Katalog podatności CVE

Pillow, biblioteka obrazowania w Pythonie, w wersjach przed 13.0.0 pozwala metodom MpoImageFile.seek() i DcxImageFile.seek() na ponowne parsowanie późniejszych klatek MPO lub DCX i zastąpienie self._size bez ponownego uruchomienia Image._decompression_bomb_check(). Spreparowany obraz wieloklatkowy może użyć malej pierwszej klatki, aby przejść Image.open(), a następnie zadeklarować późniejszą klatkę przekraczającą limit, co podczas normalnej iteracji klatek przez seek(), load() lub ImageSequence.Iterator może zdekodować tę klatkę i zużyć setki megabajtów lub więcej, powodując odmowę usługi przez wyczerpanie pamięci.

W usłudze strumieniowania vCast w ViewSonic ViewBoard istnieje punkt końcowy przechwytywania ekranu, który pozwala zdalnemu, nieuwierzytelnionemu atakującemu pobrać bieżącą zawartość ekranu. Żądania GET do nieuwierzytelnionych punktów /snapshot lub /screen zwracają obrazy JPEG.

TastyIgniter do wersji 4.4.5 zawiera podatność typu PHP object injection, która pozwala uwierzytelnionym administratorom na wykonanie dowolnego kodu poprzez przesłanie serializowanego obiektu PHP jako wartości ustawienia, która jest przechowywana bez sanityzacji i później unserializowana przez getValueAttribute() przy odczycie ustawienia. Atakujący mogą przesłać serializowany łańcuch gadgetów, np. wygenerowany przez phpggc, poprzez formularz ustawień administratora (np. ustawienie maintenance_message ładowane przez CheckMaintenance.php), aby wykonać dowolne polecenia systemu operacyjnego jako użytkownik procesu PHP, a skutki utrzymują się do nadpisania wartości.

Magazyn systemowych urzędów certyfikacji (CA) w produktach Red Hat, dystrybuowany przez pakiety RPM ca-certificates, zawierał wiele głównych certyfikatów CA urzędów, które podpisały pośrednie certyfikaty CA ze słabymi kluczami prywatnymi wydanymi przez eMudhra. Atakujący typu man-in-the-middle mógł wykorzystać tę wadę do wystawiania certyfikatów dla dowolnych nazw hostów podpisanych słabymi pośrednimi certyfikatami CA, uznawanych za zaufane przez klientów TLS/SSL korzystających z systemowego magazynu CA. Z powodu braku możliwości wyłączenia zaufania tylko do określonych certyfikatów pośrednich we wszystkich klientach, usuwane są główne certyfikaty CA urzędów, które podpisały słabe pośrednie certyfikaty.

W itsourcecode Online Cake Ordering System 1.0 wykryto lukę w nieznanej funkcji pliku /inserttrans.php. Manipulacja argumentem prcd prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W EKKOLearnAI ekko-studio do wersji 1.0.6 funkcja saveGeneratedImages w pliku packages/server/src/modules/studio/controllers/media.ts komponentu Media Generation API jest podatna na włączenie pliku poprzez manipulację argumentem output_path. Zdalne wykorzystanie ataku jest możliwe. Dostępna jest poprawka o nazwie 1d42459c292f89e412f7f6243829e7fed2e85bf5.

W itsourcecode Online Cake Ordering System 1.0 wykryto lukę w nieznanej części pliku /deleteproduct.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest już publiczny i może być wykorzystany.

W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.

GitPython to biblioteka Pythona do interakcji z repozytoriami Git. Przed wersją 3.2.1 funkcja create_submodule() w git/objects/submodule/base.py akceptuje ścieżkę podmodułu kontrolowaną przez atakującego, taką jak .git/hooks, i wywołuje _clone_repo() przed bezpiecznym odrzuceniem celu. W wersji 3.1.x _validate_repo_path() nie istnieje i wywołanie kończy się po cichu, a w 3.2.0 i późniejszych sprawdzenie w git/index/base.py zgłasza ValueError dopiero po zapisaniu klonu na dysk i nie usuwa umieszczonego pliku. Atakujący może umieścić wykonywalny hook post-checkout, który zostanie uruchomiony przez późniejszą operację Git.

toml-node to parser TOML dla Node.js i przeglądarek. W wersjach przed 5.0.1 funkcja toml.parse() przekazuje nieograniczone sekwencje cyfr szesnastkowych, ósemkowych, binarnych i dziesiętnych do BigInt() przed sprawdzeniem zakresu 64-bitowego, co pozwala na atak typu denial of service poprzez synchroniczne zablokowanie pętli zdarzeń Node.js.

toml-node to parser TOML dla Node.js i przeglądarki. Przed wersją 5.0.1 funkcja toml.parse() wielokrotnie dzieli i łączy każdy prefiks ścieżki w lib/compiler.js podczas przetwarzania długich kluczy kropkowych, nagłówków tabel, nagłówków tablic tabel i kluczy tabel inline w assign(), deepRef() i setNestedKey(). Powstała praca kwadratowa może zablokować pętlę zdarzeń Node.js na kilka sekund, a wystarczająco długie ścieżki mogą zakończyć proces z powodu wyczerpania pamięci.

toml-node to parser TOML dla Node.js i przeglądarki. Przed wersją 5.0.1 funkcja toml.parse() może zapisywać kontrolowane przez atakującego właściwości do Object.prototype, ponieważ quoteDottedString() w lib/compiler.js tworzy ten sam ciąg księgowania dla różnych ścieżek kluczy w cudzysłowach, co pozwala addTableArray() wyczyścić zabezpieczenie innego klucza. Ścieżka assign() schodzi następnie przez nieposiadaną wartość Date bez zastosowania sprawdzenia posiadanego kontenera i może dotrzeć do łańcucha prototypów. Obiekty utworzone w innym miejscu procesu mogą odziedziczyć wstrzykniętą właściwość. Podatność naprawiono w wersji 5.0.1.

toml-node to parser TOML dla Node.js i przeglądarki. Przed wersją 5.0.1 funkcja addTableArray() w lib/compiler.js ponownie skanuje kompletne zestawy księgowe assignedPaths i valueAssignments dla każdego nagłówka tablicy tabel. Różne ścieżki [[name]] nie są przycinane, więc dokument z wieloma takimi nagłówkami powoduje kwadratową pracę synchroniczną i może zablokować pętlę zdarzeń Node.js, odmawiając usługi innym operacjom w procesie.

Narzędzie nbconvert (jupyter nbconvert) w wersjach 5.4.0–7.17.1 zawiera podatność path traversal w ExtractOutputPreprocessor, gdzie kontrolowana przez atakującego nazwa pliku metadanych wyjściowych komórki jest łączona z output_files_dir bez ograniczenia do docelowego katalogu. Podczas konwersji złośliwego notatnika z eksporterem markdown, LaTeX, reStructuredText lub AsciiDoc dane wyjściowe mogą zostać zapisane w dowolnych lokalizacjach dostępnych dla ofiary.

W integracji webpack dla @sentry/nextjs w wersjach od 9.36.0 do 9.47.2, 10.75.2 i 11.0.0-rc.1 middleware aplikacji jest pomijane dla ścieżek pod skonfigurowanym tunnelRoute. Gdy trasa aplikacji koliduje ze ścieżką tunelu, nieuwierzytelnione żądanie może dotrzeć do trasy bez autoryzacji middleware.

Django REST framework to zestaw narzędzi do budowania API sieciowych. Przed wersją 3.18.2 funkcja DefaultContentNegotiation.get_accept_list w rest_framework/negotiation.py akceptuje nieograniczoną liczbę i łączny rozmiar tokenów Accept, podczas gdy select_renderer w tym pliku wielokrotnie wywołuje parsowanie _MediaType z rest_framework/utils/mediatypes.py dla każdego tokenu kontrolowanego przez atakującego, każdego renderera i wymuszonej renegocjacji 406. Zdalny nieuwierzytelniony klient może wysłać wiele odrębnych typów mediów zawierających duże wartości parametrów w cudzysłowach z licznymi średnikami, powodując nieproporcjonalne zużycie CPU przez parser parametrów Django i powtarzalną strukturę parsowania DRF. Żądania do dowolnego osiągalnego endpointu mogą blokować synchroniczne workery na dłuższy czas, a równoczesne żądania mogą spowodować niedostępność usługi do momentu zaprzestania żądań. Problem naprawiono w wersji 3.18.2.

W Django REST framework od wersji 3.12.0 do 3.18.2 metoda TokenProxy.delete() używa identyfikatora użytkownika jako klucza głównego, podczas gdy rzeczywiste wiersze identyfikuje ciąg tokena, przez co Django wykonuje zapytanie usuwające, które nie pasuje do żadnego wiersza i zgłasza zero usunięć bez błędu. Aplikacje lub skrypty unieważniające poświadczenia przez TokenProxy mogą sądzić, że token został unieważniony, podczas gdy pozostaje on aktywny i nadal uwierzytelnia, a tokeny DRF nie wygasają automatycznie.

Podatność w bibliotece Perl Algorithm::UrataniTakeda (wersje 0.1.5 do 0.1.7) pozwala na wyczerpanie pamięci poprzez nieczyszczony cache przesunięć błędów podczas wyszukiwania. Cache jest przechowywany dla każdej pary stan trie i znak tekstu i nigdy nie jest usuwany, co prowadzi do wzrostu zużycia pamięci przy każdym wyszukiwaniu z nowymi znakami.

W OpenSCAP podczas dekompozycji pliku Source DataStream (SDS) aplikacja nieprawidłowo waliduje atrybuty względnych ścieżek plików, co prowadzi do podatności path traversal. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika lub zautomatyzowany system do dekompozycji spreparowanego datastreamu zawierającego sekwencje przejścia katalogów. Udane wykorzystanie pozwala na nieautoryzowane tworzenie lub modyfikację plików poza docelowym katalogiem z uprawnieniami procesu wykonującego.

Wykryto błąd w wymaganej akcji Update User Locale w rozwiązaniu Keycloak. Gdy akcja ta jest uporządkowana przed akcją Configure OTP w realmie, system może nie wymuszać obowiązkowej rejestracji uwierzytelniania wieloskładnikowego podczas logowania. Pozwala to atakującemu z ważnym hasłem uzyskać dostęp do konta bez skonfigurowania wymaganego jednorazowego hasła (OTP).