Katalog podatności CVE

W bibliotece systeminformation dla Node.js w wersjach przed 5.33.14 implementacja `networkStats(iface)` używa wartości interfejsu podanej przez wywołującego w sprawdzeniu `fs.existsSync()` oraz do budowania ścieżek `/sys/class/net/<iface>`, bez weryfikacji, że jest to pojedynczy segment nazwy interfejsu ani że rozwiązana ścieżka pozostaje w `/sys/class/net`. Atakujący kontrolujący parametr `iface` może wykorzystać komponenty katalogu nadrzędnego i przejście przez dowiązania symboliczne, aby uzyskać pierwszą linię pliku czytelnego dla procesu Node.js. Wymaga to lokalnej konfiguracji systemu plików; problem naprawiono w wersji 5.33.14.

Podatność w bibliotece Tidewave pozwala atakującemu odczytać nazwy ścieżek systemu plików aplikacji poprzez konfigurację Tidewave, dostępną przez /tidewave/connect lub renderowany pasek narzędzi. Odpowiedzi nie weryfikują nagłówka Host, więc strona internetowa, która rebinduje własną domenę na adres loopback, może odczytać tag za pomocą żądania same-origin bez nagłówka Origin. Ujawnione ścieżki zwykle ujawniają lokalną nazwę użytkownika i układ projektu.

Dell PowerProtect Data Domain w wersjach Feature Release od 7.7.1.0 do 8.8, LTS2024 od 7.13.1.0 do 7.13.1.80, LTS2025 od 8.3.1.0 do 8.3.1.40 oraz LTS2026 od 8.6.1.0 do 8.6.1.20 zawiera podatność polegającą na przejściu ścieżki względnej (Relative Path Traversal). Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do manipulacji informacjami.

Podatność typu out-of-bounds write w module Qt 5 Compatibility APIs (Qt Core w Qt 5 i wcześniejszych) dotyczy kodowania tekstu za pomocą QTextCodec opartego na iconv. W określonych warunkach kodowanie tekstu może zapisać dane poza wewnętrznym buforem, co może spowodować awarię aplikacji i wpłynąć na integralność danych.

@fastify/session w wersjach przed 11.1.6 z domyślnym zachowaniem rolling session pozwala żądaniu, które odtworzyło sesję przed wylogowaniem, zapisać jej kopię po zniszczeniu sesji przez inne żądanie, odtwarzając zniszczony identyfikator sesji z danymi uwierzytelnienia. Atakujący posiadający ważne podpisane ciasteczko sesji ofiary może je odtworzyć po wylogowaniu bez kradzieży ciasteczka ani fałszowania podpisu.

Biblioteka darylldoyle svg-sanitizer w wersjach przed 1.0.0 zawiera podatności polegające na wstrzyknięciu CSS i obejściu zdalnych odwołań, umożliwiające atakującym osadzanie zewnętrznych zasobów poprzez przesyłanie spreparowanych plików SVG. Atakujący mogą wykorzystać nieoczyszczoną zawartość stylów, niecytowane wartości url() lub atrybuty href obrazów do eksfiltracji danych strony, śledzenia użytkowników lub ujawniania adresów IP odwiedzających.

Podatność w aplikacjach Vaadin korzystających z server push (adnotacja @Push). Endpoint push odzwierciedla nagłówek Origin żądania w nagłówku Access-Control-Allow-Origin i zezwala na przesyłanie poświadczeń, co pozwala dowolnej stronie na wykonanie żądania cross-origin z ciasteczkami użytkownika i odczytanie odpowiedzi. Do odczytania użytecznych danych potrzebny jest jednak identyfikator push sesji.

Konsola HTML5 KVM-over-IP uwierzytelnia się tokenem zwracanym przez interfejs webowy. Słabości w generowaniu tokenów mogą pozwolić atakującemu na odgadnięcie tokenu sesji i przejęcie kontroli nad sesją KVM.

Podatność w bibliotece qs polega na tym, że przy opcji allowEmptyArrays: true klucz pustej tablicy jest zapisywany bez kodowania, mimo że domyślnie klucze są kodowane. Klucz zawierający znaki &, = lub # może wtedy wstrzyknąć dodatkowe parametry do serializowanego query stringa lub przedwcześnie go zakończyć. Problem dotyczy wersji od 6.12.0 do 6.12.5, od 6.13.0 do 6.13.3, od 6.14.0 do 6.14.2, od 6.15.0 do 6.15.3 oraz od 6.16.0 do 6.16.1.

Wtyczka WordPress TiendaCrypto para WooCommerce w wersjach do 1.2.1 włącznie nie weryfikuje poprawnie autentyczności webhooka płatności, sprawdzając podpis żądania względem klucza, który jest zawsze pusty. Pozwala to nieuwierzytelnionym atakującym sfałszować powiadomienia webhook i oznaczyć dowolne zamówienia WooCommerce jako opłacone na serwerach zachowujących wielkość liter nagłówków żądań.

W HR-Payroll-Management-System (Saruf-Ratul) w pliku chat.php występuje podatność cross-site scripting wynikająca z manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Online-Payroll-Management-System (MD-MAFUJUL-HASAN) w pliku chat.php występuje podatność cross-site scripting wynikająca z manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Argilla do wersji 2.8.0 w pliku TextField.vue występuje podatność cross-site scripting wynikająca z manipulacji argumentem text. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Argilla do wersji 2.8.0 w pliku Sandbox.vue występuje podatność cross-site scripting wynikająca z manipulacji argumentem template. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Argilla do wersji 2.8.0 w pliku SettingsInfo.vue (strona ustawień) występuje podatność cross-site scripting wynikająca z manipulacji argumentem Name. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

flatcc do wersji 0.6.4 zawiera podatność na przepełnienie liczb całkowitych w funkcji check_header weryfikatora FlatBuffers, ponieważ zabezpieczenie przed przepełnieniem jest martwym kodem. W kompilacjach 32-bitowych atakujący może dostarczyć spreparowany offset bufora, który omija sprawdzenie granic, powodując odczyt poza buforem i awarię procesu.

flatcc do wersji 0.6.4 zawiera podatność na odczyt poza buforem w funkcji __flatcc_json_parser_number, umożliwiającą odczyt poza buforem wejściowym poprzez liczby kończące się kropką dziesiętną. Atakujący może dostarczyć niezaufany JSON kończący się bezpośrednio po kropce dziesiętnej do wygenerowanych parserów, powodując awarię aplikacji, gdy bufor kończy się na niezmapowanej stronie.

libfvde do wersji 20260923 zawiera podatność na odczyt poza buforem sterty w funkcji libfvde_encrypted_metadata_read_type_0x001a(), spowodowaną nieograniczonym wywołaniem strlen na osadzonych danych XML plist. Atakujący może dostarczyć spreparowany wolumin FileVault 2 z danymi plist niezakończonymi znakiem NUL, powodując odczyt poza blokiem sterty przez libfvde_volume_open().

gbsplay do wersji 0.0.103 zawiera podatność na odczyt poza buforem sterty w funkcji vgm_open() w pliku gbs.c, która przetwarza strumień poleceń VGM bez sprawdzania granic. Atakujący może dostarczyć spreparowany plik VGM z opkodami oczekiwania i bez terminatora 0x66, powodując odczyt poza buforem sterty i awarię odtwarzacza.

gbsplay do wersji 0.0.103 zawiera podatność na odczyt poza buforem sterty w funkcji gbr_open() w pliku gbs.c, która nie weryfikuje długości pliku przed skanowaniem pola tytułu ROM GBR. Atakujący może dostarczyć spreparowany plik GBR o rozmiarze od 0x21 do 0x162 bajtów, powodując odczyt poza buforem sterty, awarię gbsplay lub wyciek pamięci.