Katalog podatności CVE

Podatność w mwiede jsch do wersji 2.28.5. Funkcja getRevokedKeys w pliku KnownHosts.java jest podatna na nieprawidłowe sprawdzanie odwołania certyfikatu przez argument known_hosts. Atak może być przeprowadzony zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Zalecane jest uaktualnienie do wersji 2.28.6.

W produkcie valkey-io valkey do wersji 9.0.5/9.1.1 wykryto podatność polegającą na odczycie poza zakresem w funkcji kvstoreGetHashtable pliku src/kvstore.c poprzez manipulację argumentem didx. Atak może być przeprowadzony zdalnie, ale wymaga trybu klastrowego oraz dostępu do pliku dump.rdb przy starcie, co czyni go trudnym do wykorzystania. Publicznie udostępniono exploit, a producent wydał łatkę.

W systemie Projectworlds Online Attendance System 1.0 wykryto podatność XSS (cross-site scripting) w pliku profile.php poprzez manipulację argumentem email. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

PocketMine-MP przed wersją 4.0.3 nie wykonuje dopasowania bez uwzględniania wielkości liter podczas usuwania wpisów operatora z ops.txt. Funkcja removeOp zamienia podaną nazwę na małe litery, ale usuwa tylko dokładnie pasujący wpis, więc nazwa operatora zapisana z nie-małymi literami nie może zostać cofnięta za pomocą komendy deop, pozostawiając gracza jako operatora, dopóki wpis nie zostanie usunięty ręcznie z ops.txt.

W systemie Task Management System 1.0 firmy code-projects wykryto podatność na atak XSS w komponencie aktualizacji profilu użytkownika, w pliku /user/UpdateUserProfile.php. Manipulacja argumentem lname powoduje wykonanie złośliwego skryptu w przeglądarce ofiary. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

ugrep przed wersją 7.6.0 zawiera podatność na odczyt poza zakresem sterty w dekompresorze LZW podczas przetwarzania spreparowanych plików archiwum .Z. Atakujący mogą dostarczyć uszkodzone pliki .Z, które powodują odczyt jednego bajtu poza przydzielonym buforem sterty, co może doprowadzić do awarii procesu.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie wykonuje wystarczającej kontroli autoryzacji na jednej z tras API Google Reviews REST, co pozwala użytkownikom z rolą Współautora i wyższą na modyfikację ogólnowitrynowego sklepu, usuwanie wpisów skonfigurowanych przez administratora i wstrzykiwanie własnych, które są publicznie renderowane w całej witrynie.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ogranicza prawidłowo dostępu do jednej z tras REST dotyczących opinii Google, umożliwiając każdemu zalogowanemu użytkownikowi z rolą współautora lub wyższą odczytanie adresu e-mail administratora witryny, który to adres WordPress domyślnie ukrywa przed tą rolą.

Wtyczka Events Calendar dla WordPressa przed wersją 6.17.3.1 nie ogranicza dostępu do niepublicznych treści w publicznych archiwach REST, umożliwiając użytkownikom z niskimi uprawnieniami, takim jak współautor, odczytanie pełnej treści wszystkich nieopublikowanych rekordów na stronie, w tym rekordów innych użytkowników.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy użytkownik ma uprawnienia do działania na komentarzu współpracy przed zmianą jego stanu, umożliwiając użytkownikom, którym administrator przyznał dostęp do treści na poziomie strony, modyfikowanie komentarzy pozostawionych przez innych użytkowników, w tym na stronach, których sami nie mogą otworzyć.

Wtyczka WordPress My Private Site przed wersją 4.2.3 nie stosuje kontroli dostępu do prywatności witryny do niektórych nieuwierzytelnionych powierzchni odczytu front-end, co pozwala nieuwierzytelnionym użytkownikom na przeglądanie treści postów, komentarzy i adresów URL postów z witryny, którą administrator umieścił za obowiązkowym logowaniem.

Wtyczka WordPress Smart Post przed wersją 4.0.8 nie sprawdza typu, własności ani statusu posta, który ma zostać zduplikowany, co pozwala użytkownikom z uprawnieniami współautora i wyższym na skopiowanie dowolnego prywatnego lub chronionego hasłem posta do własnego szkicu i odczytanie jego treści oraz metadanych.

Wtyczka Joli Table Of Contents dla WordPressa przed wersją 2.8.1 nie sanityzuje i nie escapuje niektórych swoich ustawień przed wypisaniem ich na stronie administracyjnej. Może to pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzanie ataków Stored Cross-Site Scripting nawet wtedy, gdy możliwość unfiltered_html jest zabroniona, na przykład w konfiguracji multisite.

Wtyczka JCH Optimize dla WordPressa przed wersją 5.0.1 nie odpowiednio ogranicza ścieżki katalogu podanej do jednej z administracyjnych funkcji przeglądania obrazów do wnętrza witryny. Umożliwia to użytkownikom z wysokimi uprawnieniami, administratorom w pojedynczej witrynie i administratorom podwitryn w multisite, wyliczanie katalogów i nazw plików poza katalogiem głównym witryny.

W bibliotece libxml2 przed wersją 2.15.4, xmlregexp w xmlRegNewParserCtxt ma dereferencję wskaźnika NULL po niepowodzeniu strdup, tj. nie oblicza długości ciągu po sprawdzeniu NULL.

W bibliotece libxml2 przed wersją 2.15.4 występuje podatność polegająca na odczycie poza zakresem pamięci w funkcji xmlFAParsePosCharGroup, związana z makrem NXT w xmlregexp.

W projekcie ramon-victor freegpt-webui do commit 098db3dfeb41555c2ca9269df0f13e10ec1c35dc występuje podatność wyścigu (race condition) w funkcji getJailbreak pliku server/config.py w komponencie Jailbreak Mode. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego poziomu złożoności i jest oceniany jako trudny do wykorzystania. Exploit został opublikowany. Produkt korzysta z modelu ciągłych wydań, więc szczegóły wersji nie są dostępne. Podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.

W bibliotece undici przed wersją 6.28.1, od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2, interceptor ponawiania może dołączyć ciało odpowiedzi z ponowionego żądania zakresowego do już dostarczonych bajtów z wcześniejszej częściowej odpowiedzi, jednocześnie prezentując oryginalny status i nagłówki. Może to spowodować, że ciało odpowiedzi będzie dłuższe niż Content-Length obserwowane przez aplikację. Aplikacja przekazująca taką odpowiedź do klienta HTTP/1.1 bez normalizacji ramki może wysłać ciało przekraczające przekazany Content-Length, a nadmiarowe bajty mogą być interpretowane jako początek kolejnej odpowiedzi, co umożliwia rozdzielenie odpowiedzi lub desynchronizację.

Interceptor pamięci podręcznej undici dokumentuje, że buforowane są tylko bezpieczne metody HTTP, ale logika pomijania buforowania jest zbudowana przez odjęcie skonfigurowanych metod od zbioru bezpiecznych metod, więc niebezpieczna metoda, taka jak POST, PUT lub DELETE, nigdy nie jest umieszczana na liście pomijania i zamiast tego przechodzi przez pełną ścieżkę odczytu pamięci podręcznej. Brama przechowywania odpowiedzi również nie sprawdzała metody, więc odpowiedź na niebezpieczne żądanie, która jest heurystycznie buforowalna lub zawiera jawne dyrektywy Cache-Control, jest przechowywana i później odtwarzana z pamięci podręcznej. Ponieważ nagłówki odpowiedzi z zdalnego pochodzenia są niezaufane, pochodzenie może raz odpowiedzieć z buforowalnym statusem, a następnie kolejne żądania zmieniające stan klienta do tej ścieżki będą obsługiwane z nieaktualnej pamięci podręcznej bez dotarcia do pochodzenia, co jest naruszeniem integralności występującym przy domyślnej konfiguracji interceptorów. Dotyczy to wersji undici od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować do undici 7.29.1 lub 8.10.2.

Interceptor dump w bibliotece undici nieprawidłowo obsługuje odpowiedzi chunked bez nagłówka Content-Length, gdy rozmiar ciała przekracza maksymalny limit. Zamiast przerwać lub wstrzymać żądanie, sygnalizuje wcześniejsze zakończenie, co prowadzi do podwójnego sygnału zakończenia i wyzwala asercję wewnętrzną, przerywając połączenie. Aplikacja widzi mylący status sukcesu z pustym lub obciętym ciałem, podczas gdy połączenie jest już zerwane.