Katalog podatności CVE

Wykryto podatność przepełnienia bufora w bibliotece P2PAPI.dll 1.3.3.32 firmy Hangzhou Xiongmai Technology na systemie Windows. Luka dotyczy funkcji P2PAPI_Connect w komponencie P2P SDK i jest wywoływana przez manipulację argumentem wejściowym typu String. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony i może być wykorzystany.

W produkcie Oray Pugongying X5 Pro do wersji 7.6.1 funkcja session_get w pliku session.lua (komponent obsługi identyfikatorów sesji) generuje niewystarczająco losowe wartości na podstawie argumentu _user. Atak można przeprowadzić zdalnie, choć jego złożoność ocenia się jako wysoką, a wykorzystanie jako trudne. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W systemie Typemill do wersji 2.26.0 wykryto podatność w funkcji ControllerApiImage::saveImage w pliku system/typemill/Models/SvgSanitizer.php. Manipulacja danymi może prowadzić do cross-site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; aktualizacja do wersji 2.27.0 (patch 9ca43c4a7b6764c5a6ac11a2ccc099b036ee3cef) rozwiązuje problem.

W PostyBirb Plus do wersji 3.1.75 wykryto lukę w zabezpieczeniach w nieznanej funkcjonalności pliku ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx komponentu Submission Description Editor. Manipulacja prowadzi do cross site scripting, a atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany.

Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.

Coop to narzędzie open source do recenzji i moderacji od ROOST. Przed wersją 1.0.2 funkcja `resetPasswordForToken` aktualizuje hasło bez unieważnienia sesji przechowywanych w bazie danych. Atakujący, który pozyskał hasło i ustanowił sesję, zachowuje dostęp nawet po zresetowaniu hasła przez prawowitego użytkownika, aż do wygaśnięcia sesji po maksymalnie 30 dniach.

uhttpd to mały serwer HTTP. W niezałatanych migawkach repozytorium funkcja client_poll_post_data() w client.c przetwarza nieprawidłową linię długości fragmentu (np. rozmiar przekraczający INT_MAX), a następnie czyści r->content_length i r->transfer_chunked bez opróżnienia pozostałej treści lub ustawienia request.connection_close. Kontrolowane przez atakującego bajty treści wyrównane jako kompletne żądanie HTTP są następnie przetwarzane jako kolejne żądanie w tym samym połączeniu, powodując przemyt żądań HTTP (HTTP request smuggling) i desynchronizację granic żądań.

LibreDWG to darmowa biblioteka C do odczytu i zapisu plików DWG. W wersjach przed 0.14 funkcja `bit_TV_to_utf8()` w `src/bits.c` może zapisywać do bufora `src` dostarczonego przez wywołującego, mimo że przyjmuje dane wejściowe jako const. W przypadku błędu `iconv()` innego niż `E2BIG` funkcja zwalnia bufor wyjściowy i przekazuje oryginalny alias wejściowy do `bit_u_expand()`, co może powodować segfault i odmowę usługi lub nieoczekiwaną modyfikację danych wejściowych.

W go-xrpl, implementacji protokołu XRP Ledger w Go, funkcja ParseMPTAmountBinary konwertuje ośmiobajtową wartość MPT za pomocą num.Int64() bez sprawdzenia, czy mieści się w 63 bitach, co powoduje ciche przepełnienie dodatniej wartości do liczby ujemnej. Dodatkowo readMPTAmount akceptuje wartości przekraczające limit, co prowadzi do niepoprawnych obliczeń i rozbieżności z interpretacją rippled.

W Pi-hole w wersjach przed 6.5 skrypt gravity.sh sprawdza czytelność adlist z prefiksem file:// za pomocą sudo -u pihole test -r, ale następnie pozwala curl (czasem uruchamianemu jako root) znormalizować segmenty ścieżki URL i otworzyć inny plik. W rezultacie przygotowany przez atakującego plik-pułapka czytelny dla użytkownika pihole może przejść weryfikację, podczas gdy curl odczyta plik dostępny tylko dla roota; podobnie ścieżki /proc/self mogą wskazywać na różne procesy.

W Immich w wersjach przed 3.2.0 API tworzenia linków współdzielonych przyjmowało albumId i assetIds jako niezależne pola w server/src/services/shared-link.service.ts, ale autoryzowało tylko zasób wybrany przez żądany typ linku. Uwierzytelniony atakujący, który znał UUID zasobu należącego do ofiary, mógł wybrać SharedLinkType.Album dla własnego albumu, podając ten UUID w assetIds; SharedLinkService.create() zapisywał niezweryfikowane powiązanie w shared_link_asset i udostępniał zasób ofiary przez nowe anonimowe poświadczenie linku współdzielonego.

Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.9 polecenie `image to GIF` używa mechanizmu żądań, który waliduje publiczne adresy IP nazwy hosta, ale następnie wysyła żądanie po nazwie hosta, co powoduje drugie zapytanie DNS. Atakujący kontrolujący domenę może zwrócić publiczny adres podczas walidacji i wewnętrzny podczas połączenia, omijając ochronę przed adresami wewnętrznymi poprzez DNS rebinding. Luka jest naprawiona w wersji 1.1.9.

libmspack do wersji 0.11alpha zawiera podatność ujawnienia niezainicjowanej pamięci w dekompresorze MS-ZIP, która pozwala atakującym na wyciek danych ze sterty poprzez niekontrolowane odległości odwołań wstecznych. Atakujący może dostarczyć spreparowany plik CAB MS-ZIP, którego pierwszy blok zaczyna się od odwołania wstecznego, powodując zapisanie przez cabd->extract() do 32 KiB nieaktualnej pamięci sterty do wyjścia.

Parse Server od wersji 9.7.0 przed 9.10.5-alpha.10 zawiera błąd autoryzacji, który stosuje aktualizacje _Installation adresowane przez identyfikator obiektu do instalacji wskazanej w nagłówku X-Parse-Installation-Id. Gdy włączono protectedFieldsTriggerExempt, atakujący znający identyfikator obiektu innej instalacji może spowodować, że trigger beforeSave przetworzy chronione pola tej instalacji podczas zapisu w innym miejscu.

Parse Server od wersji 9.7.0 przed 9.10.5-alpha.7 zawiera podatność ujawnienia informacji, która pozwala klientom otrzymywać wartości chronionych pól zapisanych przez triggery beforeSave przy użyciu kluczy notacji kropkowej. Gdy protectedFieldsSaveResponseExempt ma wartość false, klienci z uprawnieniami do tworzenia lub aktualizacji mogą odczytać wartości zapisane przez trigger pod chronionym polem w tym samym żądaniu.

Campfire to aplikacja czatu internetowego. W wersji 1.4.4 i wcześniejszych, gdy wiadomość Campfire zawiera link, serwer pobiera go w celu zbudowania podglądu OpenGraph. RestrictedHTTP::PrivateNetworkGuard opierał się na predykatach Ruby IPAddr#private?, IPAddr#loopback? i IPAddr#link_local? oraz sprawdzeniach IPv4-mapped i IPv4-compatible, które nie obejmują kilku zakresów specjalnego przeznaczenia. Uwierzytelniony użytkownik może opublikować link do nazwy hosta rozwiązującej się na CGNAT 100.64.0.0/10, NAT64 64:ff9b::/96 lub 64:ff9b:1::/48, albo 6to4 2002::/16, aby obejść zabezpieczenie i spowodować żądania po stronie serwera do wewnętrznych zasobów sieciowych. Zakresy NAT64 i 6to4 mogą osadzać wewnętrzny cel IPv4. Wpływ na poufność ogranicza się do zwróconych metadanych OpenGraph, a większość wewnętrznych punktów końcowych nie zwraca żadnych. Nie ma wpływu na integralność ani dostępność. Wstępna poprawka została wydana w wersji 1.4.5.

vsftpd do wersji 3.0.5 zawiera podatność polegającą na obejściu kontroli dostępu, która pozwala uwierzytelnionym użytkownikom FTP na wykonanie zabronionych poleceń poprzez użycie aliasów z prefiksem X zgodnych z RFC 775. Sprawdzenie cmds_denied w process_post_login() porównuje dosłowne tokeny, więc atakujący mogą wysłać XRMD, XMKD, XCWD, XPWD lub XCUP, aby wykonać zablokowane operacje, takie jak usuwanie katalogów.

OpenCart do wersji 4.1.0.4 zawiera podatność logiczną, która pozwala zalogowanym klientom na składanie nieopłaconych zamówień w pełnej cenie poprzez wyczyszczenie punktów lojalnościowych po wybraniu darmowej finalizacji zamówienia. Atakujący mogą zastosować punkty, zapisać darmową finalizację, a następnie przesłać zero punktów przez reward.save, aby procedura obsługi potwierdzenia przeniosła zamówienie do statusu darmowej finalizacji bez płatności.

Jellyfin do wersji 12.4 zawiera podatność polegającą na ujawnieniu informacji w PlaylistsController.GetPlaylist, która pozwala uwierzytelnionym użytkownikom na odczytanie ukrytych identyfikatorów elementów poprzez żądanie publicznych lub udostępnionych playlist. Użytkownicy z ograniczeniami lub kontrolą rodzicielską mogą uzyskać GUID-y niedostępnych elementów biblioteki z niefiltrowanych ItemIds playlisty, a następnie strumieniować te ukryte media.

Lago do wersji 1.55.0 zawiera podatność polegającą na obejściu autoryzacji w Invoices::Payments::StripeService, która pozwala użytkownikom jednej organizacji oznaczyć fakturę innej organizacji jako opłaconą z powodu wyszukiwania faktury bez ograniczenia zakresu. Atakujący kontrolujący integrację Stripe swojej organizacji mogą podpisać zdarzenie payment_intent.succeeded z UUID faktury ofiary, aby odblokować doładowania portfela lub subskrypcje wymagające płatności.