Katalog podatności CVE

Hasła aplikacji mogły omijać potwierdzenie hasła na wrażliwych endpointach. Umożliwiało to wykonanie wrażliwych operacji bez ponownego uwierzytelnienia.

Publicznie udostępniona kolektywa zawsze pozwalała odbiorcom linku na tworzenie stron.

Wykorzystując punkt końcowy udostępniania federacyjnego, atakujący może zapisywać dowolne wiersze do tabeli bazy danych oc_share_external. Wiersze te utrzymują się bezterminowo, ponieważ nie ma mechanizmu automatycznego czyszczenia, co prowadzi do trzech odrębnych warunków odmowy usługi (DoS) odnawiających się co 24 godziny.

Brak sprawdzania typu tokenu pozwalał na uzyskanie dodatkowych informacji o konfiguracji WOPI przy użyciu tokenu użytkownika lub gościa.

Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 zawiera przepełnienie bufora stosu w funkcji logowania śledzenia H.323 ooTrace(). Nieograniczone vsprintf zapisuje dane do stałego bufora 2048 bajtów, co może spowodować awarię procesu Asterisk po wysłaniu spreparowanego pakietu.

W Asterisk uwierzytelniony atakujący może wywołać przepełnienie bufora sterty w obsłudze `T.140 RED` przy użyciu specjalnie spreparowanych pakietów, co może prowadzić do zdalnego wykonania kodu lub awarii Asterisk. Wymagane jest zainstalowanie i skonfigurowanie sterownika kanału `chan_sip` z włączoną opcją `textsupport` (domyślnie wyłączoną). Poprawki zawierają wersje Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3.

Asterisk przed wersjami 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3 zawiera nieograniczone memcpy danych pakietu OGG/Speex w format_ogg_speex. Może to spowodować przepełnienie bufora sterty i awarię Asterisk podczas odczytu pliku z uszkodzonym dźwiękiem Speex.

W module chan_unistim programu Asterisk występuje zapis poza granicami bufora podczas przetwarzania cyfr DIALPAGE, co może przepełnić pole phone_number i spowodować awarię Asteriska po wysłaniu spreparowanego pakietu żądania. Wymagane jest załadowanie modułu chan_unistim i skonfigurowanie osiągalnego portu UDP UNISTIM oraz rejestracja atakującego jako skonfigurowany MAC telefonu lub ścieżka autoprovisioningu. Podatność naprawiono w wersjach Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3.

W Asterisk uwierzytelniony atakujący może wywołać zapis poza granicami bufora w obsłudze `T.140 RED` podczas akumulacji generacji przy użyciu specjalnie spreparowanych pakietów, co może prowadzić do zdalnego wykonania kodu lub awarii Asterisk. Wymagane jest zainstalowanie i skonfigurowanie sterownika kanału `chan_sip` z włączoną opcją `textsupport` (domyślnie wyłączoną). Poprawki zawierają wersje Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11 i 22.8-cert3.

Uwierzytelniony atakujący może doprowadzić do awarii Asteriska poprzez odczyt poza granicami bufora w parserze treści PJSIP MWI, wysyłając spreparowane żądanie SIP NOTIFY. Atakujący musi przejść uwierzytelnienie SIP za pomocą nazwy użytkownika i hasła lub dopasowania adresu IP źródłowego. Podatność naprawiono w wersjach Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 oraz Certified Asterisk 20.7-cert11, 22.8-cert3.

W knative.dev/pkg/webhook funkcja admissionHandler dekoduje dostarczony przez atakującego AdmissionReview bez limitu rozmiaru ciała żądania (brak http.MaxBytesReader). Klient sieci podów może wysłać jeden zbyt duży POST do webhooka admission, powodując zatrzymanie powiększonych kopii żądania i wyczerpanie pamięci kontrolera aż do jego zabicia przez OOM. Problem dotyczy wszystkich konsumentów współdzielonego serwera webhook, w tym Knative, Tekton, KEDA, Sigstore policy-controller i Kpack; naprawiono w wersji 0.0.0-20260531000007-52dbd5ece63f.

Substance3D - Painter jest podatny na odczyt poza granicami bufora, co może prowadzić do ujawnienia wrażliwych danych z pamięci. Wykorzystanie wymaga interakcji użytkownika — ofiara musi otworzyć złośliwy plik.

Substance3D - Painter zawiera podatność przepełnienia bufora stosu, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie wymaga interakcji użytkownika polegającej na otwarciu złośliwego pliku.

Adobe Connect zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja wymaga interakcji użytkownika — ofiara musi odwiedzić złośliwie spreparowany URL lub wejść w interakcję ze zainfekowaną stroną internetową. Zakres podatności jest zmieniony (scope changed).

W systemie oretnom23 php-travel-agency-system zidentyfikowano podatność SQL Injection w pliku admin/customer_detail.php, w komponencie Admin Record Pages. Manipulacja argumentami costomer_id/ticket_id/emp_id/salary_id/page_id prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie.

W aplikacji php-travel-agency-system (autorstwa oretnom23) w pliku admin/customer_search.php występuje podatność SQL injection. Manipulacja argumentami customer_name, voucher_no lub emp_name pozwala na wstrzyknięcie kodu SQL. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.

W php-travel-agency-system (oretnom23) w pliku admin/employee_insert.php występuje podatność unrestricted upload związana z manipulacją argumentem employee photo. Atakujący może zdalnie przesłać dowolny plik. Exploit został publicznie ujawniony.

TinyMCE w wersjach od 7.9.3 do 7.9.4 oraz od 8.5.1 do 8.9.3 zawiera podatność stored XSS w pluginie media. Elementy tworzone przez data-mce-object mogą wykonywać złośliwe skrypty podczas przetwarzania, zanim nastąpi sanityzacja. Problem naprawiono w wersjach 8.9.3 i 7.9.4.

W bibliotece systeminformation funkcja networkStats(ifaces) w lib/network.js na systemach FreeBSD, OpenBSD i NetBSD przechowuje dane interfejsów w obiekcie _network i indeksuje je oczyszczoną nazwą interfejsu kontrolowaną przez wywołującego. Przekazanie wartości proto powoduje użycie odziedziczonej wartości Object.prototype zamiast utworzenia własnego wpisu, przez co calcNetworkSpeed() zapisuje właściwości rx_bytes, tx_bytes, rx_sec, tx_sec, ms, last_ms i operstate na Object.prototype. Zanieczyszczone nazwy właściwości są stałe, a wartości pochodzą ze statystyk interfejsów, ale kolizje nazw i wyliczalne klucze mogą zaburzyć logikę aplikacji, serializację, scalanie konfiguracji, walidację lub wyszukiwanie; naprawiono w wersji 5.33.13.

W bibliotece systeminformation dla Node.js w wersjach przed 5.33.14 implementacja `networkStats(iface)` używa wartości interfejsu podanej przez wywołującego w sprawdzeniu `fs.existsSync()` oraz do budowania ścieżek `/sys/class/net/<iface>`, bez weryfikacji, że jest to pojedynczy segment nazwy interfejsu ani że rozwiązana ścieżka pozostaje w `/sys/class/net`. Atakujący kontrolujący parametr `iface` może wykorzystać komponenty katalogu nadrzędnego i przejście przez dowiązania symboliczne, aby uzyskać pierwszą linię pliku czytelnego dla procesu Node.js. Wymaga to lokalnej konfiguracji systemu plików; problem naprawiono w wersji 5.33.14.