Katalog podatności CVE

W Eclipse Ankaios w wersjach 0.1.0–1.0.2 agent tworzy pliki workloadów oraz nazwane potoki (FIFO) interfejsu sterowania w przewidywalnej ścieżce opartej na nazwie agenta i hashu konfiguracji. Jeśli ścieżka już istnieje przy starcie agenta, jest używana bez weryfikacji właściciela i uprawnień, co pozwala lokalnemu użytkownikowi na podszycie się pod workload i modyfikację stanu klastra.

Podwójne zwolnienie pamięci (double free) w Windows Secure Kernel Mode pozwala autoryzowanemu atakującemu lokalnie podnieść uprawnienia.

Warunek wyścigu (race condition) wynikający z niewłaściwej synchronizacji współdzielonego zasobu w przeglądarce Microsoft Edge (opartej na Chromium) pozwala autoryzowanemu atakującemu lokalnie podnieść uprawnienia.

W bibliotece blaze (Scala) w wersjach przed 0.23.18 oraz 1.0.0-M1 do 1.0.0-M42 ręcznie napisany parser HTTP/1.1 akceptuje nieprawidłowe nagłówki, przestarzałe linie obs-fold, nieobsługiwane Transfer-Encoding, zduplikowane Content-Length oraz jednoczesne Transfer-Encoding i Content-Length. Rozbieżność interpretacji z pośrednikiem może prowadzić do obejścia autoryzacji, zatrucia kolejki odpowiedzi lub zatrucia cache.

W bibliotece Pay (Ruby on Rails) przed wersją 11.6.2 kontroler Pay::Webhooks::PaddleBillingController porównuje HMAC SHA-256 z tokenem h1 z nagłówka Paddle-Signature przy użyciu String#==, co umożliwia atakującemu odtworzenie poprawnego podpisu na podstawie pomiarów czasu. Sfałszowany webhook może zmienić stan rozliczeń, aktywować płatne funkcje lub wywołać powiadomienia.

W frameworku DotVVM przed wersjami 4.2.11, 4.3.15 i 5.0.0-preview09-final trasa zawierająca wiele nieograniczonych parametrów w jednym segmencie ścieżki może powodować nadmierne cofanie się wyrażenia regularnego w DotvvmRoute.IsMatch przy długiej ścieżce bliskiej dopasowania. Brak limitu czasu w DotvvmRouteParser.RouteRegex prowadzi do wyczerpania zasobów.

W integracjach LangChain MongoDB przed langgraph-checkpoint-mongodb 0.3.0 i langgraph-store-mongodb 0.4.0 metody MongoDBSaver.list(), alist() i MongoDBStore.search() wstawiają słowniki filtrów do zapytań MongoDB bez odrzucania kluczy z prefiksem $. Uwierzytelniony użytkownik kontrolujący filtr może wstrzyknąć operatory MongoDB, takie jak $regex lub $where, omijając izolację między najemcami.

W bibliotece flat-to-nested przed wersją 1.1.2 funkcja FlatToNested.prototype.convert w index.js używa pól id i parent z rekordów wejściowych jako kluczy w obiektach temp i pendingChildOf. Gdy parent lub id to __proto__, dochodzi do zanieczyszczenia prototypu, co może prowadzić do korupcji logiki aplikacji, odmowy usługi lub dalszych ataków.

W Flask-Reuploaded od wersji 1.5.0 do 1.6.0 metoda UploadSet.save(storage, name=...) stosuje lowercase_ext do domyślnej ścieżki, ale dla nazwy podanej przez użytkownika używa rozszerzenia z zachowaniem wielkości liter przed sprawdzeniem listy AllExcept. Atakujący może obejść czarną listę, używając mieszanej wielkości liter w niebezpiecznym rozszerzeniu i zapisać plik w katalogu uploadu.

W bibliotece backpack/crud w wersjach przed 4.1.70, 5.6.2, 6.8.13 i 7.0.36 funkcja Backpack\CRUD\Stats::makeCurlRequest buduje polecenie powłoki z adresem URL pochodzącym z nagłówka HTTP Host i przekazuje je do exec() bez odpowiedniej neutralizacji. Nieuwierzytelniony atakujący może wstrzyknąć polecenia systemu operacyjnego, jeśli exec() i curl są dostępne, a losowa bramka 1-na-100 zostanie osiągnięta (powtarzane żądania mogą ją trafić). Udana eksploatacja wykonuje polecenia jako użytkownik serwera WWW.

W backpack/crud od wersji 6.0.0 do 6.8.14 i 7.0.38 operacje Update, Delete i Reorder pobierają rekordy z niezawężonego zapytania modelu zamiast z zapytania skonfigurowanego przez addClause() lub addBaseClause(). Uwierzytelniony użytkownik znający lub zgadujący klucz główny rekordu poza zakresem może modyfikować, usuwać lub zmieniać kolejność rekordów ukrytych przez zakresy dostępu na poziomie wiersza.

W backpack/crud przed 6.8.12 i 7.0.35 funkcja HasUploadFields::uploadMultipleFilesToDisk ufa ścieżkom względnym dysku z clear_<attribute>[] i przekazuje je do Storage::disk()->delete bez potwierdzenia, że ścieżki są zapisane w bieżącym rekordzie modelu. Uwierzytelniony użytkownik z dostępem Update do CRUD korzystającego z tego mutatora może usunąć załącznik innego rekordu, współdzielony zasób lub inny plik operacyjny na skonfigurowanym dysku.

W backpack/crud przed 6.8.11 i 7.0.34 funkcja MyAccountController::postAccountInfoForm przekazuje dane żądania z $request->except(['_token']) do modelu użytkownika zamiast ograniczać aktualizacje do pól akceptowanych przez AccountInfoRequest::validationData(). Atakujący z uwierzytelnioną sesją Backpack może masowo przypisać hasło, kolumnę uwierzytelniania lub inne atrybuty fillable.

W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.

W docx4j przed 11.5.14 klasy PropertyResolver i powiązane pomocniki rekurencyjnie podążają za łańcuchem dziedziczenia stylów WordprocessingML w:basedOn bez wykrywania cykli. Poprawnie sformowany plik DOCX z wzajemnie opartymi stylami powoduje nieograniczoną rekurencję w PropertyResolver.fillPPrStack i powiązanych ścieżkach, prowadząc do StackOverflowError.

W http4k przed 4.51.0.0, 5.42.0.0 i 6.49.0.0 filtry ServerFilters.GZip, RequestFilters.GunZip oraz podstawowe funkcje dekompresji treści żądania Gzip nie nakładają limitu na rozmiar po dekompresji. Nieuwierzytelniony klient może wysłać małe ciało żądania zakodowane w gzip, które rozszerza się do gigabajtów, wyczerpując stertę JVM.

W dd-trace-rb przed 2.32.0 ekstrakcja bagażu W3C nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS (domyślnie 64) ani DD_TRACE_BAGGAGE_MAX_BYTES (domyślnie 8192), choć limity te obowiązują podczas wstrzykiwania bagażu. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek baggage HTTP zawierający wiele par klucz-wartość lub jedną bardzo dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

W dd-trace-java przed 1.62.0 ekstrakcja bagażu W3C nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS (domyślnie 64) ani DD_TRACE_BAGGAGE_MAX_BYTES (domyślnie 8192), choć limity te obowiązują podczas wstrzykiwania bagażu. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek baggage HTTP zawierający wiele par klucz-wartość lub jedną bardzo dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

W bibliotece Conform od wersji 1.8.0 do 1.19.4 przyszłe API parseSubmission w packages/conform-dom/formdata.ts wielokrotnie skanuje wpisy FormData lub URLSearchParams dla każdej unikalnej nazwy pola. Nieuwierzytelniony atakujący może przesłać spreparowany formularz zawierający wiele unikalnych nazw, powodując nadmierne synchroniczne obciążenie CPU i odmowę usługi.

W XWiki Platform przed wersjami 17.10.5 i 18.2.0 akcja /skin/ w klasie SkinAction pozwala na rozwiązanie podwójnie zakodowanych segmentów katalogu nadrzędnego poza zamierzonym prefiksem zasobów, gdy Jetty 12 lub nowszy dekoduje ścieżkę żądania. Nieuwierzytelniony zdalny atakujący może odczytać dowolne zasoby dostępne dla procesu Jetty, w tym WEB-INF/xwiki.cfg, a w zależności od konfiguracji także pliki systemowe. Podatność naprawiono w wersjach 17.10.5 i 18.2.0.