Katalog podatności CVE

W Eleveo Call Recording Software 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej części pliku /callrec/searchAction.do komponentu Query Builder. Manipulacja powoduje nieprawidłowe kontrole dostępu. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

DOMSanitizer to narzędzie do sanityzacji DOM/SVG/MathML dla PHP 7.3+. Przed wersją 1.0.15 metoda isDangerousUrl() odpowiada za odrzucanie niebezpiecznych wartości URL w atrybutach href i xlink:href. Słabość polega na tym, że "javascript:" jest odrzucane jako schemat, podczas gdy "data:" jest odrzucane tylko wtedy, gdy w wartości URL pojawi się dosłowny podciąg onload (/^data:.*onload/i). Ponieważ ładunki data: są rutynowo kodowane Base64, niebezpieczna treść (skrypty, procedury obsługi zdarzeń itp.) jest niewidoczna dla tego testu. URL taki jak data:text/html;base64,… przetrwa w href / xlink:href, mimo że zdekodowany ładunek jest aktywnym znacznikiem. Jest to niekompletna walidacja wejścia / defekt sanityzacji w samym narzędziu. Problem naprawiono w wersji 1.0.15.

@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScript, bez dodatku C++. Przed wersjami 1.13.1 i 1.14.1, dopasowywacz dokładnej ścieżki (nazwy metody) używany przez RBAC wykonuje porównanie prefiksu zamiast porównania równości, gdy włączone jest dopasowanie bez uwzględniania wielkości liter. Jeśli jedna nazwa metody usługi jest prefiksem innej i metody mają różne reguły dostępu, żądanie dla dłuższej metody może dopasować regułę krótszej metody i spowodować nieprawidłową autoryzację. Problem naprawiono w wersjach 1.13.1 i 1.14.1.

W Eleveo Quality Management 9.7.0 znaleziono podatność. Dotyczy ona nieznanej funkcjonalności pliku /qm/cz.zoom.scorecard.webui.Scorecard/cz.zoom.scorecard.webui.Scorecard/QMBODownload. Manipulacja prowadzi do ujawnienia informacji. Atak może być uruchomiony zdalnie. Exploit został upubliczniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

W Eleveo Quality Management 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej funkcjonalności pliku Scorecard.jsp komponentu Questionnaire Audio Upload. Manipulacja prowadzi do path traversal. Atak może być inicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

W Wind River VxWorks 7 przed wersją 26.09, określone argumenty wywołań systemowych mogą powodować, że podsystem IPNET nie zwolni poprawnie przydzielonej pamięci jądra i deskryptorów plików przed zakończeniem aplikacji. Problem został naprawiony w wersji 26.09.

Niewystarczająca walidacja niezaufanych danych wejściowych w komponentach Codecs w Google Chrome przed wersją 147.0.7727.55 umożliwiła zdalnemu atakującemu potencjalny dostęp do pamięci poza zakresem poprzez spreparowany plik wideo. (Waga bezpieczeństwa Chromium: Niska)

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Book Library (Free) < 6.4.6 - Publiczny szablon strony szczegółów książki, site/views/view_book/tmpl/default.php, bezpośrednio wypisuje surowy parametr title do atrybutu HTML w cudzysłowie bez żadnej funkcji escapowania (echo $_REQUEST["title"];). Wartość zawierająca podwójny cudzysłów zamyka atrybut wcześniej i pozwala na wstrzyknięcie dowolnego HTML/JavaScript.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Vehicle Manager (Free) < 6.5.8 - Publiczna strona szczegółów pojazdu (task=view) wypisuje parametr title bezpośrednio do atrybutu HTML w cudzysłowie bez żadnego kodowania wyjścia. Znak podwójnego cudzysłowu w parametrze zamyka atrybut, umożliwiając wstrzyknięcie dowolnego znacznika, w tym tagu <script>, do strony.

Podatność została wykryta w code-projects Matrimonial System 1.0. Dotkniętym elementem jest funkcja processprofile_form w pliku /create_profile komponentu Profile Creation Endpoint. Manipulacja argumentem fname powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Real Estate Manager (Free) < 6.7.9 - Formularz "leave a review" na publicznej stronie szczegółów nieruchomości odtwarza pole title bezpośrednio z żądania bez żadnego escapowania i filtrowania, w przeciwieństwie do sąsiedniego pola komentarza, które przynajmniej częściowo usuwa tagi. Znak " w parametrze title przełamuje atrybut HTML, umożliwiając wykonanie elementu <script> w przeglądarce każdego, kto otworzy spreparowany link.

Wada znaleziona w StreamsHub Console dla Apache Kafka. Właściwości klienta Kafka dostarczane przez dzierżawcę z zasobu Console są kopiowane do konfiguracji AdminClient console-api bez filtrowania wrażliwych kluczy bezpieczeństwa, co pozwala autorowi Console CR na ustawienie config.providers i bootstrap.servers w celu eksfiltracji tokena ServiceAccount console-api do kontrolowanego przez atakującego brokera.

Token Optimizer MCP mierzy oszczędności tokenów na agenta kodowania AI, optymalizuje kontekst i udostępnia lokalny graf wiedzy w czasie rzeczywistym dla 16 klientów CLI. Przed wersją 5.1.0 serwer HTTP dashboardu w token-optimizer-mcp udostępnia /api/session-summary i /api/session-events bez żadnego uwierzytelniania — każdy klient dostępny w sieci może do nich dotrzeć bez poświadczeń. Oba handlery łączą dostarczony przez wywołującego parametr sessionId bezpośrednio ze ścieżką pliku przez path.join, a Node.js normalizuje segmenty .. podczas rozwiązywania, co pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnego pliku .jsonl dostępnego z systemu plików serwera. Problem został naprawiony w wersji 5.1.0.

ip-address to biblioteka do parsowania i manipulowania adresami IPv4 i IPv6 w JavaScript. Przed wersją 10.5.1 metoda Address6 isLinkLocal w src/ipv6.ts rozpoznaje tylko fe80::/64 zamiast pełnego zakresu link-local fe80::/10. Adres kontrolowany przez atakującego w pozostałej części fe80::/10 może zatem przejść kontrolę granicy zaufania opartą na isLinkLocal. Ten sam adres jest identyfikowany jako link-local przez getType i getScope, co ujawnia niespójną klasyfikację. Udane obejście może dotrzeć do hosta w sieci lokalnej poza zamierzoną granicą zaufania. Problem został naprawiony w wersji 10.5.1.

ip-address to biblioteka do parsowania i manipulowania adresami IPv4 i IPv6 w JavaScript. Przed wersją 10.7.1 metody isInSubnet i isHostInSubnet w src/common.ts porównują maskowane binarne ciągi bez walidacji, czy oba operandy używają tej samej rodziny IP. Kontrola zawierania między rodzinami, której wiodące bity adresu są zgodne, powoduje, że maskowane ciągi są równe, mimo że IPv4 i IPv6 nie współdzielą przestrzeni adresowej. Decyzja na liście dozwolonych lub zablokowanych może zatem sklasyfikować adres spoza zamierzonego zakresu jako zawarty. Problem został naprawiony w wersji 10.7.1.

Biblioteka ip-address przed wersją 10.7.1 akceptuje nieograniczone ciągi znaków w konstruktorze Address6, metodzie Address6.isValid i kodzie parsowania w src/ipv6.ts, rozszerzając nieprawidłowe znaki przez RE_BAD_CHARACTERS do dużych diagnostyk. Wpływ materialny występuje tylko wtedy, gdy aplikacja przyjmuje bardzo duże pole kontrolowane przez atakującego i przekazuje je do parsowania Address6 bez wcześniejszego ograniczenia długości. Typowe limity URL, nagłówków i domyślne ustawienia body-parsera zwykle ograniczają efekt; pola o rozmiarze megabajtów mogą powodować zablokowanie i wysokie przejściowe użycie pamięci, około 16 MiB może wywołać wyjątek nieprawidłowej długości ciągu, a zakończenie procesu następuje przy około 32 MiB.

W bibliotece ip-address od wersji 10.2.0 do 10.5.1 klasyfikator Address6 isPrivate w src/ipv6.ts nie rozpoznaje zakresu lokalnego NAT64 64:ff9b:1::/48. Aplikacje łączące isPrivate, isLoopback i isLinkLocal do podejmowania decyzji o granicy zaufania mogą traktować wewnętrzny adres IPv4 zakodowany przez ten zakres jako zewnętrzny. Eksploatacja zależy od sieci serwera używającej prefiksu NAT64 wybranego przez operatora w zakresie lokalnym.

W Axios od wersji 1.7.0 do 1.20.0 adapter fetch konstruuje Request z oczyszczonymi resolvedOptions, ale następnie wywołuje fetch z oryginalnymi fetchOptions. Osobna wada zanieczyszczenia prototypu w tym samym procesie wypełnia Object.prototype.headers, więc fetchOptions.headers rozwiązuje się przez dziedziczenie. Odziedziczona wartość fetchOptions.headers nadpisuje oczyszczone nagłówki Request przez drugi argument do fetch po konstrukcji Request. Nagłówki kontrolowane przez atakującego mogą zmienić autoryzację, buforowanie, dostęp do usług metadanych lub zachowanie specyficzne dla aplikacji.

W Axios od wersji 1.0.0 do 1.20.0 funkcja dispatchRequest normalizuje odziedziczone Object.prototype.headers z zastępczego obiektu konfiguracji żądania. Osobna wada zanieczyszczenia prototypu w tym samym procesie ustawia Object.prototype.headers, a zaufane interceptory żądań zwracają nową zwykłą konfigurację bez własnej właściwości headers. Po łańcuchu interceptorów dispatchRequest rozwiązuje odziedziczone nagłówki podczas normalizacji. Dalsze przetwarzanie żądania może obserwować nagłówki kontrolowane przez atakującego, w tym wartości związane z autoryzacją.

W Axios od wersji 0.27.2 do 0.34.0 i 1.20.0 żądania domyślnej instancji, które pomijają jawną metodę, mogą odczytać odziedziczoną wartość metody z Object.prototype. Jeśli inna podatność w tym samym procesie zanieczyści Object.prototype.method, wywołania takie jak axios.request({ url }) i axios({ url }) mogą wysłać zmieniający stan metodę HTTP zamiast oczekiwanego domyślnego GET. Axios nie tworzy źródła zanieczyszczenia prototypu. Jest to gadżet odczytu w wysyłaniu żądań axios.