Katalog podatności CVE

undici w wersjach 4.0.0-6.29.0, 7.0.0-7.30.0 i 8.0.0-8.12.1 przekazuje opcje konstruktora Agent przez głębokie klonowanie oparte na JSON przed przekazaniem do puli per-origin. Ponieważ JSON nie reprezentuje funkcji, opcja tls z callbackiem checkServerIdentity jest po cichu usuwana, przez co peer TLS, którego certyfikat miał być odrzucony przez niestandardowy callback, ale przechodzi domyślne sprawdzenia Node, jest akceptowany.

Wada w wewnętrznym shimie WebAssembly (WASM) używanym przez operator Kuadrant. Podczas generowania predykatu CEL decydującego o uruchomieniu uwierzytelniania i rate limitingu na poziomie Gateway, shim nie escapuje poprawnie wartości z pól dopasowania HTTPRoute. Użytkownik mogący tworzyć lub modyfikować HTTPRoute podłączony do współdzielonego Gateway może podać spreparowaną wartość path, header lub query, powodując pominięcie tych sprawdzeń, a żądanie jest nadal przekazywane do backendu trasy.

HtmlUnit Neko to adaptacja NekoHTML dla HtmlUnit. Przed wersją 5.4.0 HTMLWriterFilter zapisuje zdekodowaną treść TEXTAREA i TITLE bez kodowania encji, ponieważ oba elementy są traktowane jako specjalna treść. W cyklu parsowania i serializacji odwołania do encji wewnątrz tych elementów są dekodowane przez parser, a następnie emitowane jako surowy znacznik, zmieniając semantykę dokumentu.

react/http to sterowana zdarzeniami, strumieniowa implementacja klienta i serwera HTTP dla ReactPHP. Od wersji 1.0.0 do 1.11.1 React\Http\Browser używa ClientRequestStream::handleData() do dopisywania bajtów nagłówków odpowiedzi do wewnętrznego bufora bez limitu rozmiaru. Zdalny serwer może wysłać poprawną linię statusu i częściowy nagłówek, wstrzymać terminator \r\n\r\n lub \n\n i kontynuować strumieniowanie danych, przez co bufor rośnie przez cały czas trwania połączenia.

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.

Biblioteka bincookie (parser plików binarycookies) przed wersją 0.1.9 zawiera błąd przepełnienia bufora w funkcji bincookie_init_file(). Funkcja alokuje bufor na podstawie rzeczywistego rozmiaru pliku, ale jako granicę pętli przy zamianie bajtów w page_sizes używa pola num_pages kontrolowanego przez plik, co pozwala na odczyt i zapis poza zaalokowaną pamięcią. Dodatkowo niezwalidowane rozmiary stron i cookie_offsets mogą powodować dalsze dostępy poza zakresem.

Wtyczka Discourse ActivityPub przed commitem 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5 nie weryfikuje wystarczająco, czy aktor uwierzytelniony podpisanym żądaniem jest tożsamy z aktorem Activity oraz czy jest właścicielem wskazywanego postu federacyjnego. Brak tych kontroli tożsamości i własności pozwala zdalnemu atakującemu edytować, usuwać lub odpowiadać na posty federacyjne bez wymaganych uprawnień.

Podatność zdalnego wykonania kodu w bibliotece rlottie używanej przez Telegram, wynikająca z braku właściwej walidacji danych dostarczonych przez użytkownika. Może prowadzić do zapisu przed początkiem zaalokowanego bufora. Wykorzystanie wymaga interakcji użytkownika — odwiedzenia złośliwej strony lub otwarcia złośliwego pliku.

W bibliotece @libp2p/webrtc przed wersją 6.0.28 listener webRTCDirect() w Node.js przetwarza nieuwierzytelnione żądania STUN Binding przed uwierzytelnieniem PeerId, Noise, multipleksowaniem i negocjacją protokołu. Kontrolowane przez pakiet pole request.ufrag jest przekazywane do DirectRTCPeerConnection.setLocalDescription i używane jako hasło ICE bez walidacji długości i zestawu znaków, co powoduje nieobsłużony wyjątek native invalid_argument i przerwanie procesu sygnałem SIGABRT.

W bibliotece wildfly-core, używanej przez WildFly i JBoss EAP do zarządzania wdrożeniami, występuje luka w funkcji ContentRepositoryImpl.copyExplodedContent. Atakujący z rolą Deployer RBAC może użyć sekwencji przejścia ścieżki (path traversal) do dostępu do plików poza katalogiem wdrożeń, co umożliwia usunięcie dowolnych katalogów lub utworzenie plików o dowolnej treści i pełną eskalację uprawnień do roli SuperUser.

W Lychee w wersjach przed 7.7.1 przepływ POST /api/v2/Shop/Checkout/Process akceptuje nieograniczoną tablicę additional_data, która jest scalana po parametrach zakupu obliczonych przez serwer. Nieuwierzytelniony kupujący może zastąpić kwotę, walutę, returnUrl, cancelUrl lub transactionId przed przekazaniem do bramki Omnipay, co pozwala na niedopłatę i uzyskanie towarów.

W Lychee w wersjach przed 7.7.0 obsługa PDF przez ImageMagick z Ghostscript nie stosuje skutecznego limitu wymiarów stron PDF w ImagickHandler::loadPdf(). Uwierzytelniony użytkownik może przesłać mały plik PDF z nadmiernym /MediaBox, powodując zużycie znacznych zasobów CPU i zablokowanie kolejki przetwarzania obrazów.

W Lychee w wersjach przed 7.7.0 ukryty dostawca testowy Omnipay Dummy może być użyty przez kupującego (w tym gościa) poprzez bezpośrednie przesłanie go w żądaniu, ponieważ CreateSessionRequest nie wymusza OmnipayProviderType::isAllowed(). Umożliwia to zakończenie przepływu bramki testowej bez rzeczywistej płatności i zwolnienie przedmiotu zakupu, jeśli włączone jest automatyczne realizowanie.

W Lychee w wersjach przed 7.6.4 kontroler SecurePathController obsługujący GET /image/{path} łączy ścieżkę kontrolowaną przez atakującego z katalogiem głównym magazynu i wykonuje sprawdzenie prefiksu przed kanonikalizacją segmentów kropek. W określonej konfiguracji nieadministracyjnej każdy uwierzytelniony użytkownik może odczytać pliki spoza dozwolonego katalogu, w tym konfigurację aplikacji i prywatne obrazy innych użytkowników.

W Lychee w wersjach przed 7.6.3 punkt końcowy GET /api/v2/Zip autoryzuje archiwa albumów i zdjęć poprzez AlbumPolicy::canDownload() i PhotoPolicy::canDownload() bez uprzedniego wymuszenia AlbumPolicy::canAccess(). Dla publicznego, chronionego hasłem albumu z włączonym grants_download, nieuwierzytelniony atakujący znający identyfikator albumu może pobrać archiwum ZIP bez podania hasła.

W Lychee w wersjach przed 7.6.1 punkt końcowy POST /api/v2/Album::unlock nie ma ograniczeń liczby prób, licznika prób, opóźnienia, CAPTCHA ani blokady. Zdalny nieuwierzytelniony atakujący znający identyfikator albumu może zautomatyzować zgadywanie hasła do chronionego albumu i uzyskać dostęp do prywatnej kolekcji zdjęć.

Wtyczka XStore dla WordPress zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach wcześniejszych niż 9.7.9.

OpenNext Cloudflare, adapter Next.js dla Cloudflare, w wersjach od 0.3.0 do 1.20.2 nieprawidłowo przetwarza zakodowane ścieżki URL, gdy włączone jest przechwytywanie pamięci podręcznej, a kontrola dostępu opiera się na middleware. Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych treści z pamięci podręcznej, używając procentowo zakodowanej ścieżki, która nie pasuje do reguł autoryzacji, ale dekoduje się do klucza chronionej trasy.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach przed 0.149.0 nie wykrywa cykli w schematach allOf, anyOf lub oneOf odwołujących się do schematu nadrzędnego podczas walidacji żądań i odpowiedzi. Prowadzi to do nieograniczonej rekurencji i przepełnienia stosu, które kończy proces i nie może być przechwycone przez recover.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.149.0 nie sprawdza wartości nil dla schematów tablicowych OpenAPI 3.1 w trzech ścieżkach dekodera openapi3filter. Nieuwierzytelniony klient zdalny może wywołać deterministyczny panic nil-pointer poprzez parametr zapytania tablicowego, parametr deepObject lub treść żądania form-urlencoded.