Katalog podatności CVE

W SGLang do wersji 0.5.19 wykryto podatność w funkcji Session.create_req w pliku session_controller.py (komponent Session Cleanup), prowadzącą do odmowy usługi. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Heym w wersjach od 0.0.55 do 0.0.121 zawiera podatność eskalacji uprawnień pozwalającą współpracownikom nadpisać pole error_workflow_id, ponieważ brakuje go na liście OWNER_ONLY_EXECUTION_FIELDS. Atakujący może wskazać własny workflow z węzłem HTTP, a gdy workflow właściciela zgłosi błąd, odszyfrowane poświadczenia właściciela zostaną wstrzyknięte i wykradzione.

Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi o złożoności kwadratowej w parserze odpowiedzi klienta SMTP (SMTPConnection._onData i isPartialResponse). Złośliwy serwer SMTP lub atakujący w ścieżce może strumieniować linie kontynuacji bez linii kończącej przed uwierzytelnieniem, blokując pętlę zdarzeń Node.js i wyczerpując pamięć.

Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi w MessageParser.parseHeaders, umożliwiającą wyczerpanie CPU przez kwadratowe rozwijanie nagłówków. Atakujący mogą dostarczyć duże listy odbiorców lub długie nagłówki rozwijające się do dziesiątek tysięcy linii kontynuacji, blokując pętlę zdarzeń Node.js podczas podpisywania DKIM.

Nodemailer od wersji 3.0.0 do 10.0.13 zawiera podatność niewłaściwej walidacji danych wejściowych w parserze adresów, który nie usuwa komentarzy RFC 5322 wewnątrz adresów w nawiasach kątowych. Atakujący mogą podać odbiorców z komentarzem w nawiasach w domenie, przez co nielegalne znaki trafiają do envelope.to i RCPT TO, powodując odrzucenie dostarczenia lub konflikty interpretacji parsera omijające listy dozwolonych domen.

Nodemailer w wersjach od 3.0.0 do 10.0.13 zawiera podatność typu regular expression denial of service w metodzie SMTPConnection._actionEHLO. Złośliwy lub pośredniczący serwer SMTP może odpowiedzieć na EHLO ciągiem 250-AUTH z długim ciągiem białych znaków i niedopasowanym tokenem, blokując pętlę zdarzeń Node.js na dziesiątki sekund lub godziny przed uwierzytelnieniem.

Renovate przed wersją 44.79.0 zawiera podatność server-side request forgery pozwalającą użytkownikom wymusić na współdzielonym kliencie HTTP żądania do dowolnych wewnętrznych adresów URL poprzez presety extends lub customDatasources. Atakujący może wskazać preset na endpoint usługi metadanych instancji, aby uzyskać poświadczenia AWS lub wyciec dane wrażliwe przez logi Renovate.

Renovate przed wersją 44.60.1 zawiera podatność obejścia listy dozwolonych pozwalającą repozytoriom ustawiać zastrzeżone zmienne środowiskowe poprzez umieszczenie env w współdzielonym presecie. Atakujący kontrolujący zewnętrznie pochodzący preset może nadpisać zmienne takie jak PATH, LD_PRELOAD, NODE_OPTIONS lub GIT_SSL_CAINFO w procesach potomnych na instancjach self-hosted.

Renovate przed wersją 44.61.3 zawiera podatność obejścia mechanizmu ochrony, która pozwala pominąć sprawdzenia minimumReleaseAge, gdy użytkownik zażąda rebase PR przez pole wyboru rebase/retry. Atakujący publikujący złośliwą wersję zależności może doprowadzić do jej wypchnięcia do PR i uruchomienia w CI przed upływem wymaganego wieku wydania.

Renovate przed wersją 44.60.1 zawiera podatność obejścia listy dozwolonych pozwalającą użytkownikom repozytoriów ominąć ograniczenie allowedHeaders poprzez umieszczenie nagłówków hostRules w współdzielonych presetach. Atakujący może dostarczyć wewnętrzne lub zewnętrzne presety z niezwalidowanymi hostRules[].headers, aby wstrzyknąć własne nagłówki HTTP do żądań wysyłanych przez Renovate do innych hostów.

Better Auth w wersjach od 1.5.0-beta.12 do 1.7.7 zawiera podatność obejścia uwierzytelniania w pluginie OAuth Proxy pozwalającą nieuwierzytelnionym atakującym zalogować się jako inni użytkownicy poprzez sfałszowanie zaszyfrowanych profili. Gdy proxy współdzieli globalny sekret, a stan przechowywany w cookie jest używany, atakujący może uzyskać zaszyfrowany stan dla fałszywego profilu ze zweryfikowanym adresem e-mail ofiary, aby przejąć konto poprzez niejawne powiązanie.

Better Auth @better-auth/sso w wersjach od 1.7.0-rc.2 do 1.7.3 zawiera podatność obejścia uwierzytelniania pozwalającą uwierzytelnionym użytkownikom zalogować się jako inni użytkownicy poprzez zarejestrowanie osobistego dostawcy SSO. Atakujący może skopiować issuer OIDC lub entity ID SAML legalnego dostawcy i podać subject lub NameID ofiary, ponieważ wyszukiwanie konta ignoruje providerId, tworząc sesje dla kont ofiar.

Better Auth od wersji 1.4.0-beta.18 przed 1.7.7 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako inni użytkownicy poprzez ponowne użycie wartości stanu OAuth jako tokenów Magic Link. Atakujący może rozpocząć logowanie OAuth z adresem e-mail ofiary i przesłać zwrócony stan do weryfikacji Magic Link, uzyskując sesje lub tworząc fałszywie zweryfikowane konta e-mail.

W Better Auth (@better-auth/drizzle-adapter i better-auth od 1.6.17 przed 1.7.7 oraz @better-auth/kysely-adapter od 1.6.17 przed 1.7.0) występuje warunek wyścigu w ograniczaniu liczby żądań opartym na bazie danych PostgreSQL — sprawdzenie limitu nie jest atomowe względem aktualizacji licznika. Zdalni atakujący mogą wysyłać serie równoczesnych żądań, które wspólnie przechodzą sprawdzenie, przekraczając skonfigurowane limity dla logowania hasłem, weryfikacji dwuskładnikowej, kodów jednorazowych, resetu hasła i innych chronionych punktów końcowych.

GitPython od wersji 3.1.62 do 3.2.0 zawiera błąd podążania za dowiązaniami symbolicznymi w Submodule.move(), który sprawdza cel tylko leksykalnie i nie odrzuca dowiązań symbolicznych w pośrednich komponentach ścieżki. Niezaufane repozytorium może zatwierdzić dowiązanie symboliczne wskazujące poza drzewo robocze, przez co aplikacja przenosząca zainicjowany podmoduł pod nim przenosi checkout na zewnątrz i uszkadza indeks oraz .gitmodules.

GitPython przed wersją 3.2.0 zawiera podatność wstrzyknięcia argumentów w metodzie Head.checkout() pozwalającą zdalnym atakującym odczytać dowolne pliki poprzez podanie nazwy gałęzi interpretowanej jako opcja git. Atakujący może hostować repozytorium, którego domyślna gałąź nazywa się --pathspec-from-file=<path>, powodując wyciek zawartości plików przez komunikaty GitCommandError w aplikacjach klonujących i przełączających się na aktywną gałąź.

GitPython w wersjach od 3.1.30 do 3.2.0 zawiera podatność zdalnego wykonania kodu w metodzie Remote.pull(), której zabezpieczenie przed niebezpiecznymi opcjami sprawdza tylko argumenty nazwane, a nie pozycyjny refspec. Atakujący kontrolujący refspec może podać --upload-pack=<command>, aby wykonać polecenia systemowe jako proces wywołujący przez transport lokalny lub SSH.

GitPython w wersjach przed 3.2.0 zawiera podatność umożliwiającą zdalne wykonanie kodu, ponieważ Git.ls_remote przekazuje adresy URL bez walidacji check_unsafe_protocols. Atakujący mogą podać adresy URL typu ext:: remote-helper, aby wykonać polecenia, gdy git zezwala na transport ext; podobny problem dotyczy merge_base i IndexFile.move, które akceptują wstrzyknięcie opcji.

GitPython w wersjach przed 3.2.0 zawiera podatność typu regular expression denial of service we wzorcu _re_actor_epoch używanym przez parse_actor_and_date dla linii author, committer i tagger. Atakujący może udostępnić repozytorium z obiektami commit lub tag zawierającymi długie linie wypełnione spacjami bez prawidłowej epoki lub strefy czasowej, powodując kwadratowe cofanie i wyczerpanie CPU.

GitPython przed wersją 3.2.0 zawiera podatność ujawnienia informacji, która pozwala złośliwym repozytoriom na rozwijanie zmiennych środowiskowych przez separate_git_dir w Repo._clone(), gdzie pominięto expand_vars=False przy wywołaniu Git.polish_url(). Atakujący mogą utworzyć nazwę podmodułu w .gitmodules zawierającą składnię zmiennych, tak że clone i submodule_update ujawniają sekrety w nazwach katalogów .git/modules i logach DEBUG.