Katalog podatności CVE

Komponent dziennika urządzenia w Fanvil x7a w wersji 2.6.0.1182 nie sanityzuje ani nie koduje prawidłowo odzwierciedlanych danych wprowadzanych przez użytkownika. Brak sanityzacji pozwala na wstrzyknięcie kodu HTML, który może posłużyć do wykonania złośliwego kodu JavaScript w dowolnej przeglądarce renderującej komponent dziennika.

Komponent dziennika urządzenia w firmware Fanvil x7a w wersji 2.6.0.1182 nieprawidłowo oczyszcza lub koduje dane pochodzące od użytkownika. Brak sanityzacji umożliwia wstrzyknięcie kodu HTML, co pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce wyświetlającej komponent dziennika.

Problem w iTerm2 na macOS w wersji przed 3.6.12 pozwala lokalnemu atakującemu na uzyskanie poufnych informacji.

W NTFS-3G przed wersją 2026.7.7 występuje odczyt poza zakresem w funkcji ntfs_fix_file_name() w libntfs-3g/reparse.c. Atakujący może odczytać potencjalnie poufne informacje z pamięci procesu ntfs-3g, tworząc złośliwy obraz NTFS i wywołując readlink na uszkodzonym pliku.

W wger przed wersją 2.6 uwierzytelniony atakujący może wstrzyknąć dowolne wpisy dziennika treningowego do SlotEntry innego użytkownika, podając identyfikator slot_entry ofiary w żądaniu POST /api/v2/workoutlog/. Klucz obcy slot_entry nie jest weryfikowany pod kątem własności, a dane są włączane do obliczeń przeciążenia progresywnego ofiary, zaburzając automatycznie generowane cele.

W wger przed wersją 2.6 występuje luka w cyklu życia uwierzytelniania/sesji, gdzie tokeny API typu bearer pozostają ważne po wylogowaniu użytkownika i po zmianie hasła. Atakujący, który ukradnie token DRF lub JWT refresh, może nadal uzyskiwać dostęp do chronionych punktów końcowych /api/v2/* aż do ręcznego unieważnienia lub naturalnego wygaśnięcia tokenu.

W wger przed wersją 2.6 widok trainer_login akceptuje żądania GET i wykonuje django_login() bez ochrony CSRF, ponieważ oprogramowanie pośredniczące Django egzekwuje tokeny tylko dla metod niebezpiecznych. Atakujący może umieścić znacznik <img> na złośliwej stronie; gdy uwierzytelniony trener ją załaduje, jego przeglądarka automatycznie wyśle żądanie GET z ciasteczkiem sesji, wymuszając ponowne powiązanie sesji z dowolnym kontem użytkownika.

W SMA1000 Appliance Management Console (AMC) wykryto podatność typu Stored Cross-Site Scripting (XSS) wymagającą uwierzytelnienia. W określonych warunkach zdalny uwierzytelniony atakujący z uprawnieniami administratora może zapisać i potencjalnie wykonać dowolny kod JavaScript w konsoli AMC.

W funkcji extract_parts w EmailSheet w VisiData (wersja dev, commit 38b21f78) występuje luka path traversal. Specjalnie przygotowany plik .eml może doprowadzić do zapisu dowolnego pliku, co atakujący może wykorzystać, dostarczając złośliwy plik.

Podatność typu path traversal w funkcji unzip_http RemoteZipFile w VisiData (wersja dev, commit 38b21f78). Specjalnie spreparowany plik .zip może prowadzić do zapisu dowolnych plików. Atakujący może podać spreparowany URL, aby wywołać tę podatność.

Express Gateway do wersji 1.16.11 zawiera podatność polegającą na zaszytym na stałe kluczu kryptograficznym, która pozwala atakującym z dostępem do magazynu danych na odszyfrowanie zapisanych sekretów tokenów OAuth 2.0 za pomocą domyślnego crypto.cipherKey 'sensitiveKey'. Atakujący, którzy mogą odczytać Redis, mogą odszyfrować wartości tokenEncrypted i połączyć je z przechowywanymi identyfikatorami tokenów, aby uzyskać ważne tokeny bearer dla dowolnego użytkownika.

MISP zawiera defekt w przepływie zapisu zdarzeń, który uniemożliwia silnikowi korelacji ponowne przeliczenie korelacji, gdy zmieniany jest poziom dystrybucji lub grupa udostępniania zdarzenia. Podczas edycji istniejącego zdarzenia i zmiany jego dystrybucji lub sharing_group_id, wewnętrzny hook przed zapisem przechowywał nowe dane zamiast wcześniej zapisanych wartości. W rezultacie porównanie po zapisie, które decyduje o potrzebie odświeżenia korelacji, nigdy nie wykrywało zmiany, a nieaktualne korelacje pozostawały. Wpływ na bezpieczeństwo: nieaktualne korelacje mogą nadal ujawniać dane zdarzenia użytkownikom w szerszej grupie udostępniania po przeniesieniu zdarzenia do bardziej restrykcyjnej grupy, co prowadzi do niezamierzonego ujawnienia informacji. Odwrotnie, nowo istotne korelacje mogą nie pojawić się po poszerzeniu dystrybucji, pogarszając kompletność wymiany informacji o zagrożeniach. Warunki wstępne: uwierzytelniony użytkownik z prawem zapisu do co najmniej jednego zdarzenia MISP; użytkownik modyfikuje pole dystrybucji lub sharing_group_id. Dotknięte wersje: <2.5.48

W m17n-lib znaleziono błąd: dostarczenie spreparowanych danych wejściowych zawierających nieprawidłową sekwencję znaków UTF-8 może spowodować, że funkcja parsowania tekstu wejdzie w nieskończoną pętlę. Problem prowadzi do ciągłego wysokiego zużycia procesora, co skutkuje odmową usługi (DoS) dla dotkniętej aplikacji.

Express Gateway do wersji 1.16.11 zawiera podatność umożliwiającą ominięcie uwierzytelniania w przepływie refresh_token OAuth 2.0, która nie weryfikuje sekretu tokena ani klienta wydającego. Atakujący z dowolnymi prawidłowymi danymi uwierzytelniającymi klienta oraz identyfikatorem części tokena odświeżania innego użytkownika może uzyskać token dostępu tego użytkownika i podszywać się pod niego wobec API chronionych przez OAuth2.

W pakiecie smart_proxy_dynflow stwierdzono brak uwierzytelniania w aktualizacjach zadań zdalnego wykonywania. Wywołania zwrotne postępu i zakończenia akceptują raport, gdy brakuje jednorazowego tokena. Atakujący sieciowy lub użytkownik musi znać identyfikator uruchomionego zadania. Dotyczy to trybu pull lub pull-mqtt. Mogą wysyłać własne dane wyjściowe zadania i oznaczać zadanie jako zakończone sukcesem lub porażką. Zadanie jest następnie rejestrowane z tym wynikiem.

Obot 0.25.0 przed 0.25.6 oraz 0.26.0 przed 0.26.1 zawiera wyścig w odświeżaniu grup dostawcy uwierzytelniania, który może przywrócić członkostwa w grupach właśnie odebrane w dostawcy tożsamości. Gdy nakładające się odświeżenia dla tego samego użytkownika są zatwierdzane w złej kolejności, nieaktualne członkostwa są utrwalane i użytkownik zachowuje odebrany dostęp oparty na grupach przez około dziesięć minut.

Obot 0.26.0 przed 0.26.2 zawiera podatność umożliwiającą ominięcie autoryzacji, która pozwala uwierzytelnionym użytkownikom pasującym do dowolnego profilu vMCP na dostęp do promptów i zasobów nieprzyznanych komponentów. Ponieważ profile były egzekwowane tylko dla narzędzi, atakujący mogą uzyskać dostęp do promptów, zasobów i szablonów zasobów przez połączenie współdzielonego komponentu właściciela vMCP.

Obot 0.12.0 przed 0.26.2 zawiera podatność niewystarczającej ochrony poświadczeń, która pozwala uwierzytelnionym użytkownikom na odczyt statycznych sekretów ustawionych na wpisach katalogu MCP przez administratorów lub zaawansowanych użytkowników. Podstawowi użytkownicy, którym przyznano wpis przez reguły kontroli dostępu, mogą wysłać żądanie GET /api/all-mcps/entries/{entry_id}, aby uzyskać klucze API lub tokeny w postaci jawnego tekstu i nadużyć ich wobec usług zaplecza.

MiniUPnPd do wersji 2.3.11 zbudowany z opcją --strict zawiera podatność dzielenia przez zero w funkcji ProcessSSDPData(), która pozwala nieuwierzytelnionym atakującym w sieci lokalnej na zniszczenie demona. Atakujący mogą wysłać pojedynczy multicastowy datagram M-SEARCH z MX: 0 i znanym ST na port 1900, wywołując SIGFPE i odmawiając usługi UPnP IGD.

Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.