Katalog podatności CVE

Wtyczka WordPress AWP Classifieds w wersji przed 4.4.9 nie waliduje typu plików wyodrębnianych z przesłanego archiwum ZIP podczas funkcji importu ogłoszeń. Pozwala to użytkownikom posiadającym uprawnienia zarządzania wtyczką AWP Classifieds na przesłanie dowolnych plików PHP do publicznie dostępnego, współdzielonego w sieci katalogu i osiągnięcie zdalnego wykonania kodu.

Backdrop CMS w wersjach 1.34 przed 1.34.5 oraz 1.35 przed 1.35.1 nie zapewnia wystarczającej ochrony eksportów konfiguracji podczas dostarczania skompresowanego archiwum. Podatność jest ograniczona faktem, że eksport musiał zostać wcześniej zlecony przez osobę z uprawnieniem 'Synchronize, import, and export configuration'. Problem dotyczy tego, że config.admin.inc nie zapewnia wykonania operacji file_unmanaged_delete, przez co wiele archiwów może pozostać na serwerze.

Podatność typu type confusion w funkcji _read_flags (src/commands/cmd_dispatcher.c) w FalkorDB przed wersją 4.20.0 pozwala zdalnemu uwierzytelnionemu atakującemu, który może uruchomić GRAPH.QUERY, wywołać odmowę usługi i potencjalnie ujawnić lub uszkodzić pamięć. Funkcja przyjmuje argument --bolt od dowolnego klienta i rzutuje następny argument polecenia, obiekt string Redis, na strukturę klienta Bolt bez sprawdzenia jego pochodzenia; kod zestawu wyników następnie dereferencjonuje wskaźniki odczytane z tego obiektu. Argument jest parsowany nawet gdy endpoint Bolt jest wyłączony, więc domyślne konfiguracje są podatne.

Podatność nieprawidłowego uwierzytelniania w funkcji is_authenticated (src/bolt/bolt_api.c) w FalkorDB przed wersją 4.20.0 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wykonywanie zapytań grafowych bez poświadczeń poprzez endpoint Bolt. Funkcja decyduje, czy hasło jest wymagane, wysyłając puste polecenie AUTH do Redis i traktuje tylko błąd WRONGPASS jako oznaczający wymagane hasło; każdy inny błąd, taki jak LOADING podczas ładowania zbioru danych, MASTERDOWN podczas przełączania awaryjnego replikacji lub OOM przy nacisku na pamięć, powoduje, że klient jest traktowany jako uwierzytelniony. Dotyczy to tylko wdrożeń z włączonym endpointem Bolt (BOLT_PORT, domyślnie wyłączony).

Przepełnienie bufora na stosie w funkcji _RdbLoadEntity w dekoderach grafów RDB w FalkorDB przed wersją 4.18.4. Zdalny atakujący, który może wydawać polecenia replikacji Redis, może wysłać spreparowany strumień RDB z kontrolowaną liczbą właściwości encji. Liczba ta określa rozmiar dwóch tablic o zmiennej długości na stosie wątku bez górnego limitu, a dekoder wypełnia je wartościami dostarczonymi przez atakującego.

Serwery HTTP/2 mogą ulec awarii z powodu współbieżnej modyfikacji kodera HPACK bez synchronizacji. Dwie gorutyny modyfikują koder: jedna koduje ramkę HEADERS, a druga zmienia rozmiar tablicy przy obsłudze ramki SETTINGS z SETTINGS_HEADER_TABLE_SIZE. Złośliwy klient może wysyłać żądania, zmieniając rozmiar tablicy, aby doprowadzić do awarii serwera.

Wielokrotne odniesienia do zewnętrznych rozszerzeń ECH nie są dozwolone zgodnie z RFC 9849. Wcześniej klient mógł wysłać spreparowany pakiet z wieloma odniesieniami, powodując wyczerpanie pamięci serwera. Obecnie takie pakiety są odrzucane jako nieprawidłowe, co ogranicza wektor amplifikacji pamięci.

Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy wpis golang.org/toolchain w go.sum i korzysta ze złośliwego GOMODPROXY, mógł obejść zamierzoną sumę kontrolną. Teraz zapewniono, że golang.org/toolchain zawsze pobiera kanoniczną sumę kontrolną z sieci.

Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy golang.org/fips140 i korzysta ze złośliwego GOMODPROXY, mógł otrzymać dowolny moduł w jego miejsce. Teraz rozpakowywany jest zaufany ziphash dla dołączonego modułu golang.org/fips140 i tworzony jest jego wpis w GOMODCACHE, aby mógł być zweryfikowany przez łańcuch narzędzi.

Parsowanie formularza multipart może obejść limity pamięci i wczytać dowolnie długą linię do pamięci, gdy pozostały limit na początku części jest mniejszy niż 400 bajtów.

Gdy handler serwera HTTP wysyła odpowiedź 2xx na żądanie HTTP/1 CONNECT i zwraca bez przejęcia połączenia, serwer nieprawidłowo kontynuuje odczytywanie i obsługę żądań z tego połączenia. Ponieważ odpowiedź 2xx na CONNECT przekształca połączenie w tunel, serwer nie powinien traktować go jako nadal zawierającego HTTP.

Brak autoryzacji w Azure Event Grid pozwala uprawnionemu atakującemu na przeprowadzenie spoofingu w sieci.

Ujawnienie wrażliwych informacji nieautoryzowanemu podmiotowi w Azure API Center pozwala nieautoryzowanemu atakującemu na ujawnienie informacji przez sieć.

Złośliwy peer HTTP/2 może spowodować nadmierne zużycie CPU po stronie klienta lub serwera, otwierając dużą liczbę strumieni, a następnie wysyłając wiele małych ramek SETTINGS zawierających wartości SETTINGS_INITIAL_WINDOW_SIZE.

Podczas parsowania nagłówka Range zawierającego dużą liczbę małych zakresów, FileServer(FS), ServeContent i ServeFile(FS) mogą zużyć nadmierną ilość CPU.

Historycznie implementacja HTTP/2 była dość pobłażliwa wobec nieprawidłowych nagłówków związanych z ramkowaniem, ponieważ nie mogą one zakłócać ramkowania HTTP/2. Jednak umożliwia to przekazywanie odpowiedzi zawierających takie nagłówki do klienta HTTP/1, gdy działamy jako reverse proxy. Jeśli klient HTTP/1 również nie zachowuje się wystarczająco ściśle, może to skutkować przemytem odpowiedzi (response smuggling).

Gdy klient wysyła nagłówki "Trailer", serwer HTTP wewnętrznie używa wartości nagłówków do wypełnienia mapy Request.Trailer przekazywanej do handlera. Ponieważ Request.Trailer jest mapą, każdy wpis powoduje narzut pamięci. Dla serwerów HTTP/2 złośliwy klient może to wykorzystać, wysyłając nagłówek "Trailer" deklarujący dużą liczbę pól, powodując alokację nieproporcjonalnej ilości pamięci z pominięciem limitów Server.MaxHeaderValueCount i Server.MaxHeaderBytes.

Gdy http.Transport wysyła żądanie HTTP/1 CONNECT z niepustym Request.Body, zapisuje ciało bezpośrednio do połączenia bez ramkowania po nagłówkach żądania. Jeśli serwer odrzuci żądanie CONNECT odpowiedzią keep-alive inną niż 2xx, Transport zwraca połączenie do puli bezczynnych. Ponieważ żądania CONNECT nie mają ciała żądania, serwer może zinterpretować końcowe bajty ciała jako kolejne potokowe żądanie HTTP/1.1 na tym połączeniu, pozostawiając połączenie w puli zdesynchronizowane i powodując, że następny wywołujący, który je ponownie użyje, odczyta odpowiedź na wstrzyknięte żądanie.

SumatraPDF w wersji 3.6.1 i wcześniejszych w pliku src/SelectionTranslate.cpp osadza zaznaczony lub wklejony tekst tłumaczenia w cytowanych wierszach poleceń Windows, stosując niekompletne escapowanie cudzysłowów. Funkcje BuildGrokTranslateCmdLineTemp(), BuildClaudeTranslateCmdLineTemp() i BuildCodexTranslateCmdLineTemp() mogą pozwolić tekstowi kontrolowanemu przez atakującego na wstrzyknięcie flag modelu, katalogu roboczego, zatwierdzania lub obejścia sandboxa, gdy odpowiedni backend CLI agenta jest zainstalowany i używany.

SumatraPDF w wersji 3.5.2 i wcześniejszych podstawia nazwę pliku źródłowego SyncTeX kontrolowaną przez atakującego w miejsce symbolu zastępczego %f w wierszu poleceń zewnętrznego edytora bez bezpiecznego cytowania argumentów Windows, a wynikowy wiersz poleceń jest przekazywany do CreateProcessW(). Użytkownik z skonfigurowanym lub automatycznie wykrytym zewnętrznym edytorem, który otworzy PDF ze spreparowanym plikiem .synctex.gz i wywoła wyszukiwanie odwrotne, może wstrzyknąć flagi wiersza poleceń.