Katalog podatności CVE

PowSyBl (Power System Blocks) przed wersją 7.2.2 zawiera podatność na wstrzykiwanie poleceń w UnixLocalCommandExecutor i WindowsLocalCommandExecutor, które łączą argumenty poleceń i zmienne środowiskowe w ciągi interpretowane przez bash -c lub cmd /c bez wystarczającego escapowania. Wartości kontrolowane przez atakującego, które trafiają do UnixLocalCommandExecutor.execute, WindowsLocalCommandExecutor.execute, LocalComputationManager.execute, ParallelLoadFlowActionSimulator.run, ActionSimulatorTool.run, AmplModelRunner.run lub AmplModelRunner.runAsync, mogą wyrwać się z zamierzonego polecenia i wykonać dowolne polecenia powłoki jako użytkownik JVM. Dotknięte ścieżki itools obejmują action-simulator z task-count, security-analysis z external i dynamic-security-analysis. Narzędzia CLI, biblioteki, front-endy REST i wielodostępne usługi analizy sieci, które przekazują mniej zaufane identyfikatory kontyngencji lub parametry obliczeniowe do tych API, mogą wystawić wstrzykiwanie zdalnie. Problem jest naprawiony w wersji 7.2.2.

phpSysInfo przed wersją 3.4.6 zawiera podatność w kontroli dostępu PSI_ALLOWED w read_config.php, która ufa kontrolowanym przez atakującego nagłówkom HTTP X-Forwarded-For i Client-IP przed REMOTE_ADDR. Zdalny nieuwierzytelniony atakujący może podać dozwolony adres w jednym z tych nagłówków, aby podszyć się pod zaufanego klienta i uzyskać dostęp do ujawnionych informacji o nazwie hosta, jądrze, CPU, pamięci, systemach plików i interfejsach sieciowych. Problem jest naprawiony w wersji 3.4.6.

Yamcs przed wersją 5.11.13 zawiera podatność w StaticFileHandler.locateFile, która rozwiązuje nieuwierzytelnioną ścieżkę żądania bez użycia Path.normalize i Path.toAbsolutePath, aby potwierdzić, że ścieżka bezwzględna pozostaje w skonfigurowanych staticRoots. Ścieżka zawierająca segmenty traversal może opuścić zamierzony katalog główny i zwrócić dowolny czytelny plik hosta. Wada znajduje się w yamcs-core/src/main/java/org/yamcs/http/StaticFileHandler.java i może ujawnić wrażliwe dane systemu operacyjnego i aplikacji. Problem jest naprawiony w wersji 5.11.13, a linia 5.12 jest naprawiona od wersji 5.12.0.

Yamcs przed wersjami 5.12.8 i 5.13.2 pomija kontrolę autoryzacji w kilku interfejsach API, takich jak IndexesApi, Cop1Api i TimeApi. Uwierzytelniony użytkownik z niskimi uprawnieniami może odczytywać metadane pakietów i zdarzeń, zmieniać stan łącza COP-1 oraz manipulować czasem symulacji.

Protego przed wersją 0.6.2 zamienia każdą gwiazdkę w dyrektywach Allow lub Disallow na leniwy symbol wieloznaczny, co przy wielu gwiazdkach prowadzi do wykładniczego cofania się. Przetworzenie złośliwego pliku robots.txt może spowodować długotrwałe dopasowywanie adresów URL i odmowę usługi.

WsgiDAV przed wersją 4.3.5 zawiera przykładowy provider MySQLBrowserProvider, który łączy klucz rekordu z adresu URL bezpośrednio z klauzulami SQL WHERE. Atakujący mający dostęp do udziału skonfigurowanego z tym nie-domyślnym providerem może wstrzyknąć SQL przez zwykłe żądanie GET.

Piccolo Admin przed wersją 1.14.0 zezwala nie-superużytkownikom na żądania GET do tabel użytkowników i sesji, a token sesji nie jest ukryty. Administrator bez uprawnień superużytkownika może uzyskać token sesji innego użytkownika i podszyć się pod superużytkownika.

ALOS HTTP przed wersją 0.0.0-20260617230736-314b6783e196 ma błąd w funkcji sanitizeRequestPath, która nie sprawdza, czy ścieżka po podziale jest pusta. Wysyłając żądanie ze ścieżką składającą się tylko z znaku zapytania, nieuwierzytelniony klient może wywołać panikę i zatrzymać proces serwera.

Bifrost przed wersją 1.5.17 błędnie klasyfikuje adresy z zakresów CGNAT, 6to4, NAT64 i fec0::/10 jako publiczne. Atakujący kontrolujący adres URL multimodalnego żądania może sprawić, że brama pobierze zasoby z wewnętrznych usług, w tym metadane instancji chmury.

MariaDB Connector/Node.js przed wersjami 3.3.3, 3.4.6 i 3.5.3, gdy SSL jest włączony bez przypiętego certyfikatu CA lub serwera, wysyła poświadczenia przed zakończeniem weryfikacji odcisku certyfikatu. Aktywny atakujący typu man-in-the-middle może przechwycić hasło bazy danych.

KubeVela przed wersjami 1.9.14, 1.10.9 i 1.11.0-alpha.4 ma podatność w ładowaniu zdalnej konfiguracji Terraform. Użytkownik z uprawnieniami do tworzenia lub aktualizacji ComponentDefinition może wskazać zmienną terraform.path na /dev/zero, co prowadzi do nieograniczonego odczytu i wyczerpania pamięci.

Vikunja przed wersją 2.4.0 ma podatność w punkcie końcowym POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks. Autoryzacja sprawdza tylko projekt, widok i kubełek z URL, ale nie sprawdza uprawnień do zadania, co pozwala uwierzytelnionemu użytkownikowi odczytać i modyfikować zadania z innych dzierżaw.

Vikunja od wersji 0.24.6 do 2.4.0 ma podatność w punkcie końcowym DELETE /api/v1/projects/:project/views/:view. Uwierzytelniony użytkownik może podać identyfikator widoku z innego projektu, a autoryzacja sprawdza tylko identyfikator projektu, co pozwala na usunięcie przypisań Kanban i kolejności zadań w innych dzierżawach.

dd-trace-rs to biblioteka Datadog do monitorowania wydajności aplikacji w języku Rust. W wersjach od 0.1.0 do 0.3.3 parsowanie nagłówka W3C tracestate w pliku tracecontext.rs zbiera wszystkie pary klucz-wartość z wpisu dd=... do HashMap bez ograniczeń liczby par ani rozmiaru wpisu. Ponieważ ekstrakcja tracecontext jest domyślnie włączona, zdalny nieuwierzytelniony atakujący może wysłać dowolnie duży wpis dd=..., powodując nadmierne zużycie CPU i pamięci dla każdego żądania, co prowadzi do odmowy usługi w instrumentowanej usłudze sieciowej. Podatność została naprawiona w wersji 0.3.3.

Nieprawidłowa kontrola dostępu w funkcji getUrlFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getDmzCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getRemoteCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym uzyskanie informacji o włączeniu zdalnego zarządzania i numerze portu poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getWanInfo routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym uzyskanie informacji o sieci WAN poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getCrpcCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym uzyskanie statusu zdalnego sterowania chmurą oraz informacji o adresie URL poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getCrpcConfig routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym uzyskanie statusu zdalnego sterowania chmurą oraz informacji o adresie URL poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.