Katalog podatności CVE

W funkcji XkbResizeKeyType() serwera X.org X przed wersją 21.1.25 oraz XWayland przed 24.1.14 występuje problem obcięcia liczby całkowitej, który może prowadzić do przepełnienia bufora sterty. Uwierzytelnieni klienci X mogą wykorzystać tę lukę do wywołania awarii lub potencjalnego wykonania kodu w serwerze X.

Sterownik OpenVPN ovpn-dco-win w wersjach od 0.6.5 do 2.8.13 pozwala nieuprzywilejowanym lokalnym użytkownikom na wywołanie odmowy usługi (awarii systemu) poprzez warunek wyścigu w ścieżce połączenia TCP.

Nieograniczona rekurencja w metodzie MessagePack\BufferUnpacker::unpack() w bibliotece rybakit/msgpack w wersjach przed 0.11.0. Atakujący może spowodować wyczerpanie pamięci podczas dekodowania głęboko zagnieżdżonych danych MessagePack.

Przepełnienie liczb całkowitych w komponencie MessagePack\BufferUnpacker biblioteki rybakit/msgpack w wersjach przed 0.11.0. Na 32-bitowym PHP spreparowane dane MessagePack mogą doprowadzić do odmowy usługi.

Przepełnienie bufora sterty w obsłudze żądania GLX RenderLarge, gdzie dataBytes przekracza cmdlen, występuje w X.org X server przed 21.1.25 oraz XWayland przed 24.1.14. Podatność może być wywołana przez uwierzytelnionego klienta X i prowadzić do awarii lub wykonania kodu w kontekście serwera X.

W bibliotece SAIL w wersjach przed 1.0.2 wbudowany dekoder WebP może ulec awarii podczas inicjalizacji loadera przy przetwarzaniu zniekształconego animowanego pliku WebP z niespójnymi metadanymi kontenera lub ramki ANMF. Wartość zero szerokości obrazu jest używana jako dzielnik przy obliczaniu bytes_per_pixel, co powoduje błąd arytmetyczny i zakończenie procesu.

W identrail przed wersją 1.0.2 endpoint GitHub connect/complete akceptuje installation_id bez weryfikacji, czy instalacja należy do przestrzeni roboczej wywołującego. Uwierzytelniony najemca może podać installation_id innego klienta, aby odczytać prywatne repozytoria ofiary lub uruchomić skany postawy, jeśli aplikacja GitHub identrail jest tam zainstalowana.

W @openhop/server przed wersją 0.3.7 nieuwierzytelnione parametry tras GET i DELETE /api/flows/:id są przekazywane do FlowStore.filePath() bez listy dozwolonych identyfikatorów. Po dekodowaniu URI i normalizacji path.join() atakujący może odczytać lub trwale usunąć pliki YAML poza katalogiem przepływów, a CORS origin: true umożliwia atak z dowolnej strony przeglądarki.

W ESPHome Device Builder Dashboard przed wersją 1.0.10 zaufana witryna ingress dodatku Home Assistant nasłuchuje na 0.0.0.0, pomijając uwierzytelnianie dashboardu, a sieć hosta wymagana dla mDNS wystawia ją na interfejs LAN. Dowolne urządzenie w sieci lokalnej może połączyć się bezpośrednio z portem ingress, ominąć supervisor i uzyskać pełny dashboard bez poświadczeń.

W functype-mcp-server przed wersją 1.4.4 narzędzie MCP set_functype_version przyjmuje nieograniczony ciąg version i interpoluje go do functype@<version> dla pnpm add, co pozwala na instalację dowolnego lokalnego lub zdalnego pakietu jako functype. Następnie initDocsData(true) dynamicznie importuje nowo zainstalowany moduł, wykonując kontrolowany przez atakującego JavaScript z uprawnieniami procesu serwera MCP.

W Joker przed wersją 1.8.2 polecenie joker --lint <file> przeszukuje katalogi w górę od lintowanego pliku w poszukiwaniu katalogu .jokerd/ i wykonuje pasujące pliki linter.* przed lintowaniem. Pliki te zawierają wykonywalny kod Joker/Clojure, więc lintowanie pliku w niezaufanym repozytorium może wykonać kod dostarczony przez repozytorium z uprawnieniami użytkownika lintera.

W aplikacji NORA (self-hosted rejestr artefaktów) w wersjach przed 0.9.5 interfejs zarządzania tokenami jest uwierzytelniany, ale nie wymaga uprawnień administratora. Użytkownik z tokenem tylko do odczytu może wylistować metadane tokenów wszystkich użytkowników, a token z prawem zapisu może unieważnić dowolne tokeny administracyjne i serwisowe.

W platformie Xibo w wersjach przed 4.4.3 brakuje kontroli dostępu dla żądań PUT/DELETE /action/{id}, co pozwala uwierzytelnionemu użytkownikowi modyfikować lub usuwać akcje w dowolnym Layoutcie. Standardowe uprawnienia przyznawane użytkownikom niebędącym administratorami wystarczają do wykorzystania podatności.

Podatność w platformie Xibo (wersje przed 4.4.3) polega na braku kontroli dostępu do endpointu GET /dataset/export/csv/{id}. Uwierzytelniony użytkownik może eksportować dane z dowolnego zestawu danych, w tym utworzonych przez administratorów, poprzez iterowanie po sekwencyjnych identyfikatorach. Wymaga to uprawnienia do edycji i usuwania wszystkich zestawów danych, które standardowo nie jest przyznawane użytkownikom niebędącym administratorami.

Wtyczka WordPress Filter Everything — WordPress & WooCommerce Filters w wersjach do 1.9.7 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).

Wtyczka WordPress Phoenix Media Rename w wersjach do 3.13.5 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).

W bibliotece bandit (Elixir) w wersjach od 0.3.1 przed 1.14.1 czytnik ciała żądania HTTP/2 nie ogranicza zasobów, co pozwala nieuwierzytelnionemu zdalnemu atakującemu wyczerpać pamięć serwera poprzez ciało żądania wysłane jako wiele ramek DATA o rozmiarze 1 bajta. Podatne są trasy, których Plug odczytuje ciało żądania, w tym trasy za Plug.Parsers.

Podatność deserializacji niezaufanych danych w wtyczce WordPress Ultimate Member umożliwia wstrzyknięcie obiektu (Object Injection). Problem dotyczy wersji do 2.13.1 włącznie.

Wtyczka WordPress Advanced Ads – Tracking w wersjach przed 4.0.0 zawiera podatność wstrzyknięcia SQL (SQL Injection), umożliwiającą ślepą iniekcję SQL.

Wtyczka WordPress Dokan (dokan-lite) w wersjach do 5.3.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).