Katalog podatności CVE

W VoiceSentinel (system moderacji głosu dla serwerów Minecraft) w wersjach 2.2.1–3.3.0 opcjonalny bufor raportów ma wyścig między czyszczeniem retencji a zapisami transkryptów. _maybe_cleanup() używa niezablokowanego słownika do ograniczania czyszczenia raz na godzinę, a _cleanup_tenant() przepisuje transcripts.jsonl bez blokady pliku i bez atomowej zamiany, podczas gdy report_buffer_append_async dopisuje dane bez synchronizacji. Przy włączonym buforze raportów równoległe zapisy mogą utracić, zduplikować lub uszkodzić dane oraz uniemożliwić przycinanie retencji, prowadząc do nieograniczonego wzrostu zajętości dysku.

Crass (parser CSS w Ruby) w wersjach przed 1.0.7 nieefektywnie śledzi pozycje znaków wielobajtowych podczas analizy danych wejściowych zawierających znaki nie-ASCII. Powoduje to ponadliniowy czas analizy, a atakujący może dostarczyć CSS z wieloma znakami nie-ASCII, wywołując nadmierne zużycie CPU i potencjalną odmowę usługi.

Biblioteka Crass (parser CSS w Ruby) w wersjach przed 1.0.7, gdy opcja :preserve_comments jest wyłączona (domyślnie), odrzuca komentarze CSS poprzez rekurencyjne pobieranie kolejnego tokenu. Arkusz stylów z bardzo dużą liczbą sąsiadujących komentarzy może wywołać nadmierną rekurencję i błąd SystemStackError, powodując odmowę usługi w aplikacji parsującej.

Biblioteka Crass (parser CSS w Ruby) w wersjach przed 1.0.7 rekurencyjnie parsuje proste bloki i funkcje CSS bez ograniczenia głębokości. Wartość CSS kontrolowana przez atakującego, zawierająca głęboko zagnieżdżone bloki lub funkcje, może wywołać rekurencję aż do błędu SystemStackError lub nadmiernego zużycia pamięci.

W Crass (parser CSS w Ruby zgodny ze specyfikacją CSS Syntax Level 3) przed wersją 1.0.7 wartości liczbowe w notacji naukowej są przeliczane z nieograniczoną potęgą przed ograniczeniem wyniku do Float::MAX. Aplikacje parsujące niezaufany CSS mogą zostać zmuszone do nadmiernego zużycia CPU i pamięci przy przetwarzaniu bardzo małego wejścia, co może doprowadzić do awarii.

Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.9 polecenie `image to GIF` używa mechanizmu żądań, który waliduje publiczne adresy IP nazwy hosta, ale następnie wysyła żądanie po nazwie hosta, co powoduje drugie zapytanie DNS. Atakujący kontrolujący domenę może zwrócić publiczny adres podczas walidacji i wewnętrzny podczas połączenia, omijając ochronę przed adresami wewnętrznymi poprzez DNS rebinding. Luka jest naprawiona w wersji 1.1.9.

W Copernik XML Factory (bezpieczne domyślne fabryki JAXP dla Javy) przed wersją 0.1.2 nie blokuje rozwiązywania zasobów XInclude w standardowym providerze JDK, gdy aplikacja włączy XInclude na fabryce zwróconej przez XmlFactories.newDocumentBuilderFactory() lub newSAXParserFactory() albo na XMLReader przekazanym przez XmlFactories.harden(). Parsowanie niezaufanego XML może ujawnić pliki lokalne lub, przez odwołania http, umożliwić SSRF do wewnętrznych punktów sieciowych.

W AdminNeo (narzędziu do zarządzania bazami danych w PHP) w wersjach 4.6.2–5.4.x nieuwierzytelniony endpoint ?script=version przyjmuje dane POST bez walidacji pochodzenia, CSRF i typu parametrów. Parametr version[] staje się tablicą PHP, którą bootstrap.inc.php serializuje do współdzielonego cache adminneo.version, a design.inc.php przekazuje tę wartość do cookie() i rawurlencode(), powodując TypeError. Atakujący może wywołać HTTP 500 dla wszystkich użytkowników na 24 godziny lub do usunięcia zatrutego cache.

Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.

Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność umożliwiającą użytkownikowi z rolą Contributor podniesienie uprawnień. Może to pozwolić na uzyskanie dostępu do funkcji zastrzeżonych dla wyższych ról.

Wtyczka Booking and Rental Manager w wersjach do 2.8.2 zawiera podatność typu Broken Access Control umożliwiającą użytkownikowi z rolą Subscriber wykonanie nieautoryzowanych działań. Może to prowadzić do naruszenia kontroli dostępu do funkcji wtyczki.

Wtyczka GIFTiT – Free Gifts for WooCommerce w wersjach do 4.5 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to umożliwić wstrzyknięcie kodu do strony.

Wtyczka Fast Velocity Minify w wersjach do 3.5.7 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.

W OpenAM przed wersją 16.1.1 moduł uwierzytelniania RADIUS otwiera niepołączony socket datagramowy i ufa pierwszemu datagramowi UDP odebranemu na porcie źródłowym klienta. Ścieżka odbioru nie weryfikuje źródłowego IP i portu, nie dopasowuje identyfikatora odpowiedzi do żądania ani nie sprawdza Response Authenticator (RFC 2865); Message-Authenticator (RFC 2869) nie jest wysyłany ani wymagany. Każdy pakiet inny niż Reject/Challenge jest traktowany jako sukces, więc atakujący może wyścignąć prawdziwy serwer lub rozsyłać sfałszowane Access-Accept i uzyskać sesję dla dowolnej nazwy użytkownika mapowanej na RADIUS bez znajomości wspólnego sekretu.

Wtyczka WordPress BA Book Everything w wersjach do 1.8.33 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

Wtyczka Ultimate Addons for Elementor - Lite w wersjach do 2.9.5 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka WordPress FunnelKit Automations (wp-marketing-automations) do wersji 3.8.6.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Może to prowadzić do wykonania niebezpiecznych operacji przez atakującego.

Wtyczka WordPress WP EasyPay w wersjach do 4.5.4 zawiera podatność Path Traversal, którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem.

Wtyczka WordPress Transliterator w wersjach do 2.5.13 zawiera podatność na wstrzyknięcie SQL (SQL Injection), którą można wykorzystać bez uwierzytelnienia.

Wtyczka VikRentCar (e4jvikwp) do wersji 1.4.10 zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.