Katalog podatności CVE

Wtyczka The Events Calendar firmy Liquid Web / StellarWP zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.18.2 włącznie.

Bitcoin Core w wersjach wcześniejszych niż 29.5, 30.4, 31.2 i 32.1 jest podatny na problem wyczerpania pamięci (OOM). Luka może prowadzić do nieprawidłowego działania węzła z powodu braku wystarczających zasobów pamięci.

Wtyczka Timetics firmy Arraytics zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 1.0.65 włącznie.

Podatność polegająca na zapisie poza granicami bufora (out-of-bounds write) w module Qt3D, w pluginie importu scen assimp frameworka Qt. Może ona prowadzić do uszkodzenia pamięci podczas przetwarzania złośliwego pliku sceny.

Netsweeper przed wersją 4.0.11 oraz 4.1.0 przed 4.1.5 zawiera podatność odbitego cross-site scripting w webadmin/reporter/view_server_log.php, która pozwala zdalnym atakującym wykonać dowolny JavaScript poprzez wstrzyknięcie złośliwego kodu w parametr log request, odzwierciedlany w odpowiedzi HTML bez kodowania wyjścia. Atakujący może spreparować złośliwy URL i nakłonić użytkownika do jego otwarcia, co skutkuje wykonaniem dowolnego JavaScriptu w sesji przeglądarki ofiary w interfejsie administracyjnym Netsweeper. Dowody wykorzystania po raz pierwszy zaobserwowano przez Shadowserver Foundation 2023-10-19.

Dell OpenManage Enterprise w wersjach przed 4.8.0 zawiera podatność typu Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny. Wysoko uprzywilejowany atakujący z dostępem do sieci sąsiedniej może wykorzystać tę podatność do wstrzyknięcia skryptu.

Biblioteka AFFLIB do wersji 3.7.22 zawiera podatność polegającą na zapisie poza granicami sterty w funkcji af_get_page(). Atakujący może uszkodzić pamięć sterty, dostarczając spreparowane obrazy AFF z niedopasowanymi rozmiarami strony i sektora, co powoduje zapis poza buforem i awarię narzędzi forensic.

Narzędzie tcpflow do wersji 1.6.1 zawiera podatność polegającą na odczycie poza granicami bufora, umożliwiającą nieuwierzytelnionemu atakującemu odczyt pamięci procesu poprzez wysyłanie pakietów ze sfałszowanymi długościami ładunku IP. Atakujący może wstrzyknąć spreparowane pakiety TCP IPv4 lub IPv6 do przechwyconego ruchu lub plików pcap, co powoduje wyciek sąsiedniej pamięci do zrekonstruowanych plików przepływu lub awarię tcpflow.

AxonHub do wersji 1.0.0-beta11 zawiera podatność na eskalację uprawnień, która pozwala użytkownikom projektu przypisywać uprawnienia na poziomie systemu poprzez tworzenie kluczy API service_account z niezwalidowanymi zakresami. Atakujący posiadający uprawnienie write_api_keys może wygenerować klucze z zakresem read_channels i odpytać /admin/graphql, aby odczytać konfigurację każdego kanału, w tym bazowe adresy URL i listy modeli.

Miaomiaowu przed wersją 0.9.3 zawiera podatność typu insecure direct object reference w /api/user/proxy-provider-configs, która pozwala uwierzytelnionym użytkownikom odczytywać konfiguracje innych użytkowników. Atakujący może iterować globalny parametr auto-increment external_subscription_id, aby ujawnić skrypty nadpisujące, reguły filtrowania, niestandardowe nagłówki żądań i adresy URL kontroli stanu.

UNIT3D do wersji 9.2.0 zawiera podatność braku autoryzacji w PlaylistZipController::show, która pozwala uwierzytelnionym użytkownikom pobierać prywatne playlisty innych członków. Atakujący może wyliczać sekwencyjne identyfikatory playlist w punkcie końcowym /playlist-zips/{playlist}, aby uzyskać archiwa ZIP wszystkich torrentów i ujawnić prywatną przynależność do kolekcji.

ArcadeDB przed wersją 26.10.2 zawiera podatność nieprawidłowej autoryzacji, która pozwala unieważnionym użytkownikom zachować dostęp poprzez już otwarte połączenia protokołów Postgres, Bolt, MongoDB lub Redis. Atakujący posiadający istniejące połączenie może nadal czytać i zapisywać dane po usunięciu konta, odebraniu uprawnień lub zmianie hasła, ponieważ executery przechowują nieaktualny ServerSecurityUser.

ArcadeDB od wersji 21.12.1 przed 26.10.2 zawiera podatność obejścia autoryzacji, która pozwala użytkownikom posiadającym jedynie readRecord zastąpić współdzielony schemat GraphQL poprzez punkt końcowy zapytań tylko do odczytu. Atakujący może wysłać definicję typu GraphQL z spreparowaną dyrektywą @sql do /api/v1/query/{database}, zmieniając wyniki zapytań zwracane innym użytkownikom, w tym administratorom.

ArcadeDB od wersji 26.8.1 przed 26.10.2 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom z uprawnieniem updateDatabaseSettings wyłączyć listę blokowanych adresów IP dla LOAD CSV poprzez ALTER DATABASE. Atakujący może ustawić arcadedb.opencypher.loadCsv.blockedIpRanges na pusty ciąg, a następnie wysyłać żądania LOAD CSV w celu odczytu metadanych chmury oraz wewnętrznych usług loopback lub prywatnych.

Traefik od wersji 3.2.0 przed 3.7.15 zawiera wyścig danych w eksperymentalnym FastProxy, który pozwala nieuwierzytelnionym atakującym zawiesić proces poprzez nadużycie aktualizacji protokołu HTTP/1. Atakujący może wielokrotnie otwierać i przerywać zaktualizowane połączenia, takie jak WebSocket, uszkadzając niezsynchronizowany współdzielony bufio.Reader i wywołując nieodzyskany panic, który kończy działanie Traefika.

Traefik w wersji 3.7.11 przed 3.7.15 zawiera obejście autoryzacji w providerze Kubernetes Ingress NGINX, które pomija sprawdzenie między przestrzeniami nazw dla adnotacji auth-tls-secret, gdy ponownie używana jest buforowana opcja TLS uwierzytelniania klienta. Użytkownicy mogący tworzyć Ingressy mogą odwołać się do sekretu CA innej przestrzeni nazw już używanego przez inny Ingress, wymuszając go na własnych trasach i dowiadując się, czy istnieje, bez ujawnienia jego zawartości.

Parse Server przed wersją 8.6.108 oraz 9.0.0 przed 9.10.5-alpha.9 zawiera podatność prototype pollution, ponieważ klucze kontrolowane przez użytkownika są rozwijane do obiektów bez sprawdzania własnych właściwości. Klienci z prawem zapisu do klasy mogą wysyłać klucze pól w notacji kropkowej lub nazwy wpisów ACL pasujące do wbudowanych członków obiektu, aby uszkodzić wbudowane funkcje, powodując awarię wszystkich żądań do czasu restartu serwera.

W parserze zapytań Ickle w Infinispan wykryto lukę. Zapytanie zawierające głęboko zagnieżdżone predykaty może spowodować wyczerpanie stosu wątku Java przez rekurencyjne parsowanie i wyrzucenie nieprzechwyconego StackOverflowError. Uwierzytelniony użytkownik z uprawnieniem BULK_READ, który może wysyłać zapytania do cache, może wywołać ten problem, potencjalnie wpływając na dostępność.

W przeglądarce Epiphany występuje warunek wyścigu, który pozwala złośliwej stronie ominąć stronę ostrzeżenia o certyfikacie TLS/SSL. Handler komunikatu skryptu 'tlsErrorPage' jest rejestrowany tuż przed załadowaniem strony błędu, co pozostawia krótkie okno, w którym poprzednio załadowana niezaufana strona może wywołać postMessage i zatwierdzić wyjątek certyfikatu bez interakcji użytkownika.

Wtyczka Kirki dla WordPressa w wersjach przed 6.2.5 zawiera podatność pozwalającą ominąć reCAPTCHA. Nieuwierzytelniony atakujący może przesyłać formularze frontendowe bez ważnej weryfikacji, pomijając pole g-recaptcha-token w żądaniach POST, ponieważ metoda verify() zwraca wcześnie dla pustych wartości tokenu.