Katalog podatności CVE

Bento4 1.6.0.0 zawiera podatność na niedomiar liczby całkowitej w parserach atomów konfiguracji avcC i hvcC. Specjalnie spreparowany plik MP4 zawierający atom o zadeklarowanym rozmiarze mniejszym niż AP4_ATOM_HEADER_SIZE może spowodować niedomiar obliczeń rozmiaru ładunku w AP4_AvccAtom::Create() lub AP4_HvccAtom::Create(). Wynikowa operacja na nadmiernie dużym buforze może przekazać nieprawidłowe lub puste wskaźniki do ścieżki kopiowania AP4_DataBuffer, co prowadzi do zakończenia aplikacji.

NanoSVG 239e102ec zawiera podatność na nieprawidłową konwersję numeryczną w nsvg__curveDivs() podczas rasteryzacji obrysu SVG. Specjalnie spreparowany dokument SVG zawierający bardzo dużą szerokość obrysu może spowodować, że zaokrąglanie zmiennoprzecinkowe da zerowy kąt podziału. Kolejny podział łuku daje nieskończoność, która jest konwertowana na int bez walidacji zakresu, co prowadzi do niezdefiniowanego zachowania i zakończenia procesu.

Discourse przed wskazanymi wersjami pozwalał na wyświetlenie elementów reviewable AI związanych z prywatnymi wiadomościami w kolejce moderacji moderatora, który nie uczestniczył w wiadomości. Filtr widoczności nie ograniczał dostępu do tych elementów, umożliwiając moderatorem odczyt poufnych treści, a w niektórych sytuacjach modyfikację (zamknięcie tematu lub usunięcie posta).

Termix od wersji 2.4.0 do 2.5.1 wymagał wyłącznie hasła jako czynnika ponownego uwierzytelnienia w endpointach wyłączania TOTP i generowania kodów zapasowych. Zmiany z refaktoryzacji cofnęły zabezpieczenie dwuskładnikowe, przez co atakujący mający sesję ofiary i znający hasło może wyłączyć 2FA bez dostępu do autentykatora.

Termix od wersji 1.7.0 do 2.5.1 wyprowadzał klucze do owijania DEK użytkowników OIDC i WebAuthn z domyślnych, zakodowanych na stałe ciągów oraz publicznego userId salt. Atakujący posiadający offline'ową kopię bazy SQLite może wyprowadzić klucz i odszyfrować zapisane hasła SSH, klucze prywatne i passphrase.

phpMyFAQ przed wersją 4.2.0-alpha jest podatny na wstrzyknięcie dzikich znaków SQL LIKE w wyszukiwaniu użytkowników czatu. Uwierzytelniony użytkownik może ominąć filtr wyszukiwania nazwy wyświetlanej i wyliczyć aktywnych użytkowników, ponieważ znaki % i _ nie są escapowane.

SumatraPDF przed wersją 3.6 zawiera lukę w funkcji MobiDoc::ParseHeader, gdzie dekoder tworzony jest z długością stałą, a nie rzeczywistą długością bufora. Złośliwy plik MOBI może spowodować odczyt poza buforem, co prowadzi do awarii aplikacji (crash).

DbGate do wersji 7.2.5/7.3.1-premium-beta.1 zawiera podatność na path traversal w funkcji fs.readFile w pliku packages/api/src/controllers/files.js. Manipulacja argumentami filePath/uri pozwala atakującemu na zdalny odczyt dowolnych plików poza dozwolonym katalogiem.

W DbGate do wersji 7.2.5-beta.5 wykryto podatność na wstrzykiwanie kodu w komponencie JSON Runner. Manipulacja argumentami comment.text/script.schedule w pliku packages/api/src/controllers/runners.js może prowadzić do zdalnego wykonania kodu. Aktualizacja do wersji 7.2.5-beta.6 usuwa problem.

W rozszerzeniu CirrusSearch dla MediaWiki występuje podatność na odbity atak XSS spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji do 1.46.0 włącznie.

W sterowniku MongoDB C Driver wykryto podatność polegającą na zapisie poza granicami bufora w logice monitorowania połączeń. Osoba kontrolująca rozwiązywanie nazw i odpowiedzi hostów z stringa połączenia może spowodować zapis poza stertą, co może doprowadzić do nieoczekiwanego zakończenia działania aplikacji.

W sterowniku MongoDB PHP Driver występuje podatność na deserializację niezaufanych danych w obsłudze monitorowania poleceń. Atakujący kontrolujący dane w operacjach bazy danych może spowodować utworzenie instancji klas aplikacji implementujących interfejs persistable i wywołanie ich metody unserialize z dostarczonymi danymi.

W libXi przed wersją 1.8.4 występuje podatność na odczyt poza granicami w funkcji XQueryDeviceState(), która może być wykorzystana przez atakującego. Opis jest niekompletny, ale podatność może prowadzić do ujawnienia informacji lub awarii.

Araxis Merge dla Windows w wersjach od 2011.4074 do 2026.0 przechowuje skonfigurowane przez użytkownika poświadczenia dla zdalnych serwerów w rejestrze Windows bez wystarczającej ochrony kryptograficznej. Uwierzytelniony atakujący bez uprawnień administratora może odzyskać i odszyfrować wszystkie poświadczenia zapisane przez użytkownika.

W bibliotece ZBar, w funkcji decode6() dla kodu kreskowego Code 128, występuje błąd niezdefiniowanego zachowania. Gdy funkcja decode_e() zwróci -1 dla nieprawidłowego wzorca krawędzi, decode6() przesuwa bitowo tę ujemną wartość, co jest operacją niezdefiniowaną. Może to prowadzić do zatrzymania programu (SIGILL) w kompilacjach z UBSan, powodując odmowę usługi.

Biblioteka libconfini w wersji 1.16.4 zawiera błąd zapisu poza granicami bufora na stercie (heap out-of-bounds write) związany z dołączonym narzędziem load_ini_buffer.h oraz funkcją strip_ini_cache(). Narzędzie alokuje dokładnie ini_length bajtów, podczas gdy strip_ini_cache() bezwarunkowo zapisuje terminator NUL pod adresem ini_source[ini_length], wymagając dodatkowego zapisywalnego bajtu.

simdjson 4.6.1 zawiera podatność na odczyt poza zakresem o jeden bajt w funkcji dom::parser::parse_unpadded(). Specjalnie spreparowany, skrócony dokument JSON, którego końcowy token strukturalny zamyka zagnieżdżoną tablicę lub obiekt, może spowodować, że json_iterator::walk_document() uzyska dostęp do buf[len] po wyczerpaniu bufora wejściowego.

Termix w wersjach od 1.7.0 do 2.5.1 w procesie wdrażania kluczy SSH tworzy wzorzec grep z danych kontrolowanych przez użytkownika i wstawia go do poleceń powłoki wykonywanych na zdalnym hoście. Uwierzytelniony użytkownik może wstrzyknąć polecenia powłoki i wykonać je z uprawnieniami wybranego konta zdalnego. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 2.5.0 do 2.5.1 pozwala uwierzytelnionym użytkownikom skonfigurować kanały powiadomień webhook lub ntfy z adresami URL kontrolowanymi przez atakującego i wywołać żądania po stronie serwera przez endpoint testowy. Brak listy dozwolonych adresów i blokowania adresów prywatnych umożliwia żądania do wewnętrznych usług HTTP. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 1.7.0 do 2.5.1 w endpoincie POST /credentials/:id/deploy-to-host pobiera rekordy poświadczeń i hostów na podstawie wartości credentialId i targetHostId bez sprawdzenia, czy należą one do żądającego użytkownika. Błędy różnicowe ujawniają istnienie rekordów oraz wartość authType, a host uwierzytelniany kluczem może otrzymać próbę połączenia SSH z kluczem publicznym atakującego. Problem naprawiono w wersji 2.5.1.