Katalog podatności CVE

W bibliotece DPDK w module lib/vhost handler VDUSE nie unieważnia wskaźników vring przy unieważnieniu IOTLB, co prowadzi do użycia po zwolnieniu mapowania (use-after-unmap).

W bibliotece DPDK (lib/vhost) wykryto błąd, w którym gość z deskryptorami RX o zbyt małym rozmiarze może spowodować niedomiar długości kopiowania w funkcji enqueue vhost. Prowadzi to do odmowy usługi we współdzielonym backendzie vhost, takim jak OVS-DPDK.

Wtyczka FV Flowplayer Video Player dla WordPressa w wersjach do 7.5.54.7212 włącznie jest podatna na ograniczone dowolne przesyłanie plików poprzez funkcję check_mimetype. Niepełna walidacja typu pliku pozwala uwierzytelnionemu atakującemu z rolą subskrybenta lub wyższą przesłać pliki, które mogą być wykonywalne, co umożliwia zdalne wykonanie kodu. Wykorzystanie wymaga włączonej opcji 'profile videos on bio'.

ServiceNext zawiera podatność typu insecure direct object reference (IDOR) w punkcie końcowym /api/Usuario/GetUsuarios, który przyjmuje kontrolowany przez użytkownika identyfikator numeryczny w treści żądania bez weryfikacji, czy uwierzytelniony token należy do żądanego konta (CWE-639). Każdy uwierzytelniony użytkownik może iterować parametr ID, aby pobrać pełny profil każdego innego użytkownika, w tym hasła przechowywane jawnym tekstem (CWE-256), co umożliwia przejęcie konta i ataki credential-stuffing.

W Redash od wersji 26.0.0 do 26.9.0 ścieżka _connect() w runnerze zapytań DuckDB w pliku redash/query_runner/duckdb.py tworzyła połączenia z opcją enable_external_access pozostawioną na domyślnej wartości true. Użytkownik z dostępem do zapytań do utworzonego przez administratora źródła danych DuckDB mógł użyć natywnych funkcji odczytu plików, aby odczytać pliki dostępne dla procesu Redash, lub użyć COPY TO, aby zapisać pliki z uprawnieniami tego procesu. Odczytanie sekretów aplikacji, takich jak REDASH_COOKIE_SECRET lub REDASH_SECRET_KEY, mogło również umożliwić fałszowanie sesji i obejście uwierzytelniania.

W Redash (wersje od 10.0.0 do 26.9.0) mechanizm wykonywania zapytań do źródła danych JSON używał urljoin do łączenia skonfigurowanego base_url z adresem URL zapytania podanym przez użytkownika. Bezwzględny adres URL zastępował skonfigurowany base_url, umożliwiając użytkownikowi z uprawnieniem execute_query skierowanie żądania serwerowego do dowolnego zewnętrznego źródła, a przy skonfigurowanym HTTP Basic Auth także przekazanie tych poświadczeń. Problem naprawiono w wersji 26.9.0.

W systemie CMS e107 przed wersją 2.3.7 plik install.php dekoduje kontrolowany przez atakującego parametr POST previous_steps i przekazuje go do unserialize() na poziomie pliku oraz ponownie w konstruktorze e_install bez ograniczenia dozwolonych klas. Instalator pozostaje dostępny po normalnej instalacji, a spreparowany graf obiektów wykorzystujący dołączoną klasę GuzzleHttp\Psr7\PumpStream może przepłynąć przez paths.hash do site_path, gdzie koercja łańcucha wywołuje kontrolowaną przez atakującego funkcję. Nieuwierzytelniony atakujący, który może uzyskać dostęp do install.php, może zatem wykonać dowolne funkcje PHP z uprawnieniami procesu serwera WWW, prowadząc do pełnego przejęcia serwera.

W systemie CMS e107 przed wersją 2.3.7 dołączony plugin alt_auth, w backendach uwierzytelniania otherdb i e107db, wstawia przesłaną nazwę użytkownika bezpośrednio do zapytań SQL w plikach e107_plugins/alt_auth/otherdb_auth.php i e107_plugins/alt_auth/e107db_auth.php. Metody login() wykonują te ciągi za pomocą PDO::query() przed skuteczną sanityzacją, więc nieuwierzytelniony użytkownik może wstrzyknąć SQL, gdy alt_auth jest zainstalowany, a którykolwiek backend jest skonfigurowany z aktywnym połączeniem do zewnętrznej bazy danych. Wstrzyknięcie może ujawnić lub zmodyfikować dane dostępne dla skonfigurowanego konta bazy danych, a błędy zapytań mogą dodatkowo ujawnić wygenerowane zapytanie przez ścieżkę komunikatów debugowania.

FOG to darmowy system do klonowania, obrazowania, ratowania i zarządzania inwentarzem. W wersjach przed 1.5.10.1870 punkt końcowy adInfo() w packages/web/lib/fog/fogpage.class.php zwracał wartość FOG_AD_DEFAULT_PASSWORD w polu JSON domainpass i mógł być wywołany przez node=ipxe bez uwierzytelnionej sesji. Odpowiedź była również wykorzystywana przez interfejsy konfiguracji Active Directory hosta i grupy. Mogło to ujawnić domyślne poświadczenia do przyłączania do domeny zdalnemu nieuwierzytelnionemu żądającemu. Podatność naprawiono w wersji 1.5.10.1870.

Redash to pakiet do wizualizacji i udostępniania danych. W wersjach po 8.0.0 do 26.9.0 moduł Query Results w redash/query_runner/query_results.py przyjmuje parametry param_query_N_{key=value} i przekazuje wartości kontrolowane przez atakującego do replace_query_parameters() w celu surowego podstawienia do SQL zapytania referencyjnego. Ta ścieżka omija walidację schematu ParameterizedQuery używaną przy normalnym wykonywaniu zapytań i pomija sprawdzenie uprawnień is_safe. Uwierzytelniony użytkownik z co najmniej dostępem tylko do odczytu do źródła danych Query Results i źródła referencyjnego może wstrzyknąć SQL poprzez parametry tekstowe i wykonać go z uprawnieniami źródła referencyjnego. Problem naprawiono w wersji 26.9.0.

W evolution-data-server wydarzenia kalendarza zawierające URI file:// w polu ATTACH automatycznie odczytują wskazany plik lokalny, kodują jego zawartość w base64 i wysyłają z powrotem na serwer przy zapisie wydarzenia. Brak ograniczeń ścieżek i weryfikacji pochodzenia załącznika pozwala atakującemu z dostępem do współdzielonego kalendarza CalDAV na eksfiltrację dowolnych plików dostępnych dla użytkownika.

Model Context Protocol Python SDK to oficjalny zestaw SDK dla serwerów i klientów Model Context Protocol. W wersjach mcp przed 1.29.1 oraz od 2.0.0a1 do 2.0.1 menedżer sesji Streamable HTTP, punkt końcowy wiadomości SSE oraz trasy serwera autoryzacji OAuth buforują pełne treści żądań HTTP bez wymuszania maksymalnego rozmiaru. Nieuwierzytelniony zdalny klient mogący dotrzeć do podatnego punktu końcowego może wysłać duże zadeklarowane lub strumieniowane ciało żądania, które zużywa wielokrotność rozmiaru ciała w pamięci procesu i może wielokrotnie wyczerpać pamięć lub zakończyć działanie serwera. Serwery tylko ze Stdio i wdrożenia z skutecznym limitem rozmiaru żądań na poziomie nadrzędnym nie są podatne, a aplikacje używające bezpośrednio StreamableHTTPServerTransport pozostają odpowiedzialne za wymuszenie własnego limitu. Standardowe aplikacje serwera SDK i menedżery sesji są naprawione w wersjach 1.29.1 i 2.1.0.

Wtyczka Best Payments Plugin for WP (wp-payment-form) zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 4.6.27 włącznie.

Wtyczka Hippoo Mobile App for WooCommerce (hippoo) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 1.12.0 włącznie.

Wtyczka Skydropx (skydropx) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność występuje w wersjach do 2.1.4 włącznie.

Model Context Protocol Java SDK w wersjach od 0.8.0 do 0.12.0 (artefakt mcp) oraz od 0.13.0 do 0.18.3 i od 1.0.0 do 1.1.3 (mcp-core), a także mcp-core od 2.0.0-M1 do 2.0.0, w transportach serwera opartych na Servlet (SSE, Streamable HTTP, Stateless) wczytuje ciało żądania HTTP do pamięci bez limitu rozmiaru. Nieuwierzytelniony zdalny klient może przesłać dowolnie duże ciało POST (także z kodowaniem chunked), aż do wyczerpania sterty JVM i niedostępności procesu.

W Hestia Control Panel w wersjach od 1.9.7 do 1.10.4 funkcja update_object_value() w pliku func/main.sh nie escapuje apostrofów podczas zapisu niestandardowej wartości document-root do pliku web.conf użytkownika. Uwierzytelniony użytkownik panelu z uprawnieniami do domeny może wstrzyknąć dodatkowe pole PATH, a następnie poprzez zwykłą funkcję wyszukiwania doprowadzić do wykonania dowolnego kodu jako root. Podatność została naprawiona w wersji 1.10.5.

Wtyczka WordPress MDTF (wp-meta-data-filter-and-taxonomy-filter) zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu). Problem dotyczy wersji od nieznanej do 1.3.9.

Nieprawidłowa autoryzacja w PgBouncer w wersjach od 1.17.0 do 1.26.0 pozwala zdalnemu atakującemu znającemu hasło użytkownika z auth_file zalogować się jako dowolny inny użytkownik uwierzytelniany przez SCRAM, w tym jako administrator PgBouncer lub superużytkownik backendu. Drugi StartupMessage wysłany podczas uwierzytelniania SCRAM do nieistniejącej bazy nie jest odrzucany i zmienia użytkownika, przy czym wymiana SCRAM jest weryfikowana względem kluczy pierwszego użytkownika.

Nieskończona pętla w PgBouncer w wersjach od 1.20.0 do 1.26.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi. StartupMessage, którego parametr options zawiera pustą nazwę parametru (np. "-c="), powoduje zapętlenie wyszukiwania na liście ignore_startup_parameters. Ponieważ PgBouncer obsługuje wszystkich klientów w jednym procesie, nasyca to rdzeń CPU i czyni PgBouncer nieosiągalnym dla wszystkich klientów do czasu restartu procesu.