Katalog podatności CVE

Domyślnie Payara Server nie ogranicza liczby nieudanych prób logowania, co może czynić go podatnym na ataki brute force na logowanie. W celu ograniczenia tego ryzyka Payara Server zawiera wbudowaną automatyczną ochronę przed atakami.

W OpenBankProject OBP-API do wersji 1.10.1 wykryto podatność w funkcji KryoInjection.invert w pliku obp-api/src/main/scala/code/api/cache/Redis.scala w komponencie Kryo Handler. Manipulacja ta prowadzi do deserializacji. Atak można przeprowadzić zdalnie, a jego złożoność jest wysoka. Wykorzystanie podatności określono jako trudne. Exploit został ujawniony publicznie i może być użyty. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale nie odpowiedział.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. W przypadku korzystania z HTTP/3 z OpenSSL w wersjach <= 3.5.0 w pewnych konfiguracjach może wystąpić ograniczone przepełnienie bufora sterty podczas przetwarzania uzgadniania TLS. Może to wystąpić w sposób niedeterministyczny, poza kontrolą atakującego. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX prowadzące do restartu i/lub ograniczonego uszkodzenia danych.

1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.

Outerbase Studio to lekkie, przeglądarkowe GUI baz danych obsługujące PostgreSQL, MySQL i SQLite. W wersji 0.10.2 i wcześniejszych komponent TextComponent w pliku src/components/chart/index.tsx renderuje nieoczyszczoną zawartość widżetu tekstowego przez dangerouslySetInnerHTML, co pozwala na wykonanie wstrzykniętego znacznika z obsługą zdarzeń skryptowych, gdy widżet jest wyświetlany. Outerbase Cloud i usługi backendowe zostały wycofane w 2025 roku, a obecna architektura korzysta z lokalnego przechowywania pulpitu w przeglądarce, więc wpływ ogranicza się do lokalnego self-XSS. Kradzież tokenów uwierzytelniających, przejęcie konta i dostęp do backendowej bazy danych nie mają zastosowania w obecnej architekturze. Brak dostępnej poprawionej wersji na dzień przeglądu.

W platformie Hydro od wersji 4.10.4 do 5.0.2 logika odtwarzania sesji w packages/hydrooj/src/service/layers/base.ts tworzy nowy token sesji bez usuwania poprzedniego z serwerowego magazynu tokenów. W efekcie stary plik cookie sid pozostaje ważny po wylogowaniu lub odnowieniu sesji. Atakujący posiadający stary, ważny plik cookie ofiary może go odtworzyć bez znajomości danych logowania i bez interakcji ofiary, przejmując konto.

W systemie Dragonfly przed wersją 2.4.4-rc.3 domyślny nieuwierzytelniony przepływ gRPC v1 w schedulerze przyjmuje kontrolowane przez atakującego wartości PeerHost.Ip i PeerHost.DownPort przez RegisterPeerTask i ReportPeerResult. Wartości te trafiają do resource.Host, a następnie Peer.DownloadTinyFile() buduje żądanie HTTP GET bez walidacji celu, co pozwala na odczyt SSRF do usług loopback, link-local i prywatnych. Port DownPort jest ograniczony do zakresu 1024-65534, a odpowiedź do 128 bajtów może zostać umieszczona w Task.DirectPiece.

W narzędziu Cyberdrop-DL od wersji 8.5.0 do 9.14.0 crawler Pixeldrain używa dopasowania podciągu hosta zamiast wymagania dokładnego członkostwa w SUPPORTED_DOMAINS, a następnie ponownie używa tego hosta do żądań API. Gdy skonfigurowano klucz API Pixeldrain, przetwarzanie spreparowanego URL z hosta podszywającego się powoduje wysłanie nagłówka Authorization do tego hosta, ujawniając klucz API atakującemu.

W Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0 token instalacji GitHub App utworzony podczas przetwarzania webhooka nie jest ograniczony do repozytorium, które wywołało zdarzenie, gdy aplikacja jest zainstalowana w wielu repozytoriach. Użytkownik z prawem push do jednego repozytorium może przesłać PipelineRun z adnotacją zdalnego zadania wskazującą prywatne repozytorium w tej samej instalacji, co prowadzi do ujawnienia definicji Tekton tego repozytorium.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 połączenia kuma-dp w trybie Universal do płaszczyzny kontrolnej HTTPS wyłączają weryfikację peera TLS, gdy nie podano --ca-cert-file i nie ustawiono KUMA_CONTROL_PLANE_CA_CERT. Token uwierzytelniający dataplane jest wysyłany przez niezweryfikowane połączenie, co pozwala atakującemu w ścieżce sieci przechwycić token, podszyć się pod płaszczyznę kontrolną, wstrzyknąć sfałszowaną konfigurację bootstrap i przejąć proxy.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 profil kumactl ręcznie skonfigurowany dla płaszczyzny kontrolnej HTTPS bez --ca-cert-file wyłącza weryfikację peera TLS i wysyła tokeny API przez niezweryfikowane połączenie. Atakujący w ścieżce sieci może przechwycić tokeny API użytkownika lub administratora i działać wobec płaszczyzny kontrolnej jako ten użytkownik.

W Cosmos przed wersją 0.22.19 funkcja tokenMiddleware w src/proxy/routerGen.go może powrócić przez obejście tunelu Constellation przed usunięciem nagłówków x-cosmos-user, x-cosmos-role, x-cosmos-user-role i x-cosmos-mfa oraz przed wywołaniem AdminOnlyWithRedirect. Atakujący z ważnym kluczem API x-cstln-auth dla zarejestrowanego urządzenia, który dotrze do Cosmos przez tunel Constellation Nebula, może podać wybraną wartość x-cosmos-user do trasy z włączonym AuthEnabled, gdy aplikacja nadrzędna ufa temu nagłówkowi forward-auth.

W pyLoad przed wersją 0.5.0b3.dev101 klasa EventManager w src/pyload/core/managers/event_manager.py dodaje obiekt Client do listy klientów dla każdego unikalnego UUID przesłanego do uwierzytelnionego endpointu API getEvents, ale get_events nie wywołuje dostępnej metody clean usuwającej nieaktywnych klientów. Uwierzytelniony użytkownik może wielokrotnie przesyłać unikalne wartości UUID, powodując nieograniczony wzrost liczby obiektów klientów i pamięci procesu.

W pyLoad przed wersją 0.5.0b3.dev101 funkcja is_global_address w src/pyload/core/utils/web/check.py opiera się na klasyfikacji adresów globalnych Pythona bez analizy adresów IPv4 osadzonych w adresach IPv6 6to4 lub NAT64. Użytkownik o niskich uprawnieniach może przesłać literał IPv6 przez parse_urls do strażnika is_global_host przed rozwiązywaniem nazw, a curl rozwiązuje nazwy hostów przed zastosowaniem tej samej podatnej kontroli, co pozwala na połączenia do osadzonych adresów loopback, prywatnych, CGNAT lub link-local IPv4.

W Nextflow od wersji 25.09.2-edge do 25.10.6 i 26.04.3 polecenie nextflow auth login zapisuje tokeny bearer OIDC Seqera Platform do pliku ${NXF_HOME:-~/.nextflow}/seqera-auth.config przez AuthCommandImpl.writeConfig bez ustawienia restrykcyjnych uprawnień pliku, co przy domyślnym umask 022 tworzy plik z mode 0644. Na wieloużytkownikowym hoście POSIX lokalny użytkownik mogący przejść przez katalog domowy ofiary może odczytać seqera-auth.config i podszyć się pod ofiarę w Seqera Platform w zakresie tokenu.

W free5GC w wersji 4.2.3 i wcześniejszych funkcje HandleCreateEeSubscriptions oraz HandleQueryeesubscriptions w pliku internal/sbi/api_datarepository.go walidują wartość ścieżki ueId wyrażeniem regularnym, którego końcowa alternatywa .+ akceptuje dowolny niepusty ciąg znaków zamiast ograniczać identyfikatory do obsługiwanych formatów SUPI i GPSI. Podmiot mający dostęp sieciowy do interfejsu UDR SBI może przesłać nie-3GPP identyfikator do endpointu /nudr-dr/v2/subscription-data/{ueId}/context-data/ee-subscriptions, który przechodzi walidację i trafia do normalnego przepływu tworzenia lub zapytania. Nieprawidłowe identyfikatory mogą być utrwalane i odczytywane jako rekordy subskrypcji.

W Keyfactor SignServer przed wersją 7.6.0 atrybut ATTRIBUTESFILE w PKCS11CryptoToken może być ustawiony na czytelny plik, ale nieakceptowany (tj. nie rozpoznawany z atrybutami). W takim przypadku zgłaszany jest błąd, który wraz z błędem wypisuje zawartość pliku do logu serwera aplikacji. Daje to użytkownikowi z dostępem admina do SignServer i możliwością odczytu logów serwera możliwość odczytania zawartości plików dostępnych dla lokalnego użytkownika JBoss.

Podatność typu denial-of-service w komponencie Security. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność typu denial-of-service w komponencie SVG. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność polegająca na ujawnieniu informacji w komponencie Networking. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.