Katalog podatności CVE

openEQUELLA przed wersją 2026.1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na wykonanie dowolnego kodu poprzez wykorzystanie deserializacji Java w punkcie końcowym HTTP /invoker/*. Atakujący może ominąć listę zabronionych nazw klas, zagnieżdżając serializowany ładunek wewnątrz java.security.SignedObject.

Lokalna podatność na wykonanie kodu między użytkownikami w GNU wget (wersje Windows z eternallybored.org) z powodu zakodowanej na stałe ścieżki pliku konfiguracyjnego (C:\msys64), która jest zapisywalna przez nieuprzywilejowanych użytkowników, umożliwiając wykonanie dowolnego kodu przez dyrektywę use_askpass, potencjalnie prowadząc do eskalacji uprawnień lokalnych.

Dystrybucja Apache Lounge dla systemu Windows Apache HTTP Server zawiera podatność związaną z zakodowaną na stałe ścieżką konfiguracyjną w pliku openssl.cnf, co może umożliwić lokalne wykonanie kodu.

W WuzhiCMS 5.0.0 występuje nieograniczone przesyłanie plików o niebezpiecznym typie w punkcie końcowym przesyłania miniatur (/index.php?m=member&f=article&v=thumbUpload), co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na przesłanie spreparowanego pliku .php i wykonanie dowolnego kodu PHP na serwerze.

CMSimple 5.24 domyślnie ma wyłączoną ochronę CSRF, przez co funkcja csrfProtection() nie działa przy żadnym żądaniu administracyjnym zmieniającym stan, a formularze administracyjne nie zawierają ukrytego pola csrf_token. Uwierzytelnianie administratora opiera się wyłącznie na ciasteczkach, więc nieuwierzytelniony atakujący może wymusić na zalogowanym administratorze wysłanie sfałszowanego żądania zapisu treści z markerem skryptowym, który jest zapisywany do content/content.php i następnie wykonywany przez PHP eval() przy każdym wyświetleniu strony.

W lekserze schematów flatcc (commit 4c3b999e) występuje podatność odczytu poza granicami bufora. Gdy schemat FlatBuffers o dokładnej długości kończy się niezamkniętym cudzysłowem, logika skanowania łańcucha C w funkcji lex() odwołuje się do wskaźnika wejściowego po osiągnięciu końca bufora, co powoduje jednobajtowy odczyt poza stertą.

W lekserze schematów flatcc (commit 4c3b999e) występuje podatność odczytu poza granicami bufora. Gdy bufor schematu FlatBuffers o dokładnej długości kończy się cyfrą, pętla skanowania cyfr całkowitych w funkcji lex() wykracza poza koniec bufora wejściowego i odwołuje się do wskaźnika poza granicami, co powoduje jednobajtowy odczyt poza stertą.

W YARA 4.5.8 występuje podatność związana ze zwalnianiem nieprawidłowego wskaźnika podczas deserializacji skompilowanych plików reguł .yrc. Przyczyną jest niewystarczająca walidacja wskaźników zmiennych zewnętrznych, co może prowadzić do nieprawidłowego zwolnienia pamięci w yr_rules_destroy() lub dostępu do dzikiego wskaźnika w yr_object_create(). Atakujący może dostarczyć specjalnie spreparowany plik .yrc powodujący uszkodzenie pamięci i awarię aplikacji.

SIPGO przed wersją 1.4.3 zawiera podatność w funkcji WSConnection.Read, która nie ustawia MaxFrameSize, co pozwala nieuwierzytelnionemu klientowi WS lub WSS na wysłanie nagłówka ramki z bardzo dużą deklarowaną długością, powodując nadmierną alokację pamięci lub panikę makeslice, co prowadzi do awarii lub wyczerpania pamięci serwera.

Podatność w komponencie administracyjnym Analytics and Location Engine (ALE) umożliwia atak typu man-in-the-middle (MitM). Udana eksploatacja może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota na urządzeniu.

Podatności w interfejsie webowym Analytics and Location Engine pozwalają uwierzytelnionym zdalnym użytkownikom na uruchamianie dowolnych poleceń na hoście. Udana eksploatacja może umożliwić wykonanie dowolnych poleceń jako root, prowadząc do pełnego przejęcia systemu.

Podatność występuje w funkcji przywracania konserwacji Analytics and Location Engine (ALE). Udana eksploatacja może pozwolić uwierzytelnionemu zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu do systemu plików z uprawnieniami roota, co może skutkować pełnym przejęciem systemu.

Podatność w Analytics and Location Engine (ALE) może umożliwić nieautoryzowany dostęp, ujawnienie informacji lub odmowę usługi. Nieuwierzytelniony zdalny atakujący może wykorzystać system, wysyłając specjalnie spreparowane dane wejściowe lub przechwytując komunikację sieciową.

Podatność w komponencie Analytics and Location Engine (ALE) polega na nieprawidłowym przetwarzaniu przychodzących połączeń gniazd. Nieuwierzytelniony zdalny atakujący może ją wykorzystać, dostarczając specjalnie spreparowane dane wejściowe podczas nawiązywania połączenia.

Podatność w interfejsie zarządzania Analytics and Location Engine (ALE) może umożliwić ujawnienie wrażliwych informacji. Nieuwierzytelniony zdalny atakujący może ją wykorzystać, wysyłając specjalnie spreparowane żądania do określonych wewnętrznych punktów końcowych.

Kaneo w wersjach od 2.3.12 do 2.12.2 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom przestrzeni roboczej z rolami viewer lub member na usuwanie i modyfikowanie zadań poza przydzielonymi uprawnieniami poprzez wykorzystanie punktu końcowego masowych zadań, który pomija sprawdzanie uprawnień przestrzeni roboczej. Atakujący mogą wysyłać żądania do punktu końcowego PATCH /api/task/bulk, który weryfikuje jedynie członkostwo w przestrzeni roboczej bez wywoływania kontroli uprawnień opartej na rolach, aby trwale usunąć wszystkie zadania lub zmodyfikować ich status, priorytet, osobę przypisaną, termin i etykiety.

request-filtering-agent to implementacja http(s).Agent, która blokuje żądania do prywatnych/zastrzeżonych adresów IP. Przed wersją 3.2.1 klasy RequestFilteringHttpAgent i RequestFilteringHttpsAgent synchronicznie zgłaszały wyjątek z createConnection przy odrzucaniu dosłownego prywatnego adresu IP, takiego jak 169.254.169.254 lub 127.0.0.1. Ponieważ Node.js http.request i http.get oczekują asynchronicznego dostarczania błędów połączenia, wyjątek omijał req.on('error') i stawał się nieprzechwyconym wyjątkiem, który mógł zakończyć proces aplikacji. Nazwy hostów rozwiązywane asynchronicznie nie były dotknięte tą asymetrią dostarczania błędów. Problem naprawiono w wersji 3.2.1.

MPXJ to biblioteka open source do odczytu i zapisu planów projektów z różnych formatów plików i baz danych. Od wersji 5.5.5 do 16.4.1 MerlinReader tworzy DocumentBuilder z domyślnymi ustawieniami podczas parsowania XML z kolumny ZTIMEINTERVALS bazy danych SQLite projektu Merlin, pozostawiając włączone deklaracje doctype i encje zewnętrzne. Spreparowana baza danych może spowodować odczyt dowolnego lokalnego pliku przez parser, choć późniejsze przetwarzanie sparsowanego XML przez MPXJ sprawia, że ujawnienie zawartości pliku jest mało prawdopodobne. Problem naprawiono w wersji 16.4.1.

psd-tools to pakiet Pythona do pracy z plikami Adobe Photoshop PSD. Przed wersją 1.17.4 metody PSDImage.composite() i PSDImage.numpy() alokowały bufory wyjściowe na podstawie geometrii nagłówka PSD kontrolowanej przez atakującego, w tym szerokości, wysokości, kanałów, głębi i prostokątów warstw, przed walidacją tych wartości względem dostępnych danych pliku. Mały spreparowany plik PSD mógł zatem spowodować alokację pamięci rzędu wielu gigabajtów, a PSDImage.composite() mogło zwrócić czarny obraz zamiast zgłosić wyjątek. Usługi przetwarzające niezaufane pliki PSD mogą zostać zakończone przez obsługę braku pamięci. Problem naprawiono w wersji 1.17.4.

SIPGO to biblioteka do tworzenia usług SIP w języku GO. Przed wersją 1.4.1 funkcja ParserStream.parseSingle w sip/parser_stream.go przydziela bufor treści SIP na podstawie nagłówka Content-Length kontrolowanego przez klienta, zanim zostanie wymuszone ograniczenie ParseMaxMessageLength. Nieuwierzytelniony peer może wysłać wiadomość strumieniową przez TCP, TLS, WS lub WSS z zawyżoną zadeklarowaną długością, powodując nadmierną alokację pamięci i odmowę usługi przed odczytaniem treści. Problem został naprawiony w wersji 1.4.1.