Katalog podatności CVE

W Plane przed wersją 1.4.0 endpoint PageVersionEndpoint w apps/api/plane/app/views/page/version.py zawęża wyszukiwanie wersji stron po identyfikatorach workspace i page, ale nie po project_id z URL. ProjectPagePermission również wyznacza rolę wywołującego na podstawie projektu z URL, jednocześnie rozwiązując żądaną stronę w całym workspace, więc członek jednego projektu może użyć identyfikatora tego projektu, aby odczytać description_html publicznej strony w innym projekcie w tym samym workspace. Ścieżka jest tylko do odczytu i nie umożliwia modyfikacji stron między projektami. Problem naprawiono w wersji 1.4.0.

Luki typu denial of service w oprogramowaniu Palo Alto Networks PAN-OS pozwalają nieuwierzytelnionemu atakującemu z dostępem sieciowym wywołać stan odmowy usługi (DoS), wysyłając specjalnie spreparowany ruch sieciowy do lub przez interfejs dataplane. Powtarzające się próby wywołania tego stanu powodują przejście firewalla w tryb konserwacji. Cloud NGFW i Panorama nie są podatne na tę lukę.

W Stirling-PDF przed wersją 2.13.2 uwierzytelniony administrator korzystający z domyślnej bazy H2 i trybu bezpieczeństwa może przesłać spreparowany plik SQL do POST /api/v1/database/import-database. Funkcja DatabaseService.validateSqlContent() dzieli znormalizowane dane wejściowe po średnikach i akceptuje instrukcję, jeśli zawiera dowolne dozwolone słowo kluczowe, co pozwala na obejście niewystarczającej białej listy przez niebezpieczne funkcje H2, takie jak FILE_READ i CSVWRITE, oraz CREATE ALIAS, i wykonanie efektów ubocznych podczas przetwarzania pliku przez RUNSCRIPT. Umożliwia to dowolny dostęp do plików. Zademonstrowany łańcuch wykonania poleceń systemu operacyjnego zapisuje kontrolowane przez atakującego pliki startowe w lokalizacji użytkownika, a następnie uruchamia interpreter Pythona aplikacji skonfigurowany do ładowania tych plików, co skutkuje wykonaniem poleceń jako konto usługi JVM.

W Gogs przed wersją 0.15.0+dev nieuwierzytelniony atakujący może podać cel zawierający ukośnik odwrotny do endpointu /redirect; podobne przepływy przekierowań po akcjach są również podatne. Funkcja internal/urlx/urlx.go IsSameSite waliduje znormalizowaną postać celu, podczas gdy cmd/gogs/internal/web/web.go getRedirect i inni wywołujący używają oryginalnej wartości w nagłówku Location. Ta niezgodność normalizacji ukośnika odwrotnego pozwala przeglądarkom zinterpretować wartość Location jako zewnętrzny URL względny wobec schematu, umożliwiając przekierowanie ofiar z zaufanej domeny Gogs do treści kontrolowanych przez atakującego w celu phishingu. Luka jest naprawiona w wersji 0.15.0+dev.

Dell OS Recovery Tool w wersjach przed 2.4.4 zawiera podatność polegającą na niezabezpieczonym przechowywaniu poufnych informacji. Atakujący z niskimi uprawnieniami i dostępem fizycznym może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 nie odrzuca opcji TCP, której zadeklarowana długość opts[1] przekracza pozostałe bajty opcji. W handle_opt() sekwencja NOP, po której następuje obcięta opcja MSS, powoduje odczyt opts[3] poza zadeklarowanym obszarem opcji i użycie go jako dolnego bajtu dmss. Nieuwierzytelniony zdalny peer może uszkodzić wartość MSS dla połączenia, przez co późniejsze wywołania mg_send() wysyłają obcięte lub zerowej długości ładunki aplikacji, podczas gdy połączenie TCP wygląda na sprawne.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 w parserze certyfikatów TLS wybieranym przez MG_TLS_BUILTIN nie weryfikuje, czy długość elementu DER w formacie long-form mieści się w pozostałym buforze certyfikatu. W mg_der_to_tlv() i mg_der_next() długość kontrolowana przez peera może przesunąć parser poza certyfikat i spowodować niedomiar pozostałej długości uint32_t, przez co mg_tls_parse_cert_der() kontynuuje pracę na nieprawidłowym wskaźniku. Nieuwierzytelniony złośliwy serwer TLS lub klient przedstawiający certyfikat serwerowi skonfigurowanemu do certyfikatów klienta może wywołać odczyt poza zakresem i odmowę usługi podczas uzgadniania.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 w stosie TLS wybieranym przez MG_TLS_BUILTIN w src/tls_builtin.c akceptuje rekord TLS 1.3, którego odszyfrowany rozmiar wynosi dokładnie 16 bajtów znacznika uwierzytelniającego, bez tekstu jawnego i bajtu ContentType. W mg_tls_recv_record() sprawdzenie długości msgsz przepuszcza taki rekord, a obliczenie recv_len ulega niedomiarowi do SIZE_MAX, przez co późniejszy krok uzgadniania traktuje nieaktualną zawartość bufora jako zaufaną wiadomość o praktycznie nieograniczonej długości. Nieuwierzytelniony złośliwy peer TLS może wywołać odczyt poza zakresem sterty przed walidacją certyfikatu lub Finished, powodując zdalną odmowę usługi.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 w funkcji ppp_handle_ipv6cp() w src/l2_ppp.c ufa 16-bitowemu polu len IPv6CP bez sprawdzenia go względem rozmiaru odebranego ładunku. W łączu PPP lub PPPoE używającym MG_ENABLE_TCPIP i MG_ENABLE_IPV6 nieuwierzytelniony sąsiadujący peer może zakończyć wymaganą wymianę LCP i wysłać krótki Configure-Request z nadmierną długością, powodując odczyt poza recv_queue.buf i zapis poza tx.buf w ppp_tx_frame(). To samo nadużycie długości może również ujawnić sąsiednie bajty sterty w odpowiedzi lub zawiesić pętlę zdarzeń przez find_opt().

Flyto2 Core, jądro wykonawcze dla automatyzacji i przepływów pracy agentów AI, przed wersją 2.26.3 w funkcjach validate_url_ssrf i is_private_ip w src/core/utils.py porównuje rozwiązane adresy tylko z natywnymi prywatnymi zakresami IPv4 i IPv6 i nie odwija adresów przejściowych IPv4-mapped, IPv4-compatible, 6to4 ani NAT64. Uwierzytelniony autor przepływu pracy może podać URL w formie przejściowej przez Execution API POST /v1/execute, http.get lub pokrewne moduły wychodzących żądań, powodując, że guard akceptuje adres, którego osadzony IPv4 wskazuje na loopback, RFC 1918 lub usługi metadanych chmury. Na hoście, który routuje wybraną formę przejściową, żądanie wychodzące dociera do wewnętrznego celu i zwraca treść odpowiedzi do wywołującego przepływ, umożliwiając odczyt SSRF i ujawnienie danych usług wewnętrznych lub poświadczeń chmury.

Flyto2 Core, jądro wykonawcze dla automatyzacji i przepływów pracy agentów AI, od wersji 2.26.2 do 2.26.4 w trasie HTTP MCP POST /mcp akceptuje nieuwierzytelnione żądania JSON-RPC tools/call i przekazuje argumenty execute_module do rejestru modułów bez zależności require_auth używanej przez trasy REST. Nieuwierzytelniony wywołujący może wybrać sandbox.execute_shell i podać parametr command, który trafia do asyncio.create_subprocess_shell z uprawnieniami procesu serwera flyto-core. Punkt końcowy jest osiągalny lokalnie przy domyślnym bindowaniu loopback i staje się osiągalny sieciowo, gdy operator zbinduje serwer na interfejsie innym niż loopback, umożliwiając wykonanie dowolnych poleceń systemowych i potencjalną pełną kompromitację hosta.

LDAP Account Manager (LAM) to frontend webowy do zarządzania wpisami (np. użytkownikami, grupami, ustawieniami DHCP) przechowywanymi w katalogu LDAP. Przed wersją 9.6 instalacje z dwuskładnikowym uwierzytelnianiem WebAuthn pozostawiają wyzwanie w tej samej sesji PHP po przetworzeniu odpowiedzi uwierzytelniającej. Użytkownik, który już pomyślnie przeszedł uwierzytelnienie hasłem, może zatem zachować ten sam podpisany stan ceremonii WebAuthn zamiast zużyć go jednorazowo. Praktyczne ryzyko jest ograniczone przez wymóg ważnego hasła, tej samej sesji PHP i ważnego podpisu authenticatora. Problem naprawiono w wersji 9.6.

Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.28 przekazuje zdekodowany, kontrolowany przez Markdown cel linku do pomocnika otwierającego pliki w Windows, który wywołuje child_process.exec z komendą start. Gdy użytkownik Windows otworzy niezaufany plik Markdown i kliknie spreparowany link, metaznaki powłoki w zdekodowanym celu są interpretowane przez cmd.exe jako separatory komend, co pozwala na uruchomienie dowolnej komendy z uprawnieniami użytkownika VS Code.

Kontroler Kubernetes w Radius przed wersją 0.58.0 deserializuje kontrolowaną przez użytkownika adnotację radapp.io/status na Deployment i używa identyfikatora zasobu kontenera do usunięcia bez potwierdzenia własności przez ten Deployment. Atakujący z uprawnieniami do modyfikacji adnotacji Deployment i znajomością docelowego identyfikatora zasobu Radius może sfałszować adnotację i ustawić radapp.io/enabled na false, powodując wejście w uprzywilejowaną ścieżkę usunięcia zasobu innego najemcy.

Nexent do wersji 2.7.0 zawiera lukę braku autoryzacji w check_file_access, która pozwala uwierzytelnionym użytkownikom czytać pliki bazy wiedzy innych najemców poprzez pominięcie porównania najemcy dla odczytów knowledge_base/. Atakujący w środowiskach wielonajemcowych mogą wylistować obiekty przez GET /file/storage w celu uzyskania presigned URL lub użyć GET /file/download/{object_name}, aby pobrać dokumenty źródłowe innych najemców.

Blinko do wersji 1.8.8 zawiera lukę złamanej kontroli dostępu w trasie /api/file, która pozwala uwierzytelnionym użytkownikom czytać prywatne załączniki innych użytkowników z powodu wadliwego sprawdzania właściciela. Atakujący mogą podać nazwę pliku innego użytkownika, zgodną ze wzorcem basename plus znacznik czasu w milisekundach, aby pobrać prywatne, nieudostępnione załączniki.

GrowChief do wersji 0.3.0 zawiera lukę braku autoryzacji w handlerze getAllUsers, która pozwala dowolnemu uwierzytelnionemu użytkownikowi wylistować użytkowników ze wszystkich organizacji, ponieważ brakuje zabezpieczenia IsSuperAdmin. Atakujący z samodzielnie zarejestrowanym kontem o niskich uprawnieniach może wysłać puste lub krótkie zapytanie do GET /users/all-users, aby wyliczyć identyfikatory użytkowników, adresy e-mail, nazwiska i identyfikatory organizacji wszystkich najemców.

Sure w wersjach od 0.7.0 do 0.7.6-alpha.6 zawiera lukę braku autoryzacji w Transactions::BulkUpdatesController#create, która pozwala członkom rodziny obejść uprawnienia do udostępniania konta. Uwierzytelnieni członkowie z uprawnieniami read_only lub bez udostępniania mogą przesłać dowolne entry_ids, aby zmodyfikować daty, nazwy, notatki, kategorie, sprzedawców i tagi transakcji innych członków, psując budżety i raporty.

Shopizer do wersji 3.2.5 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym klientom publikować opinie jako inni klienci poprzez podanie pola customerId. Atakujący mogą wysyłać spreparowane żądania do POST /api/v1/auth/products/{id}/reviews, aby publikować opinie i oceny przypisane do innych klientów sklepu, fałszując autorstwo i oceny produktów.

Databasus w wersjach od 3.7.0 do 3.61.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na brute-force kodów resetowania hasła przez POST /api/v1/users/reset-password. Atakujący może zażądać sześciocyfrowego kodu dla znanego adresu e-mail, a następnie odgadnąć go bez ograniczeń szybkości, blokady lub unieważnienia, aby przejąć konta, w tym administratorów.