Katalog podatności CVE

Ujawnienie ścieżki bezwzględnej w /vfm-admin/assets/zipstream/grandt/relativepath/RelativePath.Example1.php w Veno File Manager Project 4.4.9 umożliwia nieuwierzytelnionemu atakującemu poznanie katalogu systemowego, w którym działa kod aplikacji, poprzez wysłanie żądania GET do punktu końcowego.

Podatność w kontroli dostępu w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na wyodrębnienie wszystkich logów aplikacji od wybranej daty w przyszłości. Dzieje się to poprzez specjalnie spreparowane żądanie POST do pliku save-cvs.php.

Podatność typu path traversal w Veno File Manager 4.4.9 umożliwia odczyt dowolnych plików. Uwierzytelniony atakujący z rolą super administratora może ujawnić wrażliwe informacje poprzez dwa specjalnie spreparowane żądania HTTP (POST i GET) do punktów końcowych index.php i streamvid.php.

Podatność w enumeracji użytkowników w Veno File Manager 4.4.9 pozwala nieuwierzytelnionemu atakującemu na sprawdzenie, czy dany użytkownik istnieje w aplikacji. Wysyłając specjalnie spreparowane żądanie POST z wybranym parametrem 'user_name', atakujący może potwierdzić istnienie konta.

Podatność SQL injection w komponencie NL2SQLTool biblioteki crewai-tools w wersji 1.10.2rc1. Zdalny atakujący może wykonać dowolne polecenia SQL poprzez niesanityzowany argument sql_query.

DNG SDK w wersjach 1.7.1 2502 i wcześniejszych jest dotknięty podatnością na zapis poza zakresem, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do uszkodzenia pamięci, powodując awarię lub brak reakcji aplikacji. Eksploatacja wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

DNG SDK w wersjach 1.7.1 2502 i wcześniejszych jest dotknięty podatnością na odczyt poza zakresem, co może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji z pamięci. Eksploatacja wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

EAZ EazyFix 12.9 umożliwia obejście funkcji zabezpieczeń związanej z „Brakującym krokiem kryptograficznym” powiązanym z „Wyłączeniem Secure Boot”.

Przekazanie praktycznie pustego ciągu znaków do rozszerzenia składni `,ccs=` w argumencie trybu funkcji `fopen` w GNU C Library w wersji 2.45 lub wcześniejszej może skutkować przepełnieniem bufora na stercie, gdy ciąg trybu wejściowego jest kontrolowany przez atakującego. Ten wzorzec użycia nie występuje w typowych aplikacjach w dystrybucjach GNU/Linux, a aplikacje przetwarzające wartości dostarczone przez użytkownika dla `ccs` nie powinny przekazywać ich bez walidacji.

Dotknięte wersje Flowintel nieprawidłowo próbowały zweryfikować adresy e-mail logowania, wywołując Email(email), co nie wykonuje walidacji pola WTForms, a jedynie konstruuje obiekt walidatora. W rezultacie nieprawidłowe dane wejściowe kontrolowane przez atakującego mogły przejść przez proces logowania i zostać zapisane w logach istotnych dla bezpieczeństwa. Podatny kod wstawiał podany e-mail zarówno do logu ostrzegawczego, jak i do niestandardowego rejestratora audytu. Ponieważ znaki CR/LF nie były escapowane, nieuwierzytelniony atakujący mógł potencjalnie wstrzyknąć dodatkowe fizyczne linie logów lub sfałszować mylące wpisy logów.

Dotknięte wersje Flowintel konstruują HTML osi czasu przy użyciu pól obiektów MISP kontrolowanych przez atakującego, takich jak UUID obiektu, nazwa obiektu, wartość atrybutu, typ atrybutu, komentarz, wartości pierwszej/ostatniej obserwacji oraz flaga IDS. Te wartości były bezpośrednio konkatenowane do ciągów HTML przed renderowaniem. Zatwierdzone zmiany w kodzie wyraźnie stwierdzają, że DOMPurify usuwa wektory XSS, ale nadal przepuszcza inne elementy HTML, takie jak formularze.

Dotknięte wersje Flowintel udostępniają punkt końcowy API /my_assignment/user każdemu uwierzytelnionemu użytkownikowi API. Punkt końcowy akceptuje parametr user_id identyfikujący użytkownika, którego przypisania mają zostać zwrócone, ale wcześniej nie miał żadnego ograniczenia roli poza ogólnym uwierzytelnieniem API. W rezultacie uwierzytelniony użytkownik z niższymi uprawnieniami mógł potencjalnie zapytać o informacje o przypisaniach innego użytkownika, podając jego identyfikator.

NLTK przed wersją 3.10.3 zawiera podatność na niekontrolowaną rekurencję w nltk.featstruct.FeatStructReader, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi poprzez dostarczenie głęboko zagnieżdżonych danych wejściowych struktury cech. Atakujący mogą tworzyć trywialne ładunki z zagnieżdżonymi nawiasami, które przekraczają limit rekurencji Pythona i wywołują nieobsłużony błąd RecursionError, powodując awarię aplikacji przetwarzających struktury cech lub gramatyki cech dostarczane przez użytkownika.

openssl_encrypt przed wersją 1.4.9 nie waliduje parametru memory_cost z bloków ochrony plików tożsamości, co pozwala atakującym na wywołanie warunków braku pamięci podczas wyprowadzania klucza. Atakujący z prawem zapisu do lokalnych magazynów tożsamości mogą tworzyć złośliwe pliki tożsamości z nadmiernymi wartościami memory_cost, które powodują awarię hosta podczas odblokowywania tożsamości przed uwierzytelnieniem.

openssl_encrypt (pip: openssl-encrypt) przed wersją 1.4.9 zawiera wadę przechodzenia przez ścieżki w PluginSandbox._is_safe_path, która autoryzowała dostęp do plików za pomocą zwykłego dopasowania prefiksu ciągu. Zablokowany plugin bez uprawnienia READ_FILES mógł odczytać lub zapisać katalog innego pluginu, który jedynie dzieli prefiks nazwy (np. .../plugins/foobar pasujący do dozwolonego .../plugins/foo), łamiąc izolację między pluginami w obrębie tego samego użytkownika. Poprawka polega na dopasowaniu każdego dozwolonego katalogu dokładnie lub z końcowym separatorem ścieżki.

openssl_encrypt przed wersją 1.4.9 nie zapobiega kolizjom przestrzeni nazw między własnymi tożsamościami a kontaktami w IdentityStore, co pozwala atakującym na tworzenie zacienionych wpisów kontaktowych niewidocznych do czasu usunięcia odpowiedniej własnej tożsamości. Po usunięciu własnej tożsamości zacieniony kontakt staje się widoczny i rozwiązuje się do kluczy atakującego, umożliwiając cichą podmianę kluczy dla zaszyfrowanych plików.

openssl_encrypt przed wersją 1.4.9 nie waliduje stanu szyfrowania osadzonych post-kwantowych kluczy prywatnych w metadanych plików. Atakujący mogą tworzyć pliki z niezaszyfrowanymi osadzonymi kluczami PQC, które odszyfrowują się pod dowolnym hasłem, omijając uwierzytelnianie i produkując wybrany przez atakującego tekst jawny z fałszywą weryfikacją integralności.

openssl_encrypt (pakiet pip openssl-encrypt) w wersjach <= 1.4.8 zawiera wadę rozwiązywania plików konfiguracyjnych względem bieżącego katalogu w crypt_settings.py, gdzie CONFIG_FILE (pierwotnie bezwzględna ścieżka per użytkownik ~/.crypt_settings.json) jest ponownie przypisywana w linii 84 do zwykłej względnej nazwy 'crypt_settings.json'. W rezultacie przestarzały interfejs Tk GUI SettingsTab odczytuje i zapisuje ustawienia KDF z crypt_settings.json w katalogu, z którego uruchomiono proces (bieżący katalog roboczy), zamiast w katalogu domowym użytkownika. Atakujący, który umieści złośliwy crypt_settings.json (np. sha256:1 z wyłączonymi wszystkimi pamięciożernymi KDF), może po cichu obniżyć szyfrowanie wykonywane w tej sesji GUI do około jednej rundy haszowania, omijając preflight słabych KDF i umożliwiając ataki brute-force offline na wynikowy szyfrogram. Poprawione w wersji 1.4.9.

openssl_encrypt przed wersją 1.4.9 nie egzekwuje limitu czasu dla liczby iteracji funkcji wyprowadzania klucza (KDF) określonej w metadanych pliku. Atakujący mogą tworzyć pliki z bardzo wysoką liczbą iteracji KDF, co powoduje nieograniczone zużycie zasobów CPU przed weryfikacją hasła.

openssl_encrypt 1.4.x przed 1.4.9 zawiera opcjonalną usługę D-Bus, której metoda org.freedesktop.DBus.Properties.Set nie wykonuje ani autoryzacji polkit, ani walidacji wartości. Każdy lokalny użytkownik na magistrali systemowej może wywołać Set bez autoryzacji i ustawić MaxConcurrentOperations (na 0/ujemną, powodując odmowę wszystkich kolejnych operacji, lub na ogromną wartość usuwając limit) lub nieograniczony DefaultTimeout, co prowadzi do trwałego DoS demona roota. Usługa D-Bus istnieje tylko w linii 1.4.x i została usunięta w 1.5.x.