Katalog podatności CVE

Komponent konstrukcji schematu szyfrowania po stronie klienta w sterowniku MongoDB C# umieszcza identyfikatory pól dostarczone przez wywołującego w pozycji interpretowanej jako wyrażenie wzorca, bez ich normalizacji lub walidacji. W rezultacie aplikacja, która wyznacza某些 pola do szyfrowania na poziomie pola po stronie klienta, może mieć ochronę, która po cichu nie zostanie zastosowana, więc dane przeznaczone do zaszyfrowania są przechowywane i zwracane w postaci jawnej; odwrotnie, reguła może być zastosowana szerzej niż zamierzono. Żadne działanie użytkownika nie jest wymagane do wywołania tego stanu, a każda strona z zwykłym dostępem do odczytu przechowywanych danych — bez posiadania kluczy szyfrujących — może zaobserwować niechronione wartości.

Słabość neutralizacji logiki zapytań danych w komponencie konstrukcji instrukcji aktualizacji sterownika MongoDB C# może spowodować, że wartości dostarczone przez aplikację będą interpretowane jako logika zapytań/aktualizacji, a nie jako dane literalne. Użytkownik aplikacji, który może wpływać na treść wartości przekazywanych przez aplikację do dotkniętego interfejsu budującego, bez żadnych specjalnych uprawnień poza zwykłym dostępem do odczytu i zapisu aplikacji, może spowodować modyfikację lub usunięcie przechowywanych danych w sposób, którego aplikacja nigdy nie zamierzała. Rezultatem jest nieautoryzowany wpływ na integralność danych dotkniętej aplikacji; nie ma bezpośredniej utraty poufności lub dostępności usługi bazy danych.

Słabość obsługi pamięci w komponencie deserializacji BSON sterownika MongoDB C# może spowodować zwrócenie danych pozostałych z wcześniej przetworzonej zawartości podczas parsowania specjalnie spreparowanego wejścia serializowanego. Nieuwierzytelniona strona mogąca dostarczyć dane serializowane do aplikacji, która mapuje某些 prymitywne typy kolekcji, może spowodować ujawnienie resztkowych bajtów z niepowiązanych danych przetworzonych wcześniej w tym samym wątku wykonania jako prawidłowych wartości. Może to skutkować ujawnieniem ograniczonej ilości informacji należących do innych żądań lub podmiotów aplikacji konsumującej. Wymagane jest uwierzytelnienie lub specjalne uprawnienia w aplikacji.

Wada w obsłudze szyfrowania po stronie klienta sterownika MongoDB .NET/C# może spowodować zapisanie danych przeznaczonych do szyfrowania na poziomie pola po stronie klienta bez szyfrowania. W pewnych konfiguracjach kodowania tekstu platformy wewnętrzna konwersja nazw traci informacje, więc warstwa szyfrowania nie kojarzy operacji z skonfigurowanymi regułami szyfrowania i operacja przebiega bez zgłoszenia błędu. Użytkownik aplikacji z możliwością zapisu danych przez dotkniętą aplikację może zatem mieć wrażliwe pola utrwalone w postaci jawnej, co niweczy gwarancję poufności, którą szyfrowanie po stronie klienta ma zapewnić. Nie zaobserwowano wpływu na integralność lub dostępność.

Sterownik MongoDB C# porównuje certyfikaty klienta TLS tylko według wystawcy i numeru seryjnego przy decydowaniu, czy dwóch klientów może współdzielić buforowane połączenia. W aplikacji, która tworzy klientów z certyfikatów dostarczonych przez różnych użytkowników, użytkownik, który dostarczy certyfikat kopiujący wystawcę i numer seryjny innego użytkownika, bez jego klucza prywatnego, może otrzymać połączenia uwierzytelnione certyfikatem innego użytkownika. Operacje na bazie danych mogą następnie być wykonywane pod tożsamością innego użytkownika, wpływając na poufność i integralność danych, do których ta tożsamość ma dostęp.

Sterownik MongoDB C# nie neutralizuje znaków kropki i dolara w kluczach słowników, nazwach pól i identyfikatorach filtrów tablic używanych w zapytaniach LINQ przed umieszczeniem ich w ścieżkach pól wysyłanych do serwera. Użytkownik aplikacji, którego dane wejściowe trafiają do tych miejsc, może przekierować zapytanie lub aktualizację na pola, których aplikacja nie nazwała, co może ujawnić dokumenty innych użytkowników i rozszerzyć aktualizacje poza zamierzone dane. Niektóre wartości mogą również zapisywać nieprawidłowe pola, które pozostawiają przechowywane dokumenty nieczytelne dla aplikacji do czasu ich naprawy.

Sterownik MongoDB C# nie odrzuca dokumentów zamiennych, których nazwy pól najwyższego poziomu zaczynają się od znaku dolara w FindOneAndReplace, w przeciwieństwie do innych operacji zamiany. Aplikacja, która buduje taki dokument z nazw pól dostarczonych przez użytkownika, może spowodować, że serwer zastosuje operatory aktualizacji zamiast pełnej zamiany. Efekt jest ograniczony do dokumentu dopasowanego przez filtr własny aplikacji, którego zawartość może zostać zmodyfikowana w sposób, którego aplikacja nie zamierzała.

W bibliotece MongoDB C# Driver występuje błąd walidacji danych w obsłudze BSON i ścieżce serializacji binarnej. Gdy aplikacja tworzy surowy lub leniwy dokument BSON z danych binarnych dostarczonych z zewnątrz, sterownik nie weryfikuje, czy zadeklarowany rozmiar danych zgadza się z rzeczywistą ilością dostarczonych danych, i kopiuje je bez zmian. Nieuwierzytelniona strona mogąca dostarczyć treść binarną może wstawić lub usunąć elementy w poleceniu bazy danych bez własnych poświadczeń.

W kodzie uwierzytelniania Kerberos/SSPI (tylko Windows) sterownika MongoDB C Driver występuje przepełnienie 32-bitowej liczby całkowitej, które może spowodować alokację zbyt małego bufora sterty przy zbyt długiej wartości poświadczeń w konfiguracji połączenia klienta. Strona kontrolująca konfigurację klienta może spowodować zapis poza granicami bufora. Może to uszkodzić pamięć procesu klienta i doprowadzić do odmowy usługi aplikacji klienta.

Biblioteka BSON w MongoDB C# Driver zawiera słabość niekontrolowanego zużycia zasobów podczas deserializacji jednego typu wartości BSON. Aplikacja deserializująca niezaufaną treść zatrzymuje dane pochodne przez cały czas życia procesu bez limitu. Zdalna nieuwierzytelniona strona może wywołać nieograniczony wzrost pamięci i wyczerpać dostępną pamięć aplikacji, powodując odmowę usługi.

MongoDB C# Driver zapisuje dodatkowe elementy GeoJSON bez sprawdzania, czy ich nazwy kolidują z zarezerwowanymi elementami GeoJSON, takimi jak type i coordinates. Aplikacja umieszczająca nazwy pól dostarczone przez użytkownika w tych dodatkowych elementach może zapisać dokumenty z zduplikowanymi polami geometrii, przez co serwer i sterownik zwracają różne wartości dla tego samego rekordu. Dotknięte rekordy mogą stać się nieczytelne przez sterownik.

MessagePack to implementacja serializatora dla Python msgpack.org. Przed wersją 1.2.3 rozszerzenie C msgpack-python (msgpack._cmsgpack) wycieka zdekodowaną wartość mapy, gdy deserializacja odrzuca klucz z strict_map_key=True (domyślnie). Powtarzające się złośliwe dane wejściowe mogą powodować nieograniczony wzrost pamięci procesu i odmowę usługi w aplikacjach deserializujących dane MessagePack kontrolowane przez atakującego. Dotyczy to zarówno unpackb(), jak i strumieniowego API Unpacker. Czysto pythonowy fallback nie wykazuje tego wycieku w zgłoszonych testach. Problem naprawiono w wersji 1.2.3.

LiteLLM to serwer proxy (AI Gateway) do wywoływania API LLM w formacie OpenAI (lub natywnym). Od wersji 1.87.0 do 1.100.4, 1.101.3, 1.102.2, 1.103.1 i 1.104.0-rc.2 proxy używa jednego kontekstu kryptograficznego dla sekretów w spoczynku i tokenów sesji, co pozwala uwierzytelnionemu użytkownikowi wewnętrznemu na spreparowanie metadanych zawierających sfałszowane poświadczenie administratora, które zostanie zaszyfrowane i zwrócone przez przepływ klucza API. Odtworzenie tego szyfrogramu jako tokenu bearer powoduje, że proxy ufa sfałszowanej tożsamości administratora proxy, umożliwiając dostęp administracyjny i dowolne polecenia przez endpoint MCP stdio. Wersje od 1.87.0 do 1.90.x wymagają włączenia EXPERIMENTAL_UI_LOGIN, natomiast wersje po 1.91.0 są podatne w konfiguracji domyślnej. Problem naprawiono w LiteLLM 1.100.4, 1.101.3, 1.102.2, 1.103.1 i 1.104.0-rc.2.

W aplikacji Roskus Prospero Flow CRM (wersje 2.0.0–5.26.0) brakuje autoryzacji w API użytkownika. Użytkownik z podstawową rolą może odczytać konta innych użytkowników swojej firmy (w tym o wyższych uprawnieniach), a od wersji 3.5.0 także je usuwać, ponieważ trasy GET i DELETE /api/user/{id} wymagają jedynie ważnego tokenu JWT, bez sprawdzania uprawnień.

SmileCDR HAPI FHIR nieprawidłowo sprawdza autoryzację dla warunkowych akcji tworzenia. Użytkownik posiadający uprawnienie CREATE, ale nie READ, może przesłać warunkowe utworzenie, którego predykat pasuje do istniejącego zasobu, i otrzymać zawartość docelowego zasobu.

W serwerze SmileCDR HAPI FHIR z włączonymi subskrypcjami REST-hook użytkownik z uprawnieniami do tworzenia subskrypcji może odpytywać i odczytywać zasoby, do których normalnie nie ma dostępu. Luka wynika z niewystarczającej kontroli uprawnień przy subskrypcjach.

W localstack w wersji 4.9.2 występuje podatność typu reflected cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki użytkownika za pomocą spreparowanego adresu URL.

W localstack 4.9.2 odkryto problem pozwalający atakującym na wykonanie dowolnego kodu za pomocą spreparowanej treści hostowanej pod dostępnym w sieci adresem URL. Gdy taki URL zostanie przekazany jako templateURL do punktu końcowego _localstack/cloudformation/deploy, hostowana treść może zostać wykonana w kontekście kontenera Docker.

Bytebase 0.12.0 przed 1.0.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik. Wada wynika z zaufania do konfiguracji dostawcy GitLab dostarczanej przez klienta w endpoincie POST /api/auth/login/GITLAB_SELF_HOST. Atakujący może ustawić instanceUrl na kontrolowany przez siebie serwer, który zwraca aktywnego użytkownika z wybranym adresem e-mail. Bytebase następnie wydaje tokeny sesji dla tego podmiotu, pozwalając atakującym podszyć się pod istniejących użytkowników, w tym Ownera, lub tworzyć nowych członków.

Interfejs webowy Agent Zero przed wersją 1.15 nieprawidłowo oczyszcza dane wejściowe użytkownika w wiadomościach czatu i przesyłanych plikach. Gdy Agent Zero wyświetla treść w interfejsie czatu, wstrzyknięty JavaScript jest wykonywany w kontekście uwierzytelnionej sesji ofiary.