) polega na braku walidacji nagłówka X-hMailServer-LoopCount, który służy do ograniczania pętli przekazywania i autoresponderów. Atakujący może ustawić wartość ujemną (lub powodującą przepełnienie), co znosi limit i prowadzi do ogromnej liczby iteracji, wypełnienia kolejki i dysku oraz zatrzymania usługi pocztowej. Dodatkowo akcja Sieve notify nie miała żadnego limitu, a możliwość edycji nagłówka przez Sieve lub regułę Set header pozwalała na reset licznika.

W hMailServer w wersjach 6.0.0–6.3.6 występuje błąd polegający na podpisywaniu kluczem DKIM hostowanej domeny każdej wiadomości już przy pierwszym przejściu, na podstawie nagłówka From, bez weryfikacji pochodzenia ani uwierzytelnienia nadawcy. Umożliwia to zdalnemu nieuwierzytelnionemu atakującemu wysłanie wiadomości z fałszywym adresem From w hostowanej domenie, która zostanie podpisana prawidłowym kluczem DKIM tej domeny i przy dalszym przekazaniu (forward, alias, lista, reguła) przejdzie weryfikację DKIM i DMARC u odbiorców zewnętrznych.

W systemie Criminal Management System (vraj404) wykryto podatność SQL injection w pliku home.php, w formularzu zgłoszeń. Manipulacja argumentami id/name/offName/crime/dob/arrDate/crimeDate/sex/address/folder/more pozwala na wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W pliku search.php systemu Criminal-Management-System (vraj404) występuje podatność SQL injection poprzez manipulację argumentem Search. Atak można wykonać zdalnie, a exploit został publicznie udostępniony.

W funkcji move_uploaded_file w pliku home.php systemu Criminal-Management-System (vraj404) występuje podatność nieograniczonego przesyłania plików poprzez manipulację argumentem my_img. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.