Katalog podatności CVE

AxonHub do wersji 1.0.0-beta11 zawiera podatność na eskalację uprawnień, która pozwala użytkownikom projektu przypisywać uprawnienia na poziomie systemu poprzez tworzenie kluczy API service_account z niezwalidowanymi zakresami. Atakujący posiadający uprawnienie write_api_keys może wygenerować klucze z zakresem read_channels i odpytać /admin/graphql, aby odczytać konfigurację każdego kanału, w tym bazowe adresy URL i listy modeli.

Miaomiaowu przed wersją 0.9.3 zawiera podatność typu insecure direct object reference w /api/user/proxy-provider-configs, która pozwala uwierzytelnionym użytkownikom odczytywać konfiguracje innych użytkowników. Atakujący może iterować globalny parametr auto-increment external_subscription_id, aby ujawnić skrypty nadpisujące, reguły filtrowania, niestandardowe nagłówki żądań i adresy URL kontroli stanu.

OpenDeepWiki do wersji 2.0.6 zawiera zaszyty na stałe klucz podpisywania JWT w pliku appsettings.json. Nieuwierzytelniony atakujący może sfałszować tokeny administratora z rolą Admin i uzyskać dostęp do endpointów /api/admin.

UNIT3D do wersji 9.2.0 zawiera podatność braku autoryzacji w PlaylistZipController::show, która pozwala uwierzytelnionym użytkownikom pobierać prywatne playlisty innych członków. Atakujący może wyliczać sekwencyjne identyfikatory playlist w punkcie końcowym /playlist-zips/{playlist}, aby uzyskać archiwa ZIP wszystkich torrentów i ujawnić prywatną przynależność do kolekcji.

MONAI od wersji 1.6.0 przed 1.6.1 zawiera podatność zdalnego wykonania kodu w funkcji Auto3DSeg algo_from_json(). Atakujący może uruchomić kod Python poprzez spreparowany plik algo_object.json w katalogu roboczym.

ArcadeDB przed wersją 26.10.2 zawiera podatność nieprawidłowej autoryzacji, która pozwala unieważnionym użytkownikom zachować dostęp poprzez już otwarte połączenia protokołów Postgres, Bolt, MongoDB lub Redis. Atakujący posiadający istniejące połączenie może nadal czytać i zapisywać dane po usunięciu konta, odebraniu uprawnień lub zmianie hasła, ponieważ executery przechowują nieaktualny ServerSecurityUser.

ArcadeDB od wersji 21.12.1 przed 26.10.2 zawiera podatność obejścia autoryzacji, która pozwala użytkownikom posiadającym jedynie readRecord zastąpić współdzielony schemat GraphQL poprzez punkt końcowy zapytań tylko do odczytu. Atakujący może wysłać definicję typu GraphQL z spreparowaną dyrektywą @sql do /api/v1/query/{database}, zmieniając wyniki zapytań zwracane innym użytkownikom, w tym administratorom.

ArcadeDB od wersji 26.8.1 przed 26.10.2 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom z uprawnieniem updateDatabaseSettings wyłączyć listę blokowanych adresów IP dla LOAD CSV poprzez ALTER DATABASE. Atakujący może ustawić arcadedb.opencypher.loadCsv.blockedIpRanges na pusty ciąg, a następnie wysyłać żądania LOAD CSV w celu odczytu metadanych chmury oraz wewnętrznych usług loopback lub prywatnych.

Traefik od wersji 3.2.0 przed 3.7.15 zawiera wyścig danych w eksperymentalnym FastProxy, który pozwala nieuwierzytelnionym atakującym zawiesić proces poprzez nadużycie aktualizacji protokołu HTTP/1. Atakujący może wielokrotnie otwierać i przerywać zaktualizowane połączenia, takie jak WebSocket, uszkadzając niezsynchronizowany współdzielony bufio.Reader i wywołując nieodzyskany panic, który kończy działanie Traefika.

Traefik w wersji 3.7.11 przed 3.7.15 zawiera obejście autoryzacji w providerze Kubernetes Ingress NGINX, które pomija sprawdzenie między przestrzeniami nazw dla adnotacji auth-tls-secret, gdy ponownie używana jest buforowana opcja TLS uwierzytelniania klienta. Użytkownicy mogący tworzyć Ingressy mogą odwołać się do sekretu CA innej przestrzeni nazw już używanego przez inny Ingress, wymuszając go na własnych trasach i dowiadując się, czy istnieje, bez ujawnienia jego zawartości.

Traefik od wersji 3.7.0-ea.1 przed 3.7.15 zawiera podatność obejścia uwierzytelniania w providerze Kubernetes Ingress NGINX, która po cichu wyłącza mTLS skonfigurowany przez adnotację auth-tls-secret. Gdy inny Ingress deklaruje ścieżkę na tym samym hoście bez pasujących ustawień auth-tls, Traefik używa domyślnych opcji TLS.

Parse Server od wersji 9.7.0 przed 9.10.5-alpha.10 zawiera błąd autoryzacji, który stosuje aktualizacje _Installation adresowane przez identyfikator obiektu do instalacji wskazanej w nagłówku X-Parse-Installation-Id. Gdy włączono protectedFieldsTriggerExempt, atakujący znający identyfikator obiektu innej instalacji może spowodować, że trigger beforeSave przetworzy chronione pola tej instalacji podczas zapisu w innym miejscu.

Parse Server od wersji 9.7.0 przed 9.10.5-alpha.7 zawiera podatność ujawnienia informacji, która pozwala klientom otrzymywać wartości chronionych pól zapisanych przez triggery beforeSave przy użyciu kluczy notacji kropkowej. Gdy protectedFieldsSaveResponseExempt ma wartość false, klienci z uprawnieniami do tworzenia lub aktualizacji mogą odczytać wartości zapisane przez trigger pod chronionym polem w tym samym żądaniu.

Parse Server przed wersją 8.6.108 oraz 9.0.0 przed 9.10.5-alpha.9 zawiera podatność prototype pollution, ponieważ klucze kontrolowane przez użytkownika są rozwijane do obiektów bez sprawdzania własnych właściwości. Klienci z prawem zapisu do klasy mogą wysyłać klucze pól w notacji kropkowej lub nazwy wpisów ACL pasujące do wbudowanych członków obiektu, aby uszkodzić wbudowane funkcje, powodując awarię wszystkich żądań do czasu restartu serwera.

W parserze zapytań Ickle w Infinispan wykryto lukę. Zapytanie zawierające głęboko zagnieżdżone predykaty może spowodować wyczerpanie stosu wątku Java przez rekurencyjne parsowanie i wyrzucenie nieprzechwyconego StackOverflowError. Uwierzytelniony użytkownik z uprawnieniem BULK_READ, który może wysyłać zapytania do cache, może wywołać ten problem, potencjalnie wpływając na dostępność.

W GIMP wykryto błąd w wtyczce PSD — loader nagłówka zasobów obrazu używa nieprawidłowego rozmiaru docelowego przy kopiowaniu przekonwertowanej nazwy zasobu do bufora stosu. Otwarcie spreparowanego pliku PSD może spowodować przepełnienie bufora stosu, prowadząc do awarii i potencjalnie wykonania dowolnego kodu.

CallBackery w wersjach przed 0.62.0 dla Perla akceptuje sesyjne ciasteczka o dowolnym wieku wysłane w nagłówku X-Session-Cookie. Funkcja cookieConf() odrzuca ciasteczko starsze niż 300 sekund tylko wtedy, gdy przychodzi ono w parametrze zapytania xsc; to samo ciasteczko w nagłówku X-Session-Cookie jest akceptowane niezależnie od wieku.

CallBackery w wersjach przed 0.62.0 dla Perla umożliwia fałszowanie sesyjnych ciasteczek z powodu sekretu podpisującego generowanego za pomocą rand(). Sekret jest tworzony z dwóch wywołań wbudowanej funkcji rand(), która jest inicjowana 32-bitowym ziarnem, więc ma co najwyżej 2^32 możliwych wartości, a jedno podpisane ciasteczko wystarcza do przetestowania każdego kandydata offline.

Bitcoin Core w wersjach przed 29.5, 30.4, 31.2 i 32.1 jest podatny na problem wyczerpania pamięci (OOM). Opis nie podaje dalszych szczegółów technicznych.

Skuul School Management System do wersji 2.6.5 jest podatny na nieprawidłową kontrolę dostępu w metodzie ResultChecker::checkResult. Uwierzytelniony uczeń może manipulować parametrem studentId, aby bez autoryzacji pobrać wyniki egzaminów innego ucznia, w tym oceny.