Katalog podatności CVE

PJSIP to biblioteka komunikacji multimedialnej w C. W wersjach 2.17 i wcześniejszych backendy OpenSSL i GnuTLS kopiują wartości DNS SubjectAltName za pomocą funkcji łańcuchowych, które przeliczają długość i obcinają osadzony bajt NUL, co pozwala na akceptację certyfikatu dla hosta będącego prefiksem nazwy docelowej.

SysReptor to platforma do raportowania testów penetracyjnych. W wersjach przed 2026.61 uwierzytelnieni użytkownicy SysReptor Professional mogą przesyłać pliki obrazów, których formaty powodują wywołanie Ghostscript, pozwalając na działanie osadzonego PostScript w współdzielonym katalogu tymczasowym. Atakujący może to wykorzystać w połączeniu z wyścigiem na plikach konfiguracyjnych GnuPG, aby wstrzyknąć kontrolowany kod Python do katalogu aplikacji.

SysReptor to platforma do raportowania testów penetracyjnych. W wersjach przed 2026.58 instalacje z włączonym resetowaniem hasła e-mailem i skonfigurowanym ALLOWED_HOSTS z wildcardem akceptują kontrolowany przez atakującego nagłówek Host podczas generowania linku resetowania hasła. Nieuwierzytelniony atakujący może zażądać e-maila resetującego, którego link wskazuje na system atakującego.

PJSIP to darmowa i otwarta biblioteka komunikacji multimedialnej napisana w C. W wersjach 2.17 i wcześniejszych parser AVI w PJSIP w pliku pjmedia/src/pjmedia/avi_player.c używa długości fragmentu wideo z pliku wejściowego jako liczby bajtów kopiowanych do bufora ramki, którego pojemność jest wyliczana na podstawie zadeklarowanych wymiarów mediów. Spreparowany plik AVI może zatem spowodować kontrolowane przez atakującego zapis poza granicami alokacji sterty, gdy aplikacja odtwarza plik lub pobiera jego ramki. Istniejąca asercja rozmiaru nie chroni produkcyjnych kompilacji, w których asercje są wyłączone. Typowe lokalne odtwarzanie może spowodować awarię procesu, podczas gdy aplikacje przyjmujące niezaufane źródła AVI są narażone na poważniejsze uszkodzenie pamięci. W momencie przeglądu nie jest dostępna żadna poprawiona wersja.

c-ares to asynchroniczna biblioteka resolvera DNS. W wersjach przed 1.34.7 funkcja ares_dns_name_parse() wymusza wsteczne wskaźniki kompresji DNS, ale nie ogranicza całkowitej liczby przeskoków wskaźników ani długości składanej nazwy. Złośliwy serwer DNS może wysłać odpowiedź z długim łańcuchem zstępujących wskaźników i wieloma rekordami zasobów, powodując powtarzalną dekompresję o złożoności kwadratowej.

Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-beta.3 uwierzytelniony użytkownik z dostępem viewer do jednego projektu może podać inny projekt w parametrze zapytania project na endpointach listy, co pozwala na dostęp do dashboardów, źródeł danych i zmiennych bez autoryzacji dla wybranego projektu.

Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-rc.0 endpointy listy używane z bazą danych systemu plików wiążą kontrolowany przez żądanie parametr project z strukturą Query bez walidacji pod kątem znaków przejścia katalogów, co pozwala na odczyt dowolnych plików YAML lub JSON dostępnych dla procesu Perses.

Perses w wersjach od 0.43.0 do 0.54.0-rc.0 nie wymaga uprawnień odczytu do powiązanego projektu lub globalnego Sekretu podczas tworzenia lub proxy niezapisanego datasource. Użytkownik z niskimi uprawnieniami może podłączyć Sekret, którego normalnie nie może odczytać, wskazać datasource na kontrolowaną przez siebie usługę i spowodować wysłanie odszyfrowanego sekretu w postaci jawnej.

LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionemu użytkownikowi przesłać kontrolowane identyfikatory rekordów do endpointu DuplicateRecordsToOtherVehicles, wskazując docelowe pojazdy, które może edytować. Endpoint autoryzuje pojazdy docelowe, ale pobiera rekordy źródłowe bez sprawdzania uprawnień do pojazdu źródłowego, co umożliwia kopiowanie rekordów należących do innego użytkownika do pojazdu kontrolowanego przez atakującego.

LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionym użytkownikom niebędącym administratorami wpływać na nazwę przekazywaną do funkcji RenameFile, która buduje nową ścieżkę bez weryfikacji, czy rozwiązana ścieżka bezwzględna pozostaje w katalogu web root lub data. Spreparowana nazwa przesyłanego pliku może przenieść plik poza zamierzony katalog przechowywania.

Icinga 2 od wersji 2.4 do 2.14.9, 2.15.4 i 2.16.2 zapisuje kontrolowane przez atakującego nazwy szablonów do generowanej konfiguracji bez ich escapowania. Uwierzytelniony ApiUser z uprawnieniem objects/create/* może wstrzyknąć konfigurację Icinga 2 DSL, utworzyć dodatkowe obiekty i przekroczyć przypisane uprawnienia.

Icinga 2 przed wersjami 2.14.9, 2.15.4 i 2.16.2 nie ogranicza głębokości zagnieżdżenia JSON, co może wyczerpać stos wywołań. Ścieżki parsowania JSON są dostępne dla nieuwierzytelnionych klientów sieciowych przez usługę Icinga 2 na porcie TCP 5665, co pozwala zdalnemu atakującemu na zawieszenie procesu.

LMDeploy w wersjach 0.12.1 do 0.12.2 zawiera lukę wstrzyknięcia kodu w pliku lmdeploy/pytorch/config.py w linii 620. Atakujący może wykonać dowolny kod Python, publikując złośliwy model HuggingFace ze spreparowaną wartością quantization_config.quant_dtype, która jest przekazywana do eval() bez walidacji.

Parseable przed wersją 3.0.0 używa unwrap() podczas parsowania nagłówka x-amz-firehose-common-attributes przed uwierzytelnieniem. Zdalny nieuwierzytelniony atakujący może dostarczyć dane niebędące UTF-8, zniekształcony JSON lub nieprawidłowe wartości nagłówka, wywołując panikę Rusta i przerwanie obsługi żądań.

Podatność w Mongoid (obiektowo-dokumentowy mapper) dotyczy niebezpiecznego bezpośredniego odwołania do obiektu w obsłudze zagnieżdżonych atrybutów. Użytkownik z podstawowymi uprawnieniami może odwołać się do identyfikatora rekordu, który nie jest jego własnym, co prowadzi do wyszukania rekordu bez zwykłych ograniczeń własności i jego modyfikacji oraz powiązania z rekordem atakującego.

Podatność w Forget-C Jellyfish AI Short Drama Studio (wersje 0.1.0-alpha do 0.3.2) dotyczy brakującej autoryzacji w pliku backend/app/dependencies.py komponentu FastAPI. Atak zdalny jest możliwy, co pozwala na dostęp do funkcji bez uwierzytelnienia.

Podatność w Cockpit pozwala nieuwierzytelnionemu zdalnemu atakującemu na zainicjowanie i utrzymanie wielu równoczesnych połączeń z usługą cockpit-tls, co zmusza usługę do tworzenia nieograniczonej liczby wątków i zużywania zasobów systemowych, takich jak pamięć i deskryptory plików. Skutkiem jest odmowa usługi (DoS).

Podatność w Convoy (brama webhooków) przed wersją 26.6.8 dotyczy endpointu GET /api/v1/projects/{projectID}/sources/{sourceID}. Endpoint autoryzuje dostęp do projektu w URL, ale funkcja Handler.GetSource pobiera źródło tylko po sourceID bez potwierdzenia, że ProjectID pasuje do autoryzowanego projektu. Uwierzytelniony użytkownik lub posiadacz klucza API z zakresem projektu może podstawić identyfikator źródła innego dzierżawcy i otrzymać pełny rekord źródła, w tym niezaciemnione poświadczenia AMQP, Kafka, SQS lub Google PubSub.

Podatność w bibliotece adm-zip (JavaScript) przed wersją 0.6.1 dotyczy funkcji getData() w zipEntry.js, która ufa rozmiarowi nieskompresowanemu z centralnego katalogu i alokuje pamięć przed walidacją. Mały spreparowany plik ZIP może deklarować wielogigabajtowy rozmiar, powodując nadmierne zużycie pamięci przed zgłoszeniem błędu CRC. Aplikacje czytające wpisy z niezaufanych archiwów mogą zostać przerwane przez system lub doświadczyć wyczerpania pamięci.

Podatność w WACRM (samodzielny szablon CRM dla WhatsApp) w wersji 0.7.0 i wcześniejszych dotyczy tras zapisu przepływów i automatyzacji, które uwierzytelniają przeglądających, ale nie egzekwują roli agenta przed użyciem klienta bazy danych z rolą usługi, omijając zabezpieczenia na poziomie wierszy. Przeglądający może tworzyć, edytować, aktywować lub usuwać przepływy oraz tworzyć aktywne automatyzacje i wyzwalać wychodzące działania WhatsApp bez wymaganej roli.