Katalog podatności CVE

PictShare w wersji przed 3.7.1 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionemu atakującemu uzyskać tajny kod delete_code oraz metadane uploadera przez wywołanie endpointu API::info(). Endpoint zwraca pełny surowy obiekt metadanych bez białej listy pól.

figlet.js to sterownik FIG napisany w JavaScript implementujący specyfikację FIGfont. W wersjach przed 1.11.3 funkcje text() i textSync() mogą wejść w nieskończoną pętlę, gdy opcja whitespaceBreak jest włączona, a szerokość jest mniejsza niż szerokość renderowanego pojedynczego znaku FIGlet.

W oprogramowaniu Teledyne FLIR Aware2 w wersjach do 6.9.0.2 (PackBot) i 1.7.9 (FirstLook) występuje przesyłanie danych sterujących z jednostki operatorskiej do robota przez UDP w postaci jawnej, bez kryptograficznej weryfikacji integralności.

W bibliotece Amazon Ion Python w wersjach przed 0.15.0 występuje niekontrolowana rekurencja w czytniku Ion. Zdalny nieuwierzytelniony atakujący może doprowadzić do awarii aplikacji korzystającej z biblioteki poprzez specjalnie spreparowaną, głęboko zagnieżdżoną wartość Ion.

W PeaZip 11.2.0 i wcześniejszych występuje podatność zapisu poza granicami bufora (CWE-787) w procedurze rozpakowywania archiwów PEA (pea.pas, unpea_procedure). Atakujący może przekonać ofiarę do otwarcia lub rozpakowania spreparowanego archiwum .pea, co pozwala na wykonanie dowolnego kodu jako użytkownik uruchamiający PeaZip.

GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych jest podatny na trwały Cross-Site Scripting (XSS) w funkcjonalności "Theme to Components" (admin/components.php) poprzez parametr title. Zapisany tytuł jest renderowany wewnątrz atrybutu HTML w podwójnych cudzysłowach w interfejsie administracyjnym, a wartość jest dekodowana z encji HTML przed wypisaniem, bez ponownego kodowania dla kontekstu atrybutu.

W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych, uwierzytelniony użytkownik z uprawnieniami do edycji stron może zapisać dowolną ścieżkę systemu plików w atrybucie szablonu strony. Na publicznym froncie wartość ta jest przekazywana bez sanityzacji do funkcji PHP include() podczas renderowania strony, co umożliwia Local File Inclusion z przechodzeniem po katalogach i wykonaniem dowolnych plików lokalnych (jeśli zawierają PHP). Brak publicznie dostępnych łat.

W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych istnieje podatność na przechowywany Cross-Site Scripting (XSS) w podglądzie kopii zapasowych stron (admin/backup-edit.php). Pola stron są poprawnie kodowane HTML przy zapisie, ale podgląd kopii zapasowej dekoduje je ponownie (htmldecode() / strip_decode()) i wyświetla wynik bez ponownego escapowania. Użytkownik z uprawnieniami do edycji strony może zapisać JavaScript w polach Keywords, Description, Menu text lub Content; wykonuje się on w przeglądarce administratora przeglądającego kopię zapasową, w kontekście panelu administracyjnego. Brak publicznie dostępnych łat.

W GetSimple CMS CE przed wersją 1.5, procedura aktualizacji pobiera URL podany przez użytkownika za pomocą file_get_contents() po tylko walidacji formatu (FILTER_VALIDATE_URL) — brak walidacji celu żądania. Atakujący, który może przesłać formularz, może sprawić, że serwer wyśle żądania do dowolnych miejsc, w tym do usług wewnętrznych i endpointów metadanych chmury (169.254.169.254). Odpowiedź jest zapisywana do pliku dostępnego z sieci (/Tmpfile.zip) i nie jest usuwana, gdy zawartość nie jest prawidłowym ZIP, co czyni to pełnym SSRF: atakujący może odczytać odpowiedź wewnętrznego żądania. Problem naprawiono w wersji 1.5.

W Sakai (CLE) w wersjach od 23.0 do przed 23.5 oraz od 25.0 do przed 25.3, narzędzie Conversations przechowuje wiadomości tematów i postów bez sanityzacji HTML, a frontend renderuje je za pomocą dyrektywy unsafeHTML() z LitElement, co powoduje przechowywane XSS. Każdy uwierzytelniony użytkownik z dostępem do witryny z włączonym narzędziem Conversations może wstrzyknąć dowolny HTML i JavaScript, który wykonuje się w przeglądarkach wszystkich innych użytkowników przeglądających dany temat lub post. Problem naprawiono w wersjach 23.5, 25.3 i 26.0.

W Document Merge Service przed wersją 9.1.0 istnieje podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie szablonu po stronie serwera (SSTI), co pozwala na wykonanie kodu dostarczonego przez użytkownika w kontekście serwera, gdzie jest wykonywany jako użytkownik document-merge-server z UID 901, dając atakującemu znaczną kontrolę nad kontenerem. Podatność dotyczy szablonów XLSX, gdzie biblioteka xltpl używa niesandboxowanego środowiska Jinja do przetwarzania szablonu. Problem naprawiono w wersji 9.1.0.

W interfejsie webowym Teledyne FLIR Aware2 w wersjach do 6.9.0.2 brakuje uwierzytelniania, co pozwala zdalnym, nieuwierzytelnionym atakującym na przeprowadzenie ataku DoS na roboty Teledyne FLIR PackBot działające na tym oprogramowaniu poprzez niewłaściwe użycie endpointu restartu.

Budowa indeksu IVFFlat w pgvector przed wersją 0.8.7 pozwala użytkownikowi bazy danych na zapis danych poza dozwolonym obszarem (out-of-bounds), co może prowadzić do wykonania dowolnego kodu.

Aplikacja Joyland AI pozwala atakującemu z dostępem do współdzielonej sieci na wstrzyknięcie JavaScript do treści ładowanej w WebView. Bez uprawnień nadanych przez użytkownika, atakujący może uzyskać dostęp do schowka, wysyłać dowolne żądania HTTP za pomocą modułu 'stream' Weex lub uzyskać dostęp do wewnętrznego magazynu aplikacji. Jeśli aplikacja ma wcześniej nadane uprawnienia, atakujący może uzyskać dostęp do całego systemu plików, kamery, mikrofonu i śledzenia GPS.

W usłudze TDDPv2 (/usr/bin/tddp) na Deco M9 Plus istnieje podatność na przepełnienie bufora opartego na stosie z powodu niewystarczającej walidacji długości odszyfrowanych danych żądania przed skopiowaniem ich do bufora o stałym rozmiarze w handlerze podtypu 0x91. Skuteczne wykorzystanie może pozwolić sąsiedniemu, nieuwierzytelnionemu atakującemu na spowodowanie DoS lub wykonanie dowolnego kodu podczas fazy konfiguracji urządzenia poprzez spreparowane pakiety TDDP.

W usłudze TDDPv2 (/usr/bin/tddp) na Archer AX90 V1 istnieje podatność na wstrzyknięcie poleceń. Nieuwierzytelniony atakujący z sąsiedniej sieci może wykorzystać handler polecenia setProductVer do wykonania dowolnych poleceń systemu operacyjnego jako root podczas bootowania urządzenia. Skuteczne wykorzystanie może prowadzić do całkowitej kompromitacji urządzenia poprzez wykonanie dowolnych poleceń z uprawnieniami root.

Vvveb przed wersją 1.0.8.6 zawiera podatność SSRF, ponieważ walidacja adresów IP obsługuje tylko IPv4, a nie IPv6. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać proxy oEmbed do odczytu wewnętrznych usług i metadanych chmury, w tym danych uwierzytelniających IAM.

Vvveb przed wersją 1.0.8.6 ma wadliwy mechanizm czyszczenia ścieżek, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do kopii zapasowych na odczyt i usunięcie dowolnych plików na serwerze. Można odzyskać dane uwierzytelniające bazy danych, czytać pliki systemowe i usunąć config/db.php, co umożliwia pełne przejęcie strony.

Vvveb przed wersją 1.0.8.6 ma sanitizer HTML, który nie usuwa atrybutów obsługi zdarzeń, gdy tag zawiera znak większości w wartości atrybutu w cudzysłowie. Autor treści o niskich uprawnieniach może przechowywać złośliwy kod JavaScript, który wykonuje się w przeglądarkach odwiedzających i administratorów, co może prowadzić do przejęcia konta administratora.

Integracja klienta Confluent Kafka Python z HashiCorp Vault KMS ma nieprawidłową walidację certyfikatów TLS, co może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji.