Katalog podatności CVE

W bibliotece node-forge przed wersją 1.4.1 funkcja certificate.verify(child) wybierała parametry dopełnienia RSA i RSASSA-PSS na podstawie certyfikatu wystawcy, a nie weryfikowanego certyfikatu potomnego. Certyfikat potomny oznaczony jako RSASSA-PSS mógł zostać zaakceptowany z podpisem PKCS#1 v1.5, jeśli wystawca używał PKCS#1 v1.5.

Szafir zawiera podatność typu Path Traversal w nazwie przesyłanego pliku. Atakujący w pozycji man-in-the-middle, który przekieruje żądanie aktualizacji na własny serwer, może przygotować dowolny plik XML, który zostanie zapisany w lokalizacji wybranej przez atakującego. Problem naprawiono w wersji 2.0 build 708.

Wasmtime w wersjach 47.0.0 przed 48.0.6 oraz 49.0.0 przed 49.0.3 zawiera błąd niewyrównania pamięci w układzie VMContext, który powoduje niezdefiniowane zachowanie, gdy moduły zawierają nieparzystą liczbę tagów wyjątków. Moduł WebAssembly z nieparzystą liczbą tagów powoduje niewyrównanie kolejnych pól hosta w embedderach z włączonymi wyjątkami, choć obecnie nie jest znana ścieżka eksploatacji.

Wasmtime przed 36.0.18, 37.0.0 przed 48.0.6 oraz 49.0.0 przed 49.0.3 nie weryfikuje, czy wartości set-path-with-query w wasmtime-wasi-http są ścieżkami, więc adresy URL w formie absolutnej są zapisywane dosłownie jako cel żądania HTTP/1.1, podczas gdy połączenie używa dozwolonego authority. Złośliwy gość może podać absolutny URL, który proxy forward lub brama przy tym authority zaakceptuje, docierając do hostów zabronionych przez polityki filtrowania embeddera.

Parse Server przed 8.6.106 oraz 9.0.0 przed 9.10.5-alpha.7 nieprawidłowo obsługuje klucze notacji kropkowej z wartościami null lub undefined podczas budowania zapisywanego obiektu, więc zapis jest przechowywany, ale zwraca błąd i pomija wyzwalacze afterSave oraz zdarzenia LiveQuery. Klient z prawem zapisu może to wykorzystać do obejścia logowania audytowego, powiadomień i aktualizacji danych pochodnych.

Parse Server przed 8.6.107 oraz 9.0.0 przed 9.10.5-alpha.8 zwraca przechowywaną wartość pola przywróconego przez wyzwalacz beforeSave w odpowiedziach na aktualizację obiektu, nawet klientom bez prawa odczytu tego obiektu lub pola. Uwierzytelniony klient mogący aktualizować obiekt, którego wyzwalacz beforeSave przywraca pole (poprzez revert() lub walidator constant: true), może odczytać chronione wartości, w tym surowe authData MFA własnego konta, gdy włączone jest protectedFieldsTriggerExempt.

ImageMagick przed 7.1.2-34 zawiera przepełnienie bufora na stercie w przetwarzaniu opcji -morph, gdzie spreparowane obrazy powodują zapisy poza granicami bufora sterty. Atakujący może dostarczyć spreparowany obraz, który podczas przetwarzania przez użytkownika z opcją -morph uszkadza pamięć sterty i powoduje awarię aplikacji.

ImageMagick przed 7.1.2-34 zawiera podatność na przepełnienie stosu w dekoderze TIFF, występującą gdy dekoder DNG jest wyłączony. Atakujący może dostarczyć spreparowany plik obrazu do przetworzenia, aby wywołać przepełnienie stosu i awarię aplikacji, powodując odmowę usługi.

P-Net przed 1.0.3 przekazuje do callbacku alarmowego aplikacji długość danych wyliczoną z pola długości części zmiennej odebranej ramki alarmowej RTA bez sprawdzenia jej względem długości odebranej ramki. Krótka ramka może spowodować, że callback otrzyma długość do 65507 bajtów. Aplikacja kopiująca zgłoszoną liczbę bajtów odczytuje dane poza buforem odbioru. Atakujący musi mieć ustanowioną relację aplikacyjną i wymaga dostępu sieciowego z sąsiedztwa. Aplikacje niekorzystające z danych alarmowych nie są dotknięte.

Inicjalizacja zasobu z niezabezpieczoną wartością domyślną w OpenText Advanced Authentication Server pozwala na nadmierną alokację. Problem dotyczy wersji od 6.4.0.0 do 6.4.3.x, od 6.5.0.0 do 6.5.0.x oraz od 6.6.0.0 do 6.6.1.0. Poprawka polega na utworzeniu bezpiecznej konfiguracji; wydanie 6.6.2.0 zawiera wpis najlepszych praktyk w przypadku niezabezpieczonej konfiguracji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.3 może pozwolić uwierzytelnionemu atakującemu na wygenerowanie archiwum ZIP zawierającego ścieżki wpisów wykraczające poza zamierzony katalog ekstrakcji. Ekstrakcja archiwum przez ofiarę przy użyciu narzędzia niesanityzującego może spowodować zapis dowolnych plików na hoście ofiary.

W polkit wykryto błąd polegający na tym, że przetwarzanie danych wejściowych rozpoczynających się od bajtu null powoduje błąd arytmetyczny w pomocniku agenta uwierzytelniania. Prowadzi to do niedomiaru liczby całkowitej podczas obliczania długości bufora i w konsekwencji do odczytu poza granicami pamięci, co może spowodować awarię aplikacji i odmowę usługi (DoS).

Wtyczka WordPress 'Contact Form by Supsystic' w wersji przed 1.11.1 nie usuwa znaków CR/LF ani nie waliduje ponownie wartości pól przed dołączeniem ich do nagłówków wychodzących wiadomości e-mail, gdy formularz mapuje pole na nagłówek Reply-To, From lub Cc. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnych nagłówków e-mail, takich jak dodatkowi odbiorcy Bcc lub Cc, do wiadomości powiadomienia.

Wtyczka WordPress Video Player for YouTube w wersji przed 2.1.4 nie sprawdza uprawnień w obsłudze AJAX dla presetów odtwarzacza. Umożliwia to użytkownikom z rolą Contributor i wyższą odczytanie witrynowej konfiguracji presetów odtwarzacza, a w wersjach przed 2.1.1 także jej modyfikację i usunięcie.

Wtyczka WordPress WP Post Author w wersji przed 4.2.0 nie ogranicza ustawień integracji zwracanych odwiedzającym, co pozwala nieuwierzytelnionym użytkownikom odczytać klucz tajny reCAPTCHA, jeśli został zapisany.

Wtyczka WordPress WP Post Author w wersji przed 4.2.0 nie sprawdza, czy konto zostało utworzone przed aktualizacją profilu podczas rejestracji front-end, co pozwala nieuwierzytelnionym użytkownikom nadpisać nazwę wyświetlaną, pseudonim i stronę internetową pierwszego konta użytkownika (zwykle administratora), gdy formularz rejestracji deklaruje jedno z tych pól.

Wtyczka WordPress Appointment Booking Plugin w wersji przed 5.7.6 nie escapuje niektórych ustawień treści kroków formularza rezerwacji przed renderowaniem ich w publicznym formularzu rezerwacji. Pozwala to użytkownikom o wysokich uprawnieniach (np. administratorom) wstrzyknąć JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego formularz; w trybie multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, przekracza to granicę uprawnień w stosunku do nieuwierzytelnionych odwiedzających.

Wtyczka WordPress LetterPress w wersji przed 2.4.0 nie sanityzuje i nie escapuje niektórych swoich ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach (np. administratorowi) na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone (np. w konfiguracji multisite).

W projekcie inventariobasico (wersje c9377cdba474deb3eb5a0704d197b5733af16b47/f9db0c0a04d79ad931c218140df4fb23809d4fab) wykryto lukę w nieznanym kodzie pliku addlist.php w komponencie Add Product Page. Manipulacja argumentem nazwy produktu prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystywany; projekt działa w modelu rolling release i nie odpowiedział na zgłoszenie.

xianyu-auto-reply-fix do wersji 2.0.7 zawiera podatność braku autoryzacji w endpointcie POST /send-message, która pozwala nieuwierzytelnionym atakującym wysyłać wiadomości z kont innych użytkowników przy użyciu publicznie znanych domyślnych sekretów API. Atakujący może podać zaszyty na stałe api_key oraz cookie_id innego użytkownika, a także wybrane wartości chat_id, to_user_id i message, aby wysłać dowolne wiadomości Xianyu do kupujących z tego konta sprzedawcy.