Katalog podatności CVE

xianyu-auto-reply-fix do wersji 2.0.7 zawiera podatność braku autoryzacji w endpointcie POST /send-message, która pozwala nieuwierzytelnionym atakującym wysyłać wiadomości z kont innych użytkowników przy użyciu publicznie znanych domyślnych sekretów API. Atakujący może podać zaszyty na stałe api_key oraz cookie_id innego użytkownika, a także wybrane wartości chat_id, to_user_id i message, aby wysłać dowolne wiadomości Xianyu do kupujących z tego konta sprzedawcy.

Signal K Server przed wersją 2.33.0 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym pobierać archiwa logów przez endpoint `/skServer/ziplogs`. Atakujący mogą wyodrębnić `secretKey` JWT z `security.json` w pliku ZIP, sfałszować tokeny administratora i utworzyć trwałe konta administracyjne. Luka jest naprawiona w wersji 2.33.0.

OvenMediaEngine do wersji 0.21.0 zawiera podatność na odmowę usługi w OvtPacket::LoadHeader(), która pozwala nieuwierzytelnionym atakującym blokować połączenia poprzez wysyłanie wartości payload_length większych niż 32750. Atakujący mogą wysyłać spreparowane pakiety OVT do nasłuchu OVT, aby utrzymywać połączenia otwarte bezterminowo i gromadzić buforowaną pamięć, zakłócając przekazywanie strumienia z origin do edge.

KaringX ClashMi do wersji 1.0.32.1801 domyślnie wyłącza walidację certyfikatów TLS w helperze HttpUtils, co pozwala atakującym przechwycić ruch HTTPS poprzez przedstawienie dowolnego certyfikatu. Atakujący obsługujący węzeł proxy użytkownika może dostarczyć sfałszowany manifest aktualizacji bez sha256, aby dostarczyć złośliwy instalator i uzyskać wykonanie kodu po uruchomieniu aktualizacji.

W bibliotece OAuthLib przed wersją 4.0.0 procedury obsługi grantów client_credentials oraz Resource Owner Password Credentials mogą uwierzytelnić request.client jako jednego klienta poufnego, zachowując jednocześnie dostarczony przez atakującego request.client_id używany w validate_grant_type i validate_scopes. Klient z niższymi uprawnieniami może w ten sposób spowodować, że autoryzacja grantów i zakresów użyje tożsamości innego klienta, co może skutkować wydaniem tokenów z nieautoryzowanymi grantami lub zakresami.

W projekcie a2ui do wersji 0.12.0 wykryto podatność w funkcji Root.renderComponentTree w pliku src/0.8/ui/root.js komponentu Renderer. Manipulacja może prowadzić do dynamicznie ustalanych atrybutów obiektu, a atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.

W a2ui do wersji 0.10.4 wykryto podatność w nieznanym kodzie pliku src/v0_9/basic_catalog/components/Image.js komponentu Image Player/Video Player/Audio Player. Manipulacja argumentem url prowadzi do niewłaściwej walidacji danych wejściowych, a atak można zainicjować zdalnie; pull request z poprawką oczekuje na akceptację.

Narzędzia DB Tools polegają na implementacji TLS z biblioteki standardowej Golang, która korzysta z systemowego magazynu CA oraz wewnętrznej listy zablokowanych certyfikatów CA w pakiecie crypto/x509. Wersja Golang 1.27.3 dodaje certyfikaty eMudhra do tej listy, ale DB Tools w wersji 100.19.0 zostało skompilowane z Golang 1.26.8, która nie zawiera tej weryfikacji. Problem rozwiązano w DB Tools 100.20.0 poprzez aktualizację do Golang 1.27.3.

W langgraph-api w wersjach od 0.1.2 do 0.15.0 niestandardowe procedury uwierzytelniania w JavaScript lub TypeScript mogą zwracać przepisany namespace, który nie jest przenoszony przez granicę środowiska wykonawczego i stosowany przed operacją Store. Uwierzytelniony użytkownik może uzyskać dostęp do namespace Store innego użytkownika, gdy wdrożenie polega na przepisywaniu namespace w celu izolacji.

W langgraph-sdk od wersji 0.4.0 do 0.4.6 oraz w langgraph od 1.2.3 do 1.2.14 (gdy RemoteGraph v3 streaming używa podatnej wersji langgraph-sdk) synchroniczne i asynchroniczne funkcje pomocnicze v3 stream get_tree i _fetch_state wstawiają kontrolowane przez wywołującego wartości assistant_id i thread_id do uwierzytelnionych ścieżek żądań GET bez użycia _quote_path_param. Względne segmenty ścieżki mogą zostać znormalizowane do innej czytelnej ścieżki na skonfigurowanym serwerze przy zachowaniu nagłówków uwierzytelniania.

W pakiecie GraphQL Tools legacy WebSocket executor przed wersją 1.1.36 funkcja buildWSLegacyExecutor używa jednego WebSocket i zastępuje pojedynczy handler websocket.onmessage przy każdym nowym nakładającym się subskrypcji. Handler dostarcza ramki LEGACY_WS.DATA do najnowszego obserwatora bez porównania data.id z identyfikatorem operacji subskrypcji, więc wywołujący może otrzymać dane subskrypcji innego użytkownika.

W pakiecie GraphQL Tools legacy WebSocket executor przed wersją 1.1.36 funkcja buildWSLegacyExecutor zachowuje request.extensions.connectionParams w obiekcie executorConnectionParams po zamknięciu połączenia przez cleanupWebsocket. Gdy jeden executor jest używany w różnych kontekstach autoryzacji, późniejsze żądanie może wysłać w connection_init dane uwierzytelniające wcześniejszego użytkownika.

W pakiecie decode-uri-component przed wersją 0.5.1 funkcja decodeUriComponent po niepowodzeniu natywnego dekodowania korzysta z fallbacku, który zbiera wszystkie odrębne sekwencje procentowe i wykonuje dla każdej pełne zastąpienie wyrażeniem regularnym. Złośliwe dane wejściowe z wieloma odrębnymi sekwencjami mogą powodować kwadratowe zużycie CPU i blokować pętlę zdarzeń Node.js.

W @hono/node-server od wersji 1.19.10 do 2.1.3 funkcja serveStatic dekoduje ścieżkę żądania po raz drugi po tym, jak Hono już ją zdekodowało do routingu. Zniekształcona sekwencja procentowa może spowodować, że middleware routingu oceni zakodowaną ścieżkę, podczas gdy rozwiązywanie plików statycznych użyje innego katalogu.

W Vite od wersji 6.4.4 do 6.4.5 serwer deweloperski może ocenić server.fs.deny przed usunięciem parametrów zapytania loadera, takich jak ?raw, ?import&raw lub ?import&url&inline. Gdy serwer deweloperski jest wystawiony na sieć, a wrażliwy plik znajduje się w server.fs.allow, ale jest dopasowany przez server.fs.deny, nieuwierzytelniony atakujący może dołączyć jedno z tych zapytań i pobrać zabroniony plik.

W Happy DOM przed wersją 20.14.6 komponent CookieContainer nieprawidłowo waliduje i dopasowuje atrybuty Domain plików cookie. Może akceptować Domain niezwiązany z originem ustawiającym cookie, w tym publiczny sufiks, oraz traktować niepowiązaną nazwę hosta dzielącą sufiks jako dopasowanie, ponieważ cookieMatchesURL nie wymusza granicy etykiety DNS.

W Happy DOM przed wersją 21.0.0 podczas przetwarzania niezaufanego HTML na serwerze domyślnie ładowane są adresy URL iframe src oraz link rel="stylesheet" href, ponieważ opcje disableIframePageLoading i disableCSSFileLoading mają domyślnie wartość false. Atakujący kontrolujący przetwarzany HTML może wywołać żądania serwerowe do dowolnych wewnętrznych lub chmurowych punktów końcowych.

W pakiecie Happy DOM server-renderer przed wersją 21.0.2 komponent ServerRendererServer akceptuje nieuwierzytelnione żądania HTTP/2 i rozwiązuje kontrolowane przez atakującego wartości :path względem server.targetOrigin bez potwierdzenia, że rozwiązany origin pozostaje zaufany, przed wywołaniem fetch. Ścieżka względna protokołu może zmienić miejsce docelowe na dowolny punkt końcowy HTTP lub HTTPS osiągalny przez serwer.

W frameworku Echo (Go) w wersjach przed 4.15.2 i 5.1.1 funkcja Context.Scheme zwraca wartości z nagłówków X-Forwarded-Proto, X-Forwarded-Protocol lub X-Url-Scheme bez sprawdzenia, czy są to obsługiwane schematy sieciowe. Middleware WWWRedirect i NonWWWRedirect używają tej wartości do budowy nagłówka Location, co pozwala atakującemu kontrolującemu nagłówek forwarded scheme wymusić przekierowanie na dowolny schemat URI. Warianty przekierowań specyficzne dla HTTPS mają zaszyty na stałe HTTPS i nie są podatne.

W frameworku Echo (Go) w wersjach przed 4.16.0 i 5.4.0 funkcja Context.Scheme bezwarunkowo ufa nagłówkom forwarded scheme od dowolnego klienta. Klient łączący się bezpośrednio przez zwykły HTTP może podać schemat HTTPS i ominąć HTTPSRedirect, ponieważ żądanie jest traktowane jako już bezpieczne. Dodatkowo, za proxy terminującym TLS przekazującym nagłówek kontrolowany przez atakującego, deklarowany schemat HTTP może stłumić nagłówek Strict-Transport-Security, mimo że przeglądarka otrzymuje odpowiedź przez HTTPS.