Katalog podatności CVE

PocketMine-MP przed wersją 4.2.3 nie waliduje wartości metadanych uszkodzeń w danych NBT narzędzi i zbroi otrzymywanych od klientów. Atakujący mogą wysyłać ujemne lub spoza zakresu wartości uszkodzeń w NBT przedmiotów, aby wywołać nieobsłużone wyjątki w klasie Durable, powodując awarie serwera.

PocketMine-MP przed wersją 4.2.9 nie waliduje poprawnie typów danych NBT podczas deserializacji pakietów transakcji ekwipunku od klientów. Atakujący mogą wysyłać spreparowane transakcje ekwipunku z nieprawidłowymi tagami NBT, aby wywołać awarie serwera i spowodować odmowę usługi.

PocketMine-MP przed wersją 4.2.10 nie waliduje całkowitej długości przychodzących wiadomości czatu przed podzieleniem ich na znaki nowej linii, co pozwala atakującym wysyłać duże wiadomości zawierające wiele znaków nowej linii. Złośliwi klienci mogą wysyłać pakiety czatu o rozmiarze megabajtów i bombardować serwer tysiącami takich wiadomości, powodując zawieszenie serwera na sekundy lub minuty.

PocketMine-MP przed wersją 4.4.2 nieprawidłowo waliduje identyfikatory przedmiotów otrzymywane od klientów w danych NBT itemstack. Atakujący mogą wysłać spreparowane identyfikatory przedmiotów spoza dozwolonego zakresu, aby wywołać nieobsłużony wyjątek, który powoduje awarię serwera.

Cross-site scripting w importerach notatek Evernote i Google Keep w Standard Notes dla Androida do wersji 3.201.24 pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście aplikacji, gdy ofiara importuje spreparowany plik .enex lub HTML z Google Keep, co prowadzi do kradzieży kluczy szyfrowania i danych notatek oraz dowolnego wywoływania natywnych API urządzenia.

Wtyczka Powerkit dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) w module Lazy Load podczas przetwarzania obrazów we wszystkich wersjach do 3.0.4 włącznie. Wynika to z użycia wadliwego parsera atrybutów HTML opartego na wyrażeniach regularnych w funkcji 'content_process_images'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W MISP do wersji 2.5.45 walidacja konfigurowalnej strony głównej sprawdza tylko, czy ścieżka zaczyna się od '/', co jest niewystarczające. Adresy URL względne protokołu, takie jak '//attacker.example', również zaczynają się od '/', ale w przeglądarkach prowadzą do zewnętrznego pochodzenia. Podatna wartość strony głównej może być zapisana jako ustawienie użytkownika i użyta po zalogowaniu w logice przekierowań.

W SourceCodester Simple Traffic Offense System 1.0 wykryto podatność w pliku save-settings.php w komponencie Settings Update Endpoint. Manipulacja argumentami site_name/site_desc prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Zohocorp ManageEngine Endpoint Central w wersjach poniżej 11.5.2600.15 jest podatny na eskalację uprawnień z powodu nieaktualnego komponentu.

W Eclipse Ankaios w wersjach od 0.1.0 do 1.0.1 agent nie ogranicza długości deklarowanej przez obciążenie w wiadomości protobuf z ogranicznikiem długości otrzymywanej przez Control Interface FIFO. Obciążenie z dostępem do Control Interface może określić nadmierną długość wiadomości, powodując nieograniczoną alokację pamięci, co może przerwać proces agenta Ankaios. Skutkuje to utratą usług orkiestracji dla obciążeń zarządzanych przez tego agenta.

W sterowniku OpenVPN ovpn-dco-win w wersjach od 2.5.0 do 2.8.6 występuje podatność use-after-free, która pozwala lokalnym uwierzytelnionym użytkownikom spowodować awarię systemu poprzez spreparowane wiadomości sterujące.

Zohocorp ManageEngine Endpoint Central w wersjach poniżej 11.5.2605.01 jest podatny na lokalną eskalację uprawnień z powodu ładowania biblioteki DLL z niezaufanej ścieżki.

Zohocorp ManageEngine Endpoint Central w wersjach poniżej 11.4.2540.23 jest podatny na eskalację uprawnień podczas ekstrakcji plików JAR.

W systemie MISP w wersjach do 2.5.45 każdy uwierzytelniony użytkownik może uzyskać dostęp do funkcji TemplatesController::uploadFile(), ponieważ wpis ACL dla templates/uploadFile używał wildcarda *. Obejście to pozwala użytkownikom o niskich uprawnieniach lub tylko do odczytu na wielokrotne przesyłanie plików i zapełnianie dysku serwera. Poprawka zmienia wymaganie ACL z * na perm_add.

W SourceCodester Simple Traffic Offense System 1.0 wykryto podatność w pliku delete-user.php w komponencie Deletion Endpoint. Manipulacja argumentem ID prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W itsourcecode Sales and Inventory System 1.0 wykryto podatność w pliku /pages/us_edit1.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Zohocorp ManageEngine Endpoint Central w wersjach przed 11.5.2605.01 jest podatny na lokalną eskalację uprawnień z powodu procesu aktualizacji agenta.

Podatne wersje MISP zawierają nieprawidłowe sprawdzanie autoryzacji w funkcji podglądu freetext feed. Podgląd wykonuje wyszukiwania korelacji na atrybutach z zdarzeń bez uwzględnienia ACL użytkownika, co pozwala na ujawnienie korelacji i informacji o zdarzeniach, do których użytkownik nie ma dostępu. Dodatkowo funkcja zwraca informacje o korelacjach między feedami bez ograniczenia listy feedów do widocznych dla wywołującego, ujawniając metadane feedów nieoznaczonych jako lookup_visible, a w jednym przypadku także skonfigurowany URL feedu.

W odh-dashboard w Red Hat OpenShift AI znaleziono błąd: trasa GET /api/nim-serving/:nimResource odczytuje sekrety Kubernetes przy użyciu konta usługi dashboardu i zwraca pełny obiekt Secret, w tym .data, bez sprawdzenia autoryzacji. Każdy uwierzytelniony użytkownik dashboardu może pobrać klucz API NVIDIA NGC (apiKeySecret) oraz sekret do ściągania obrazów NIM (nimPullSecret). Brak autoryzacji (CWE-862) i niewystarczająca ochrona poświadczeń (CWE-522).

Podatność w Ollama do wersji 0.31.1 dotyczy funkcji readGGUFV1String w pliku fs/ggml/gguf.go (komponent GGUF Decoder). Manipulacja prowadzi do przepełnienia liczby całkowitej. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Wersja 0.31.2-rc1 zawiera poprawkę.