Katalog podatności CVE

Square Squash do commita e73f280 zawiera podatność na niezabezpieczoną deserializację, która pozwala nieuwierzytelnionym atakującym na przechowywanie spreparowanych danych YAML przez endpoint POST /api/1.0/symbolication. Gdy wystąpienia odwołujące się do kontrolowanego przez atakującego UUID symbolizacji są symbolizowane, przechowywane wartości są przekazywane do YAML.load z SafeYAML w trybie niebezpiecznym, umożliwiając deserializację dowolnych obiektów Ruby i potencjalne wykonanie kodu.

W Netcore NR268 w wersji 1.7.121109 znaleziono podatność. Dotyczy ona funkcji filter_arp_put_file_cgi w pliku /router/filter_arp_put_file.cgi. Manipulacja argumentem put_file prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

W Exponent CMS do wersji 3.0.2patch2 znaleziono podatność. Dotyczy ona funkcji userLogin w pliku xmlrpc.php komponentu XML-RPC. Taka manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

W tobychui zoraxy do wersji 3.3.4 znaleziono wadę. Dotyczy ona funkcji handleBasicAuth w pliku mod/dynamicproxy/authProviders.go komponentu Path Exception Matcher. Manipulacja argumentem PathPrefix powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 3.3.5-rc1 naprawi ten problem. Nazwa poprawki: 37cd0f27b17cd15cfa4af409bfec943146f5fdfe. Zalecane jest zaktualizowanie komponentu.

Funkcja Email/Messages w back-office Thelia 3.0.0 zawiera podatność na wstrzyknięcie szablonów po stronie serwera (SSTI), pozwalającą uwierzytelnionemu użytkownikowi z uprawnieniem „Messages” na dostarczenie nieosadzonych w piaskownicy szablonów Twig, które są kompilowane i wykonywane jako surowy kod. Może to prowadzić do pełnego przejęcia aplikacji i hosta.

Podatność w menedżerze pakietów hex pozwala właścicielowi pakietu lub osobie przejmującej konto właściciela na opublikowanie nowej wersji z pominięciem limitu czasu (cooldown) dla wieku wydania. Mechanizm cooldownu, który blokuje zbyt świeże wersje, może zostać obejściy przez wycofanie aktualnie zablokowanej wersji, co powoduje, że następna aktualizacja wybierze nową wersję niezależnie od jej wieku. Problem dotyczy wersji hex od 2.5.0 do przed 2.5.2.

Podatność w rebar3 pozwala złośliwemu wydawcy pakietu na usunięcie katalogu poza katalogiem _build oraz umieszczenie w nim plików z pakietu podczas pobierania zależności. Pole app w zależnościach Hex jest używane bez walidacji jako nazwa katalogu, co umożliwia ścieżkę typu ../../../../target. Problem dotyczy wersji rebar3 od 3.7.0-rc1 do przed 3.27.2.

Metody fabryczne JAXB polegają wyłącznie na FEATURE_SECURE_PROCESSING w celu blokowania rozwiązywania zewnętrznych encji XML. W implementacjach JAXP, gdzie ta funkcja nie blokuje rozwiązywania zewnętrznych encji, atakujący mogą odczytać lokalne pliki poprzez out-of-band XXE.

W mutter znaleziono błąd use-after-free w ścieżce przetwarzania opisów obrazów ICC w Wayland. Lokalny atakujący, który może uruchomić złośliwego klienta Wayland, może zniszczyć zasób wp_image_description_v1 podczas trwającego asynchronicznego odczytu pliku ICC. Po zakończeniu odczytu kompozytor używa zwolnionej pamięci, co może doprowadzić do awarii sesji GNOME lub wykonania dowolnego kodu w procesie kompozytora.

Thelia v2.6.1 zawiera podatności path traversal i wstrzykiwania kodu PHP w edytorze tłumaczeń, które można połączyć, aby osiągnąć zdalne wykonanie kodu. Parametr item_name nie oczyszcza sekwencji traversal, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami UPDATE na admin.configuration.language zapisywać pliki poza katalogiem templates/, w tym w ścieżkach dostępnych przez WWW. Dodatkowo logika zapisu tłumaczeń nie escapuje znaków \, co pozwala na wstrzyknięcie kodu PHP do pliku tłumaczeń. Połączone luki umożliwiają zapis złośliwego pliku PHP i jego wykonanie z uprawnieniami serwera WWW.

W Thelia v2.6.0 funkcja przesyłania banerów nie wykonuje wystarczającej walidacji typu pliku, opierając się wyłącznie na typach MIME dostarczanych przez klienta. Osoba z dostępem administracyjnym może przesłać plik PHP podszywający się pod obraz, aby ominąć walidację i uzyskać zdalne wykonanie kodu na serwerze.

W Thelia v2.6.0 punkt końcowy aktualizacji dokumentów nie wykonuje takiej samej walidacji jak punkt przesyłania, który blokuje wykonywalne typy plików. Osoba z uprawnieniami administracyjnymi może wykorzystać tę podatność do przesłania dowolnych plików wykonywalnych, takich jak złośliwe skrypty PHP, aby uzyskać zdalne wykonanie kodu na serwerze.

Podatność na wstrzykiwanie poleceń systemu operacyjnego (OS command injection) w edytorze dokumentów UYAP przed wersją 5.4.20 na Windows i Linux oraz przed 5.4.21 na iOS. Niewłaściwa neutralizacja specjalnych elementów pozwala na wykonanie dowolnych poleceń systemowych.

W UYAP Document Editor (Windows, Linux, MacOS) przed wersją 5.4.20/5.4.21 znaleziono podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection).

SGLang do wersji 0.5.21 zawiera podatność na atak DoS, która wyłącza ochronę przed bombą dekompresyjną Pillow, ustawiając Image.MAX_IMAGE_PIXELS na None w NanoNemotronVLImageProcessor. Zdalni atakujący mogą przesyłać małe, silnie skompresowane obrazy o ogromnych wymiarach, powodując wyczerpanie pamięci podczas dekodowania.

SGLang do wersji 0.5.21 zawiera podatność polegającą na obejściu limitu zasobów w przetwarzaniu wideo GLM-V. Zdalni atakujący mogą nadpisać limity fps, max_frames, max_tokens_per_frame i max_image_tokens w obiekcie video_url, ustawiając je na bardzo wysokie wartości. Powoduje to dekodowanie każdej klatki wysokorozdzielczego wideo w pełnym rozmiarze, co wyczerpuje pamięć roboczą i prowadzi do odmowy usługi.

SGLang do wersji 0.5.21 zawiera podatność nieograniczonej alokacji pamięci w funkcji preprocess_video w pliku qwen_vl.py, która dekoduje klatki w pełnej rozdzielczości źródłowej przed zastosowaniem limitu max_pixels. Zdalni atakujący mogą przesyłać wysokorozdzielcze wideo do /v1/chat/completions w instalacjach Qwen-VL, a równoczesne żądania wyczerpują pamięć procesu roboczego powodując odmowę usługi.

SGLang do wersji 0.5.21 zawiera podatność amplifikacji dekompresji w funkcji load_audio, która pozwala zdalnym atakującym wyczerpać pamięć poprzez przesyłanie silnie skompresowanych plików audio dekodowanych bez limitów czasu trwania lub próbek. Atakujący mogą dostarczać małe pliki ciszy w formacie FLAC przez audio_url lub audio_data, które rozszerzają się do ogromnych buforów PCM, wyczerpując pamięć i CPU procesu roboczego.

SGLang do wersji 0.5.21 zawiera podatność nieograniczonej alokacji pamięci, która pozwala nieuwierzytelnionym zdalnym atakującym wyczerpać pamięć poprzez przesyłanie zbyt dużych plików do /v1/audio/transcriptions. Atakujący mogą wysyłać równoczesne duże przesyłki multipart, które są w całości wczytywane do pamięci przed walidacją, powodując awarię procesu HTTP/tokenizera i odmowę usługi.

LogicalDOC Community Edition do wersji 9.3 zawiera podatność nieuwierzytelnionego przesyłania plików w UploadServlet, która pozwala zdalnym atakującym zapisywać pliki na dysku bez sesji. Atakujący mogą wielokrotnie wysyłać żądania multipart z nieograniczoną liczbą części do /upload, utrwalając pliki w nieczyszczonych katalogach tymczasowych i wyczerpując miejsce na dysku serwera.