Katalog podatności CVE

Docling to narzędzie do przetwarzania dokumentów, które parsuje różne formaty i integruje się z ekosystemem generatywnej AI. Od wersji 2.95.0 do 2.132.0 loader zasobów obrazów HTML w docling/backend/utils/image_resource_loader.py przekazuje nagłówki skonfigurowane przez ustawienie HTMLBackendOptions.headers do każdego zdalnego URL obrazu wskazanego przez niezaufany dokument, gdy enable_remote_fetch=True i fetch_images=True. Loader nie ogranicza tych poświadczeń do origin dokumentu źródłowego, co pozwala żądaniom z niestandardowymi nagłówkami, takimi jak klucze API i pliki cookie, na podążanie za przekierowaniami cross-origin i ujawnienie skonfigurowanych poświadczeń autorowi dokumentu. Domyślna konfiguracja nie jest zagrożona, ponieważ wymagane jest zdalne pobieranie i skonfigurowane nagłówki.

Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniach systemu operacyjnego w kompozytowej akcji GitHub integrate-platform-docs w Chainguard Academy (edu) od commita 7375a80caabcc31c33ec90f29687ed78c13d16ff do commita fb0efb2537d326ab18c07d620875b8ed2a4b39f3 pozwala aktorowi kontrolującemu wejścia project_id lub storage_bucket na wykonanie dowolnych poleceń powłoki na runnerze GitHub Actions, ponieważ wejścia są interpolowane bezpośrednio do poleceń Bash gcloud storage cp w kilku krokach poprzez wyrażenia ${{ inputs.* }}. Jedyny caller w repozytorium przekazywał sekrety repozytorium i działał tylko na zaufanych wyzwalaczach, więc nie było znane, aby niezaufane dane wejściowe docierały do podatnych kroków.

Użycie zmiennej $scheme po stronie backendu w przekierowaniu katalogu z ukośnikiem na końcu w nginx.conf Chainguard Academy (edu) od commita 0b75ff98057f69b044a3e7194e428066ac5ad0d4 do commita 93dc0e50739c225f5aee2e803800a47fc0feb906 pozwala atakującemu sieciowemu na ścieżce odczytać lub zmodyfikować treść dokumentacji dostarczanej ofierze poprzez żądanie HTTPS dla ścieżki katalogu bez ukośnika, ponieważ TLS kończy się na load balancerze przed Nginx, a wynikowa odpowiedź 301 przekierowuje klienta na adres http:// w postaci jawnej. Przeglądarki z listą preload HSTS nie są zagrożone, ponieważ domena najwyższego poziomu .dev jest preloadowana; klienci, którzy nie wymuszają HSTS, tacy jak klienci HTTP wiersza poleceń i skrypty podążające za przekierowaniami, są zagrożeni.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 6.14.0 do 6.27.0 problem z walidacją danych wejściowych mógł pozwolić użytkownikom personelu na dostęp do lokalnych plików poza zamierzonymi katalogami przechowywania danych na serwerze. Problem został naprawiony w wersji 6.27.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 1.18.0 do 6.27.0 luka SSRF w funkcji webhooków pozwalała użytkownikom personelu na sondowanie wewnętrznych hostów z serwera Ghost. Problem został naprawiony w wersji 6.27.0.

Ghost to system zarządzania treścią oparty na Node.js. Od wersji 0.7.2 do 6.64.0 każdy użytkownik na poziomie personelu mógł ustalić względną kolejność zahashowanych haseł innych użytkowników personelu. Nie ujawnia to bezpośrednio hashy haseł i nie zapewnia praktycznej ścieżki do odzyskania hasła. Problem został naprawiony w wersji 6.64.0.

W SSSD wykryto błąd polegający na nieprawidłowym obliczaniu przesunięcia bufora podczas przetwarzania żądań w gniazdku UNIX respondera autofs. Lokalny atakujący może wysłać specjalnie spreparowane żądanie, powodując odczyt pamięci poza zakresem bufora. Skutkuje to awarią procesu respondera autofs i odmową usługi (DoS).

W funkcji returnOutputBufferLocked w pliku DeprecatedCamera3StreamSplitter.cpp występuje możliwość odczytu poza zakresem bufora z powodu braku sprawdzenia granic. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.

Narzędzie gpgtar w GnuPG przed wersją 2.5.19 umożliwia nadpisanie pliku poprzez spreparowane dane w archiwum. Podczas rozpakowywania niezaufanego archiwum z opcją --directory (-C) do istniejącego katalogu zawierającego wcześniej utworzony dowiązanie symboliczne, gpgtar może podążyć za tym dowiązaniem i utworzyć lub nadpisać plik poza wybranym katalogiem docelowym. Zapis jest ograniczony uprawnieniami systemu plików użytkownika rozpakowującego.

W CUPS wykryto błąd wstrzyknięcia argumentów. Gdy skonfigurowane są powiadomienia e-mail, scheduler CUPS przyjmuje żądania subskrypcji drukarki zawierające mailto notify-recipient-uri. Notyfikator mailto przekazuje adres odbiorcy do skonfigurowanego programu sendmail bez zapewnienia, że nie może być zinterpretowany jako opcje wiersza poleceń. Zdalny atakujący mogący połączyć się z usługą CUPS może podać spreparowaną wartość odbiorcy zaczynającą się od "-", aby wpłynąć na zachowanie sendmail.

W Progress® Telerik® Fiddler® Classic dla Windows, w wersjach przed v6.0.20262.10021, możliwa jest desynchronizacja żądań front-end w komponencie przekazywania żądań proxy. Żądanie zawierające zarówno nagłówek Content-Length, jak i Transfer-Encoding jest przekazywane z oboma nagłówkami, podczas gdy Fiddler ramuje ciało tylko na podstawie Transfer-Encoding. Pozostałe bajty na ponownie używanym połączeniu klienta są następnie parsowane jako osobne żądanie pipelined, więc lokalny atakujący z niskimi uprawnieniami może spowodować podział pojedynczego źle sformułowanego żądania na dwa żądania przekazane do serwera źródłowego i otrzymać dodatkową odpowiedź smugglowaną, bez potrzeby podatnego serwera.

Zabbix Server/Proxy ma lukę, w której elementy binarne mogą spowodować awarię serwera/proxy przy określonym wejściu zawierającym bajt NULL, co prowadzi do potencjalnej utraty dostępności. Problem dotyczy wyłącznie wdrożeń korzystających z bazy danych MySQL/MariaDB jako bazy Zabbix.

W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w funkcji htmlspecialchars_decode pliku App/Feelcrm/Common/Model/CrmDefineFormModel.class.php w komponencie Create Customer Endpoint. Manipulacja argumentem customer_form[remark] prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.

DigitalCanion odkrył podatność stored Cross-Site Scripting (XSS) umożliwiającą uwierzytelnionemu złośliwemu użytkownikowi wstrzyknięcie trwałego kodu JavaScript lub HTML, co prowadzi do warunku odmowy usługi (DoS) w aplikacji webowej. Luka występuje w portalu webowym na porcie TCP 443, w sekcji Configuration → Users → Users List, w polu „Microsoft Exchange mailbox”, które nie waliduje ani nie sanityzuje danych wejściowych przed zapisem i renderowaniem.

DigitalCanion odkrył podatność stored Cross-Site Scripting (XSS) umożliwiającą uwierzytelnionemu złośliwemu użytkownikowi wstrzyknięcie trwałego kodu JavaScript lub HTML do aplikacji webowej. Luka występuje w portalu webowym na porcie TCP 443, w sekcji Configuration → Domains, w polu „Description”, które nie waliduje ani nie sanityzuje danych wejściowych przed zapisem i renderowaniem.

W sgl-project sglang do wersji 0.5.21 wykryto lukę w funkcji server_info pliku python/sglang/srt/entrypoints/http_server.py w komponencie HTTP Endpoint. Manipulacja argumentem api_key prowadzi do przesyłania wrażliwych informacji w postaci jawnej (cleartext). Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit został upubliczniony, a pull request z poprawką oczekuje na akceptację.

W linlinjava litemall do wersji 1.8.0 wykryto lukę w nieznanej części pliku litemall-admin-api/src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java w komponencie Login Endpoint. Manipulacja prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelniania. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit jest publiczny i może być użyty; projekt nie odpowiedział na zgłoszenie.

W code-projects Human Resource Management System 1.0 wykryto podatność cross site scripting w nieznanej funkcjonalności pliku /views/admin/liveEventHistory.php (komponent Live Event History). Manipulacja argumentem eventSubject prowadzi do wstrzyknięcia skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W SourceCodester Drug Recommendation System 1.0 wykryto słabość w nieznanej funkcji pliku Admin/add_user.php (komponent Password Handler). Manipulacja argumentem Password może prowadzić do braku szyfrowania danych wrażliwych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W code-projects Human Resource Management 1.0 wykryto podatność cross site scripting w nieznanej części pliku /humanresourcemanagementsystem/src/store/EventStore.php (komponent Event Creation). Manipulacja argumentem eventSubject prowadzi do wstrzyknięcia skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.