Katalog podatności CVE

W serwerze Netopeer2 niskouprzywilejowany uwierzytelniony użytkownik NETCONF może zdalnie spowodować awarię netopeer2-server, wysyłając RPC get z nieprawidłowym filtrem subtree zawierającym specyfikatory formatu. W src/log.c sformatowany bufor jest przekazywany do np2log() jako ciąg formatujący, co powoduje, że vsyslog() interpretuje sekwencje procentowe kontrolowane przez atakującego. Potwierdzono odmowę usługi na wersji 2.8.7; nie potwierdzono niezawodnego zdalnego wykonania kodu.

W narzędziu dotnet refitter przed wersją 2.1.1 biblioteka NJsonSchema jest wywoływana z niebezpiecznymi domyślnymi ustawieniami rozwiązywania $ref podczas generowania interfejsów Refit z opisów OpenAPI kontrolowanych przez atakującego. Zdalne odwołania http(s) powodują żądania z hosta dewelopera lub CI i wstawianie niezaufanej treści do wygenerowanego wyniku, a bezwzględne ścieżki lokalne i przejścia ../ pozwalają na ujawnienie dowolnych plików lokalnych. Łańcuch kończy się na SSRF, zdalnym i lokalnym włączaniu plików, bez wykonania kodu.

W bibliotece LightSAML przed wersjami 4.7.1 i 5.0.1 występuje niezgodność z xmlseclibs co do tego, którą asercję obejmuje podpis SAML. XMLSecurityDSig::validateReference() usuwa podpis z współdzielonego DOM, ale processRefNode() rozwiązuje Reference URI="#id" w całym dokumencie przez XPath //*[@Id] i bierze item(0), co nie musi być asercją, której dane LightSAML wykorzystuje. Atakujący z przechwyconą prawdziwie podpisaną asercją może umieścić jej bajty bez podpisu w samlp:Extensions i przedstawić sfałszowaną asercję z tym samym ID i skopiowanym podpisem, co umożliwia obejście uwierzytelniania lub eskalację uprawnień.

W politykach Kubewarden w wersjach przed 2.1.2 polityka trusted-repos-policy porównuje nazwę hosta rejestru obrazu z listami odrzuconych i dozwolonych w sposób wrażliwy na wielkość liter, mimo że nazwy DNS rejestrów są niewrażliwe na wielkość liter. Obraz z wielkimi lub mieszanymi literami w nazwie hosta rejestru może ominąć regułę odrzucenia dla równoważnego hosta zapisanego małymi literami, co powoduje, że polityka dopuszcza zasób, którego środowisko uruchomieniowe pobiera ten sam zabroniony obraz.

W serwerze ActivityPub dla Ghost w wersjach od 1.0.0 do 1.2.6 procedura obsługi Undo pozwala zdalnemu serwerowi federacyjnemu spowodować, że usługa działa na obserwacji (follow) lub repostowaniu (repost) tak, jakby aktywność pochodziła z innego konta. Umożliwia to usunięcie istniejącej relacji obserwacji lub repostu należącego do innego konta bez jego udziału.

Aplikacja Element Call w wersji standalone SPA (od 0.16.0 do 0.20.3) zapisuje w logach parametr zapytania URL o nazwie `password`. Gdy użytkownik zgłasza raport błędu (rageshake), logi te są udostępniane operatorowi aplikacji, co może ujawnić współdzielone hasło szyfrujące rozmowę.

W LubeLogger przed wersją 1.6.8 funkcja `PrintRecordStickers` sprawdza uprawnienia do podanego `vehicleId`, ale pobiera rekordy o identyfikatorach `recordIds` bez weryfikacji, czy należą one do autoryzowanego pojazdu. Uwierzytelniony użytkownik może w ten sposób uzyskać rekordy innych użytkowników z wielu modułów serwisu.

W niezałatanych migawkach repozytorium uhttpd funkcja `client_parse_header()` porównuje wartość nagłówka `Transfer-Encoding` z `chunked` z rozróżnianiem wielkości liter, mimo że tokeny kodowania transferu są niewrażliwe na wielkość liter. Mieszana wielkość liter jest akceptowana bez włączenia obsługi chunked, co na połączeniu keep-alive pozwala na przemyt żądań HTTP.

W niezałatanych migawkach repozytorium uhttpd funkcja `uh_ubus_data_send()` może desynchronizować granice żądań HTTP, gdy ciało JSON żądania `POST /ubus` przychodzi w wielu segmentach TCP. Nieprzeczytany sufiks ciała jest następnie przetwarzany jako nowe żądanie na tym samym połączeniu keep-alive.

uhttpd to mały serwer HTTP. W niezałatanych migawkach repozytorium funkcja client_poll_post_data() w client.c przetwarza nieprawidłową linię długości fragmentu (np. rozmiar przekraczający INT_MAX), a następnie czyści r->content_length i r->transfer_chunked bez opróżnienia pozostałej treści lub ustawienia request.connection_close. Kontrolowane przez atakującego bajty treści wyrównane jako kompletne żądanie HTTP są następnie przetwarzane jako kolejne żądanie w tym samym połączeniu, powodując przemyt żądań HTTP (HTTP request smuggling) i desynchronizację granic żądań.

W LORIS w wersjach od 22.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 API modułu `imaging_browser` pozwala na edycję danych obrazowania bez sprawdzania uprawnień edycji obowiązujących w interfejsie Imaging Browser. Uwierzytelniony wywołujący API może modyfikować dane bez wymaganej autoryzacji.

W LORIS w wersjach od 16.0.0 przed 27.0.4 oraz od 28.0.0 przed 28.0.2 backend `issue_tracker` nieprawidłowo weryfikuje uprawnienia edycji, mimo że interfejs ogranicza edytowane zgłoszenia. Uwierzytelniony użytkownik może zmieniać zgłoszenia spoza swojego zakresu uprawnień.

Biblioteka fickling w wersjach do 0.1.12 błędnie uznaje za bezpieczne wywołania funkcji pochodzących z modułów biblioteki standardowej Pythona, bez analizy ich rzeczywistego zachowania. W efekcie mechanizm check_safety() zwraca werdykt LIKELY_SAFE dla złośliwych payloadów pickle, które poprzez takie funkcje (np. dataclasses._create_fn, mailcap.findmatch, readline.write_history_file) prowadzą do wykonania dowolnego kodu lub zapisu plików. Ponieważ fickling.load() wykorzystuje ten werdykt jako bramkę bezpieczeństwa przed pickle.loads(), payload zostaje zdeserializowany i wykonany z uprawnieniami procesu ofiary.

Podatność w bibliotece fickling (do wersji 0.1.12) polega na tym, że operacja STACK_GLOBAL z kropkowaną nazwą __qualname__ (np. "Values.read_file") jest rozwiązywana przez pickle.find_class do dowolnej ścieżki atrybutu, a nie do funkcji na poziomie modułu. Fickling śledzi tylko pierwszy człon nazwy i wyświetla operację jako zwykły import, przez co końcowe odwołanie do atrybutu nie jest analizowane jako wywołanie. W efekcie analiza OvertlyBadEvals nie wykrywa zagrożenia, a check_safety() zwraca LIKELY_SAFE z zerową liczbą ustaleń, co pozwala atakującemu na osiągnięcie metody klasy wykonującej kod (optparse.Values.read_file uruchamia exec(open(filename).read(), vars)) i uzyskanie dowolnego wykonania kodu przy ładowaniu spreparowanego pickla przez fickling.load().

Wtyczka WordPress PDF Invoices & Packing Slips for WooCommerce w wersjach od 5.16.2 do 5.16.5 nie escapuje poprawnie kilku pól zamówienia dostarczanych przez klienta (adresy rozliczeniowe i wysyłkowe oraz notatka do zamówienia) przed wyświetleniem ich w generowanych dokumentach. Umożliwia to niezalogowanym użytkownikom składającym zamówienia jako gość zapisanie złośliwego skryptu, który wykonuje się, gdy administrator sklepu otworzy dokument, co prowadzi do przechowywanego XSS.

Shopper to headless panel administracyjny e-commerce. W wersji przed 2.10.1 trasa szczegółów klienta /cpanel/customers/{user}/show sprawdza uprawnienie read_customers, ale wyszukuje dowolny identyfikator użytkownika bez zastosowania zakresu roli customers używanego na liście. Uwierzytelniony personel z access_dashboard i read_customers może zmienić ID użytkownika, aby uzyskać profile administratorów lub personelu, mimo braku view_users. Luka ujawnia dane profilu i umożliwia enumerację ID użytkowników; w połączeniu z delete_customers może umożliwić destrukcyjne działania wobec kont niebędących klientami. Problem naprawiono w wersji 2.10.1.

Podatność typu stored XSS w panelu administracyjnym Shopper pozwala uwierzytelnionemu pracownikowi z uprawnieniami do przesyłania treści na zapisanie wykonywalnych plików HTML lub SVG, które są serwowane bez nagłówka Content-Disposition i CSP. Gdy administrator otworzy taki plik, złośliwy skrypt wykonuje się w jego sesji i może utworzyć nowe konto administratora z wybranym hasłem. Problem dotyczy wersji 2.0.0–2.10.0 oraz 3.0.0-beta.1 i beta.2; naprawiono w 2.10.1 i 3.0.0-beta.3.

W Shopper przed wersją 2.10.0 komponent Livewire Variants w packages/admin/src/Livewire/Components/Products/Form/Variants.php udostępnia DeleteAction i DeleteBulkAction bez autoryzacji po stronie serwera. Uwierzytelniony pracownik z uprawnieniem edit_products może uzyskać podpisany stan komponentu i trwale usuwać pojedyncze lub wiele wariantów bez uprawnienia delete_product_variants. Może to zniszczyć katalog produktów i zakłócić działanie sklepu, koszyka i finalizacji zamówień. Problem naprawiono w wersji 2.10.0.

W jack przed wersją 0.1.0 plik middleware/handle-error.ts serializuje surowe obiekty FetchError do odpowiedzi HTTP, a lib/servers/base.ts dołącza nagłówki żądań wychodzących przy błędach odpowiedzi上游 i walidacji schematu. Publiczne pole extras w lib/errors/FetchError.ts pozostaje wyliczalne i jest emitowane przez serializację JSON, ujawniając wewnętrzne klucze X-Api-Key Radarr/Sonarr oraz nagłówki łączników, takie jak CF-Access-Client-Secret. Endpointy GET /peer/items/:id, GET /servers/health i GET /torznab/download/:id mogą ujawnić te sekrety. Problem naprawiono w wersji 0.1.0.

W Dream Displays od wersji 1.5.0 do 1.8.2 dane wejściowe kontrolowane przez użytkownika mogą wpływać na argumenty przekazywane do yt-dlp w określonych warunkach. Niezamierzone opcje wiersza poleceń mogą zostać zinterpretowane przez yt-dlp, potencjalnie zmieniając jego zachowanie. Problem naprawiono w wersji 1.8.2.