Katalog podatności CVE

W SourceCodester Dynamic Input Field Generator Using HTML, CSS, and PHP 1.0 wykryto słabość. Dotyczy ona funkcji saveUser w pliku /public/submit.php. Manipulacja argumentem Researcher powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.

W produkcie SourceCodester Dynamic Input Field Generator Using HTML, CSS, and PHP 1.0 odkryto podatność na cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

Problem został rozwiązany poprzez ulepszone sprawdzanie. Problem został naprawiony w macOS Sequoia 15.7.5, macOS Sonoma 14.8.5 i macOS Tahoe 26.4. Przetwarzanie złośliwie spreparowanego pliku może prowadzić do nieoczekiwanego zakończenia działania aplikacji.

Podatność przeszukiwania ścieżek w apport-unpack w Canonical Apport przed wersjami 2.36.0, 2.34.2 i 2.28.4 na Linuksie umożliwia atakującemu tworzenie lub nadpisywanie dowolnych plików z uprawnieniami użytkownika wykonującego polecenie, poprzez kontrolowane nazwy kluczy w plikach raportów awarii.

Podatność na cross-site scripting w queryparser/termgenerator_internal.cc w Xapian xapian-core przed wersją 2.1.0 i przed 1.4.32 istnieje z powodu niepełnego kodowania HTML przez Xapian::MSet::snippet(). Uwaga: problem istnieje z powodu pominiętego przypadku brzegowego CVE-2018-0499.

Lightdash przechowuje adres URL webhooka dostarczony z zaplanowanym dostarczaniem i później wysyła do niego POST z sendWebhook w packages/backend/src/clients/GoogleChat/GoogleChatClient.ts oraz w packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts. W dotkniętych wersjach oba wywołują fetch bezpośrednio na zapisanym adresie URL. Pomocnik validatePublicHttpUrl w packages/backend/src/utils/ssrfProtection.ts, używany dla adresów URL serwera MCP, nie jest stosowany na żadnej ścieżce, a pola webhooka nie mają ograniczeń URL po stronie serwera. Użytkownik mogący utworzyć lub wyzwolić zaplanowane dostarczanie może skierować serwer do wysyłania żądań POST do prywatnych, loopback i link-local adresów, w tym do punktów końcowych metadanych chmury, i może odróżnić dostępne wewnętrzne usługi od niedostępnych poprzez wynikające błędy. Odpowiedź zewnętrzna nigdy nie jest zwracana do żądającego; w przypadku statusu błędu jej treść jest zapisywana w logu serwera. Wersja 1.146.4 kieruje oba klienty przez postSchedulerWebhook z packages/backend/src/utils/schedulerWebhookValidation zamiast bezpośredniego wywołania fetch.

Niewłaściwa walidacja danych wejściowych w Microsoft Office Word umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.

Mailpit to narzędzie do testowania poczty i API dla programistów. Od wersji 1.29.0 do 1.30.6, oprogramowanie pośredniczące origin w server/server.go sprawdza surowy RequestURI pod kątem prefiksu /api/, podczas gdy Go ServeMux routuje używając ścieżki URL zdekodowanej procentowo, a server/websockets/client.go konfiguruje websocket.Upgrader.CheckOrigin na zwracanie true. Złośliwa strona może zażądać /%61pi/events, pominąć corsOriginAccessControl(), dotrzeć do handlera WebSocket /api/events i otrzymać identyfikatory wiadomości na żywo, wartości Message-Id, pola nadawcy i odbiorcy, tematy, tagi i fragmenty treści z nieuwierzytelnionej domyślnej instancji Mailpit po odwiedzeniu strony przez użytkownika. Jest to regresja wcześniejszej ochrony pochodzenia WebSocket i nie dotyczy wdrożeń chronionych przez --ui-auth-file. Problem został naprawiony w wersji 1.30.6.

Mailpit to narzędzie do testowania poczty i API dla programistów. Od wersji 1.30.0 do 1.30.5, funkcja readData() w internal/smtpd/smtpd.go wywołuje bufio.Reader.ReadBytes przed zastosowaniem kontroli rozmiaru len(data)+len(line) dla ukończonej linii SMTP DATA względem Server.MaxSize. Nieuwierzytelniony klient SMTP może wysłać pojedynczą linię większą niż skonfigurowany MaxMessageSize, co powoduje alokację całej linii zanim Mailpit zwróci odrzucenie 552 5.3.4. Ta luka po poprawce pozostaje po ograniczeniu normalnego wieloliniowego gromadzenia danych, a równoczesne zbyt duże linie mogą stworzyć znaczną presję na pamięć przekraczającą skonfigurowany limit rozmiaru wiadomości. Problem został naprawiony w wersji 1.30.5.

TREK to narzędzie do planowania podróży. Przed wersją 3.1.3, akcje przesyłania, aktualizacji i linkowania plików w TREK akceptują kontrolowane przez atakującego wartości reservation_id, place_id i assignment_id bez użycia findForeignLinkTarget() do weryfikacji, czy odwoływany obiekt należy do podróży pliku. Uwierzytelniony użytkownik z uprawnieniami do edycji plików w dowolnej dostępnej podróży może przesłać obcy identyfikator rezerwacji przez POST /api/trips/:tripId/files/:id/link, POST /api/trips/:tripId/files lub PUT /api/trips/:tripId/files/:id. Kolejne odczyty przez FILE_SELECT lub getFileLinks() łączą obcą rezerwację i zwracają reservation_title, ujawniając istnienie i tytuły rezerwacji poza granicami prywatnych podróży. Problem został naprawiony w wersji 3.1.3.

Capstone to framework do deasemblacji. W wersjach 6.0.0-Alpha9 i wcześniejszych funkcja sh_disassemble() w arch/SH/SHDisassembler.c oblicza wartość idx z surowej 16-bitowej instrukcji bez sprawdzenia, czy mieści się ona w tabeli wskaźników funkcji decode[] zależnej od trybu. Aplikacja używająca CS_ARCH_SH z CS_MODE_SH2A lub CS_MODE_SH4A oraz CS_MODE_SHFPU może przekazać spreparowany kod przez cs_disasm_iter() lub cs_disasm(), co powoduje odczyt poza tabelą i zakończenie procesu błędem segmentacji. Nie wykazano wykonania kodu ani ujawnienia informacji. Problem naprawiono w wersji 6.0.0-Alpha10.

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 BigBlueButton nie escapował pola meetingName w record-and-playback/screenshare/playback/index.html.erb podczas generowania formatu odtwarzania ekranu. Użytkownik z niskimi uprawnieniami mógł zapisać spreparowaną nazwę spotkania zawierającą skrypt, który wykonywał się w przeglądarce innego użytkownika podczas odtwarzania nagrania. Problem naprawiono w wersji 3.0.29.

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 prezenterzy mogli przesłać presentationId przez /api/graphql, które identyfikowało prezentację należącą do innego spotkania. Plik akka-bbb-apps/src/main/scala/org/bigbluebutton/core/apps/presentationpod/RemovePresentationPubMsgHdlr.scala nie weryfikował identyfikatora spotkania przed usunięciem, co pozwalało prezenterowi znającemu identyfikator usunąć prezentację innego spotkania i zakłócić jego dostępność. Problem naprawiono w wersji 3.0.29.

Niekontrolowany element ścieżki wyszukiwania w Windows Remote Help pozwala autoryzowanemu atakującemu na lokalną odmowę usługi.

TREK to aplikacja do planowania podróży. Od wersji 3.0.0 do 3.1.0 trasa GET /api/journeys/:id/share-link w server/src/routes/journey.ts zwraca wynik getJourneyShareLink() z server/src/services/journeyShareService.ts bez sprawdzenia, czy uwierzytelniony żądający ma dostęp do podróży. Każdy zwykły uwierzytelniony użytkownik może przeglądać sekwencyjne identyfikatory podróży i pobierać tokeny z journey_share_tokens dla podróży innego użytkownika. Token umożliwia nieuwierzytelniony dostęp przez GET /api/public/journey/:token do wpisów, podpisów, lokalizacji, nastrojów, zdjęć galerii, ścieżek zdjęć i identyfikatorów zasobów udostępnionej podróży. Problem naprawiono w wersji 3.1.0.

TREK to aplikacja do planowania podróży. Przed wersją 3.1.0 TREK weryfikuje tylko początkowy URL przed natywnym przekierowaniem w importGoogleList() i importNaverList() w server/src/services/placeService.ts oraz resolveGoogleMapsUrl() w server/src/services/mapsService.ts. Dotknięte funkcje wywołują checkSsrf() z server/src/utils/ssrfGuard.ts, a następnie używają fetch() z redirect: 'follow' zamiast bezpiecznej ścieżki safeFetch() z przypiętym DNS, więc publiczny URL kontrolowany przez atakującego może przekierować serwer na adresy loopback, RFC 1918 lub metadane chmury bez ponownej weryfikacji. Uwierzytelniony członek podróży może uzyskać dostęp do tras importu list, a każdy uwierzytelniony użytkownik może uzyskać dostęp do /api/maps/resolve-url, co pozwala na ślepe żądania GET do wewnętrznych usług bez odbicia treści odpowiedzi. Problem naprawiono w wersji 3.1.0.

Ghidra przed wersją 12.1.3 zawiera podatność na niekontrolowane zużycie zasobów w parserze PDB, która pozwala atakującym na zakończenie procesu Ghidra poprzez dostarczenie spreparowanego pliku PDB z przerośniętym parametrem. Procedura deserializacji AbstractPdb odczytuje wszystkie pozostałe parametry do nieograniczonej listy, powodując niekontrolowany wzrost sterty, co wyzwala OutOfMemoryError, który omija obsługę wyjątków i powoduje awarię aplikacji.

Kerberos Agent to otwartoźródłowy agent do zarządzania wideo (monitoring). Przed wersją 3.6.26 ścieżka przesyłania do Kerberos Hub wysyła poświadczenia agenta Hub w niestandardowych nagłówkach X-Kerberos-Hub-PrivateKey i X-Kerberos-Hub-PublicKey do skonfigurowanego adresu URL Hub (config.HubURI). Używany klient HTTP (&http.Client{} w UploadKerberosHub) jest skonstruowany bez polityki CheckRedirect, więc automatycznie podąża za przekierowaniami HTTP. Go's net/http usuwa tylko wrażliwe nagłówki (Authorization, Cookie, WWW-Authenticate) przy przekierowaniu na inny host; nie usuwa niestandardowych nagłówków, takich jak X-Kerberos-Hub-PrivateKey. W rezultacie, jeśli skonfigurowany HubURI zwróci przekierowanie 30x na inny host, klucz prywatny Hub jest przekazywany dosłownie do celu przekierowania, ujawniając poświadczenia nieupoważnionej stronie trzeciej. Wersja 3.6.26 naprawia problem poprzez implementację CheckRedirect strip oraz test regresyjny dla przekierowań między hostami.

SFTPGo to otwartoźródłowe, sterowane zdarzeniami rozwiązanie do transferu plików. Od wersji 2.2.0 do 2.7.3 publiczny endpoint web-client do częściowego pobierania ZIP dla udostępnionego katalogu weryfikuje dostarczone przez klienta wpisy plików za pomocą surowego porównania prefiksu bajtów, a nie sprawdzenia granic katalogu. Nieuwierzytelniony żądający, który ma dostęp do publicznego udostępnienia, może wybrać ścieżkę kanoniczną poza udostępnionym katalogiem, gdy ścieżka docelowa zaczyna się od nazwy udostępnionego katalogu, np. ścieżka siostrzana o tym samym prefiksie. Endpoint następnie dołącza plik spoza zakresu do wygenerowanego pobierania, ujawniając jego zawartość. Problem naprawiono w wersji 2.7.3.

IBM AIX 7.2, 7.3 i IBM PowerVM VIOS 4.1 mogą pozwolić lokalnemu atakującemu na spowodowanie uszkodzenia pamięci jądra z powodu niewystarczającej walidacji. Spreparowany obraz systemu plików może wywołać zapis poza granicami na stosie jądra podczas odczytu katalogów, powodując awarię systemu lub potencjalnie umożliwiając eskalację uprawnień.