Katalog podatności CVE

LimeSurvey Community Edition 7.0.5 zawiera podatność na nieprawidłową autoryzację w punkcie końcowym tworzenia wpisów menu ankiety. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu ustawień globalnych może bezpośrednio wywołać POST /index.php/admin/menuentries/sa/create i tworzyć nowe wpisy menu bez wymaganego uprawnienia settings:update. Atakujący może również przesłać identyfikatory menu, które normalny interfejs ogranicza dla nie-superadministratorów, co umożliwia nieautoryzowane zmiany w rekordach nawigacji administracyjnej.

EmbeddedHeadersJsonMessageMapper domyślnie stosuje zbyt liberalne parsowanie nagłówków w swoim konstruktorze. Gdy decodeNativeFormat przetwarza surowe bajty, deserializuje osadzone nagłówki JSON do zwykłej mapy i tworzy GenericMessage z MutableMessageHeaders bez domyślnego sanityzowania lub filtrowania niezaufanych nazw nagłówków. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Pojedyncza instancja ScriptEngine jest ponownie używana dla każdej wiadomości na kanale opartym na skryptach. Dla silników JSR-223, które zgłaszają THREADING=null (nie są bezpieczne dla wątków, np. silnik Kotlin kts), równoczesne przetwarzanie wiadomości może uszkodzić stan wewnętrzny silnika, potencjalnie wyciekając powiązania payloadu/nagłówków jednej wiadomości do oceny skryptu innej wiadomości lub powodując nieoczekiwane wyjątki. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Gdy skonfigurowany jest ErrorHandler na poziomie kontenera (środek łagodzący dla znaleziska 221000), każde dostarczenie, którego przetwarzanie zgłasza błąd, trwale zużywa jeden kredyt linku. Po osiągnięciu initialCredits (domyślnie 100) nieudanych wiadomości kredyt odbiorcy spada do zera i broker przestaje dostarczać, pozostawiając słuchacza cicho zablokowanego, podczas gdy isRunning() nadal zwraca true. Podatność dotyczy Spring AMQP 4.1.0.

RedisChatMemoryRepository.findByMetadata() buduje zapytania RediSearch tag i text z wartości metadanych dostarczonych przez wywołującego bez zastosowania RediSearchUtil.escape(), w przeciwieństwie do get(), clear() i findByTimeRange() w tej samej klasie, które uciekają swoje dane wejściowe. Aplikacja, która przekazuje wartości kontrolowane przez użytkownika do findByMetadata() na polu metadanych typu tag, pozwala atakującemu wstrzyknąć składnię RediSearch (np. x} | *), która wyłamuje się z klauzuli tag i dopasowuje wszystkie zindeksowane wiadomości czatu we wszystkich konwersacjach w indeksie. Podatność dotyczy Spring AI 2.0.0.

DeadLetterPublishingRecovererFactory odczytuje nagłówek retry_topic-original-timestamp z przychodzącego ConsumerRecord i przekazuje jego surowe bajty bezpośrednio do new BigInteger(header.value()) bez walidacji długości lub formatu. Podatność dotyczy Spring for Apache Kafka w wersjach 4.1.0, 4.0.0-4.0.6, 3.0.0-3.3.16, 2.9.0-2.9.14 oraz 2.8.12 i wcześniejszych.

Spring Cloud Config Monitor jest podatny na ataki typu Denial of Service poprzez złośliwe ładunki. Podatność dotyczy Spring Cloud Config w wersjach 5.0.0-5.0.4, 4.3.0-4.3.4, 4.0.0-4.2.8 oraz 3.1.14 i wcześniejszych.

Lokalny nieuprzywilejowany użytkownik na tym samym hoście może przekierować całe wyjście transformatora Zip/UnZip do wybranego przez siebie katalogu, tworząc wcześniej /tmp/ziptransformer jako dowiązanie symboliczne przed uruchomieniem aplikacji. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.

ResourceCacheService.getCacheName() buduje nazwę pliku na dysku, dołączając fragment URI dosłownie, bez usuwania separatorów ścieżek lub sekwencji .., i przekazuje wynik do new File(resourceParentFolder, newFileName) przed zapisaniem pobranych bajtów. Podatność dotyczy Spring AI w wersjach 2.0.0, 1.1.0-1.1.8 oraz 1.0.9 i wcześniejszych.

Jeśli aplikacja jawnie nie podniesie smbMinVersion, klient jCIFS negocjuje w dół do SMB1/CIFS, który nie ma obowiązkowego podpisywania/szyfrowania i jest podatny na ataki NTLM relay oraz MITM modyfikujące treść. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.

Spring for GraphQL jest podatny na ataki Denial of Service podczas korzystania z klienta WebSocket z włączoną opcją keepAlive. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6 oraz 1.3.0-1.3.9.

Aplikacje Spring MVC i WebFlux, które uzyskują instancję Errors z włączonym kodowaniem HTML i renderują błędy pól za pomocą bezargumentowych metod Errors.getFieldErrors() lub Errors.getFieldError(), są podatne na wstrzykiwanie dowolnego kodu HTML/JavaScript, co może prowadzić do odbitego XSS.

Wiele komponentów Spring Security porównuje wartości wrażliwe dla bezpieczeństwa za pomocą standardowej metody String.equals() zamiast porównania w czasie stałym. Ponieważ String.equals() zwraca wynik natychmiast po znalezieniu różnicy, czas odrzucenia nieprawidłowej wartości jest proporcjonalny do liczby pasujących znaków początkowych.

CC: Tweaked to mod do Minecrafta dodający programowalne komputery, żółwie i inne elementy. Przed wersją 1.120.0 ochrona SSRF w AddressPredicate.java blokuje prefiks NAT64 RFC 6052 64:ff9b::/96, ale pomija prefiks lokalnego użytku RFC 8215 64:ff9b:1::/48. Na serwerze dwustosowym używającym NAT64 RFC 8215 nieuwierzytelniony użytkownik, który może wykonywać kod Lua, może użyć http.request lub http.websocket z adresem w zakresie 64:ff9b:1::/48, aby dotrzeć do loopback, RFC 1918, metadanych chmury lub wewnętrznych punktów API.

libreoffice-convert to moduł Node.js do konwersji dokumentów biurowych na różne formaty. Przed wersją 1.8.2, index.js używa wartości fileName kontrolowanej przez wywołującego w path.join(tempDir.name, fileName) bez redukcji do nazwy bazowej. Nazwa pliku zawierająca ../ może opuścić katalog tymczasowy, ponieważ brakuje normalizacji path.basename(), i zapisać dostarczony bufor dokumentu w dowolnej ścieżce zapisywalnej przez proces, w tym w pliku authorized_keys SSH, konfiguracji cron lub katalogu głównym serwera WWW.

Trilium to aplikacja do hierarchicznych notatek o otwartym kodzie źródłowym. W wersjach do 0.103.0 włącznie, domyślnie włączony filtr "Safe import" sanityzuje HTML tylko dla notatek tekstowych i pomija typ notatki książki (book note), której treść jest przechowywana bez sanityzacji i później renderowana jako HTML, co pozwala na osadzenie złośliwego ładunku w archiwum importowanym, który wykonuje się jako skrypt. Treść notatki książki jest przetwarzana przez tę samą ścieżkę renderowania co notatki tekstowe i wstrzykiwana do strony metodą jQuery html, gdy notatka jest wyświetlana jako karta podglądu w widoku siatki, więc złośliwa notatka przetrwa Safe import i uruchomi się po otwarciu zawierającej ją notatki. W kliencie desktopowym renderer Electron działa z włączoną integracją Node, więc wstrzyknięty JavaScript eskaluje z cross-site scripting do pełnego zdalnego wykonania kodu na maszynie ofiary. Problem naprawiono w wersji 0.104.0.

Trilium to aplikacja do hierarchicznych notatek o otwartym kodzie źródłowym. W wersjach do 0.103.0 włącznie, domyślnie włączony filtr "Safe import" sanityzuje HTML tylko dla notatek tekstowych i pomija typ notatki mindMap, której zawartość JSON jest przechowywana bez sanityzacji, co pozwala na osadzenie ładunku renderującego dowolny HTML. Węzeł mapy myśli może zawierać właściwość dangerouslySetInnerHTML, którą biblioteka Mind Elixir przypisuje bezpośrednio do innerHTML węzła, więc złośliwa notatka przetrwa Safe import i wykona skrypt po otwarciu zaimportowanej mapy myśli. W kliencie desktopowym renderer Electron działa z włączoną integracją Node, więc wstrzyknięty JavaScript eskaluje z cross-site scripting do pełnego zdalnego wykonania kodu na maszynie ofiary. Problem naprawiono w wersji 0.104.0.

Trilium to aplikacja do hierarchicznych notatek o otwartym kodzie źródłowym. W wersjach do 0.103.0 włącznie, domyślnie włączony filtr "Safe import" nie sanityzuje tytułów notatek, a widok GeoMap interpoluje tytuł notatki znacznika do surowego HTML renderowanego jako innerHTML, co pozwala na wstrzyknięcie skryptu przez archiwum importowane, który uruchamia się podczas wyświetlania mapy. Ponieważ Safe import neutralizuje skrypty, ale nigdy nie escapuje tytułów, notatka z tytułem zawierającym ładunek obsługi zdarzeń HTML przetrwa import i wykona się po otwarciu GeoMap renderującego jej znacznik. W kliencie desktopowym renderer Electron działa z włączoną integracją Node, więc wstrzyknięty JavaScript eskaluje z cross-site scripting do pełnego zdalnego wykonania kodu na maszynie ofiary. Problem naprawiono w wersji 0.104.0.

Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/sendfiles.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu wysyłanie wiadomości e-mail z skonfigurowanego serwera SMTP aplikacji poprzez wysłanie żądania POST do punktu końcowego z odpowiednimi parametrami i nagłówkiem.

Nieprawidłowa kontrola dostępu w /vfm-admin/ajax/streamvid.php w Veno File Manager Project 4.4.9 umożliwia uwierzytelnionemu atakującemu odczytanie dowolnych przesłanych plików innych użytkowników, o ile zna ścieżkę i nazwę pliku, poprzez specjalnie spreparowane żądanie GET do punktu końcowego.