Katalog podatności CVE

W Shopify App (silnik Rails) od wersji 22.1.0 do 23.0.3 kontrolery uwierzytelniane przez token-exchange mogą ujawniać kontekst shop pochodzący z żądania zamiast tożsamości z zweryfikowanego tokenu ID Shopify lub aktywnej sesji. current_shopify_domain może rozwiązać się do sanityzowanego parametru zapytania shop, przez co żądanie uwierzytelnione dla jednego sklepu może być traktowane jako dotyczące innego sklepu.

Podatność w bibliotece secp256k1-native (natywna implementacja C dla Ruby) polega na tym, że kompilatory GCC 14.3.0, 15.1.0 i 15.2.0 przy optymalizacji -O2 rekonstruują bezgałęziowe selekcje w instrukcje warunkowe (je/jne), co powoduje wyciek informacji o tajnym skalarze poprzez pomiar czasu. Problem dotyczy ścieżki natywnej, a nie czysto rubinowej.

W bibliotece i18next w wersjach przed 26.3.4 funkcja deepExtend w src/utils.js sprawdza istnienie właściwości operatorem in i rekurencyjnie wchodzi w odziedziczone wbudowane obiekty osiągalne przez Object.prototype. Jeśli aplikacja jawnie przekaże dane zasobów kontrolowane przez atakującego do addResourceBundle z opcjami deep: true i overwrite: true, klucze takie jak hasOwnProperty, toString czy valueOf mogą wybrać współdzielone odziedziczone funkcje wbudowane, a zagnieżdżona wartość może nadpisać właściwość tych obiektów w całym procesie. Przykładowo uczynienie Object.prototype.hasOwnProperty.call niewoływalnym powoduje, że kolejne użycia, w tym wewnętrzne mechanizmy i18next, rzucają TypeError, co prowadzi do nieodwracalnej odmowy usługi i ograniczonego wpływu na integralność.

W narzędziu Coop w wersjach przed 1.0.2 funkcje addAccessibleQueuesForUser i removeAccessibleQueuesForUser przyjmowały dowolne wartości queueId i userId bez ograniczania ich do organizacji. Uwierzytelniony użytkownik należący do jednej organizacji i posiadający uprawnienie do edycji kolejek MRT mógł przyznać lub odebrać użytkownikom innej organizacji dostęp do kolejek ręcznej moderacji. Istniejąca kontrola uprawnień do edycji kolejek nie wiązała podanych identyfikatorów z organizacją wywołującego. Atakujący nie mógł odczytać kolejek ani zadań innej organizacji, więc luka nie ujawniała danych poufnych.

Coop to narzędzie open source do recenzji i moderacji od ROOST. Przed wersją 1.0.2 funkcja `resetPasswordForToken` aktualizuje hasło bez unieważnienia sesji przechowywanych w bazie danych. Atakujący, który pozyskał hasło i ustanowił sesję, zachowuje dostęp nawet po zresetowaniu hasła przez prawowitego użytkownika, aż do wygaśnięcia sesji po maksymalnie 30 dniach.

W narzędziu Coop w wersjach przed 1.0.0 operacja GraphQL Mutation.createOrg pozwala nieuwierzytelnionemu podmiotowi tworzyć dowolne organizacje na publicznie dostępnej instancji. Poza zaśmiecaniem logów brak ograniczania szybkości może potencjalnie doprowadzić do wyczerpania bazy danych. Uruchomienie usługi w uwierzytelnionej sieci prywatnej uniemożliwia zewnętrznym podmiotom bezpośrednie odpytywanie API GraphQL.

W Coop przed wersją 1.0.2 callback weryfikacji strategii SAML wyszukiwał uwierzytelnionego użytkownika wyłącznie po adresie e-mail przez kyselyUserFindByEmail, bez powiązania z organizacją w /saml/login/:orgId/callback. Atakujący administrujący organizacją i kontrolujący klucz podpisujący jej IdP może przesłać asercję dla e-maila ofiary do callbacku innej organizacji, jeśli docelowa organizacja zarejestrowała ten sam certyfikat podpisujący.

W Coop przed wersją 1.0.0 nieuwierzytelniony podmiot może odpytać Query.allOrgs przez /api/v1/graphql na publicznie dostępnym wdrożeniu i uzyskać dane wszystkich organizacji, w tym identyfikatory, nazwy, adresy e-mail, adresy URL stron i adresy e-mail alertów on-call. Pole usersWhoCanReviewEveryQueue ujawnia także identyfikatory, adresy e-mail, imiona i nazwiska, role, uprawnienia i daty utworzenia użytkowników dokonujących przeglądu.

W OpenSearch SQL w linii 2.x od 2.8.0.0 do 2.19.6.0 oraz w linii 3.x przed 3.7.0.0 zdalny uwierzytelniony użytkownik z podstawowymi uprawnieniami odczytu/wyszukiwania może podać spreparowany parametr cursor do endpointu plugins/sql i wywołać niebezpieczną deserializację niezaufanych danych, prowadzącą do wykonania dowolnego kodu na serwerze.

W TAKO AI Agent for Okta przed wersją 3.0.1-beta każdy uwierzytelniony użytkownik z ważnym ciasteczkiem fctr_session może przesłać dowolny kod Pythona w polu script_code endpointu POST /api/react/execute-script bez uprawnień administratora. Kod jest zapisywany z skip_discovery=True, omija walidację validate_generated_code (np. przez dynamiczne łańcuchy getattr przez __builtins__) i jest wykonywany przez asyncio.create_subprocess_exec() jako użytkownik procesu, domyślnie root w kontenerze.

W TAKO AI Agent for Okta przed wersją 3.0.1-beta endpoint POST /api/auth/setup pozwala nieuwierzytelnionemu atakującemu sieciowemu utworzyć pierwsze konto administratora przed zakończeniem konfiguracji przez właściciela. Funkcja initial_setup sprawdza tylko flagę is_setup i nie wymaga uwierzytelnienia, tokenu bootstrap ani ograniczeń sieciowych, a domyślna konfiguracja nasłuchuje na 0.0.0.0:8001.

W Refitter przed wersją 2.1.2 nazwa parametru nagłówka w parameters[].name z in: header jest emitowana dosłownie do atrybutu [Header("<name>")] w Refit bez escapowania cudzysłowów. Spreparowany opis OpenAPI może przejść domyślną walidację bez --skip-validation i wyłamać się z pozycji listy parametrów, generując poprawny C# z klasą pliku i metodą [ModuleInitializer], która wykonuje kod atakującego przy załadowaniu skompilowanego zestawu.

Narzędzie Refitter przed wersją 2.1.2 wstawia klucze obiektu `paths` z OpenAPI bezpośrednio do atrybutów tras Refit, bez escapowania cudzysłowów. Złośliwie spreparowana ścieżka może zamknąć atrybut, interfejs i przestrzeń nazw oraz wstrzyknąć klasę z metodą `[ModuleInitializer]`, która wykonuje kod atakującego przy załadowaniu wygenerowanego zestawu. Podatność naprawiono w wersji 2.1.2.

Refitter przed wersją 2.1.2 wstawia klucze content-type z map `requestBody/responses` bezpośrednio do atrybutu `[Headers(...)]` Refit, bez escapowania cudzysłowów. Spreparowany klucz content-type w opisie OpenAPI może zamknąć atrybut, interfejs i przestrzeń nazw oraz wstrzyknąć klasę z metodą `[ModuleInitializer]`, która wykonuje kod atakującego przy załadowaniu zestawu. Podatność naprawiono w wersji 2.1.2.

Broker MQTT Aedes przed wersją 1.1.1 nie ogranicza głębokości ani złożoności tematów przed przekazaniem ich przez `mqemitter` do `qlobber`. Wiadomość `PUBLISH`, `SUBSCRIBE` lub zarejestrowany `Will` z nadmiernie głębokim tematem wywołuje nieobsłużony wyjątek `too many words`, który ucieka do pętli zdarzeń Node.js i kończy proces brokera. Podatność naprawiono w wersji 1.1.1.

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na podniesienie uprawnień do poziomu administratora. Ograniczenie funkcji administracyjnych zmniejsza ekspozycję, ale nie stanowi pełnego rozwiązania. Podatność naprawiono w wersji 7.3.0.

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi na przeglądanie i edycję zasobu należącego do innego użytkownika bez autoryzacji. Ścieżka edycji/aktualizacji klucza API w `ApiKeyController` wybiera rekordy po identyfikatorze bez sprawdzenia zgodności `user_id` z wywołującym. Podatność naprawiono w wersji 7.3.0.

W bibliotece sevenz-rust2 w wersjach przed 0.21.1 rozpakowanie archiwum 7z dostarczonego przez atakującego może zapisywać lub nadpisywać pliki poza katalogiem docelowym. W src/util/decompress.rs funkcja decompress_impl oblicza każdą ścieżkę docelową przez dest.join(entry.name()) bez normalizacji nazwy wpisu UTF-16 ani weryfikacji zawierania, a default_entry_extract_fn zapisuje do niej przez File::create. Komponenty katalogu nadrzędnego pozwalają uciec z katalogu rozpakowywania, a bezwzględna ścieżka wpisu powoduje całkowite odrzucenie katalogu docelowego. Wszystkie wygodne punkty wejścia decompress, decompress_file, decompress_with_password i decompress_file_with_password używają tej domyślnej ścieżki. Nadpisanie zapisywalnych plików konfiguracyjnych, startowych, cron lub build może prowadzić do wykonania kodu lub trwałego utrzymania dostępu.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE. Brak dalszych informacji o podatności.

W platformie OpenRemote przed wersją 1.26.0 API eksportu datapointów konstruuje zapytanie SQL CSV crosstab poprzez konkatenację nazwy assetu i nazwy atrybutu, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie metaznaków SQL. Poprzez żądanie eksportu crosstab możliwe jest zwrócenie wyników wstrzykniętego SELECT w odpowiedzi ZIP/CSV, co umożliwia eksfiltrację danych z bazy. W środowisku wielodostępnym może to ujawnić dane innych najemców.