Katalog podatności CVE

Podatność Cross Site Scripting w JeecgBoot v.3.9.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez endpoint /airag/chat/upload.

Deskflow to aplikacja do współdzielenia klawiatury i myszy. Od wersji 1.17.0 do builda ciągłego 1.26.0.300, połączony peer może wysyłać powtarzające się wiadomości DCLP DataChunk do funkcji ClipboardChunk::assemble(), co powoduje, że serwer lub klient dołącza dane poza zadeklarowanym rozmiarem DataStart i skonfigurowanym limitem schowka, wyczerpując pamięć odbiorcy. Problem naprawiono w buildzie ciągłym 1.26.0.300.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Od wersji 4.8.0 do 4.10.17, uwierzytelniony użytkownik z uprawnieniami SFTP do autoryzowanego zasobu może przesłać spreparowane ścieżki traversal przez funkcję SFTP w KoKo Web Terminal, co powoduje, że AssetDir.GetRealPath() w pkg/srvconn/sftp_asset.go rozwiązuje ścieżki poza zamierzonym katalogiem głównym SFTP i umożliwia odczyt, listowanie, zapis, zmianę nazwy lub usunięcie operacji na skonfigurowanym koncie backendowym na tym zasobie. Problem naprawiono w wersji 4.10.17.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, uwierzytelniony administrator z uprawnieniami zarządzania i wdrażania Applet Host może wstrzyknąć wyrażenia Jinja2 do pola IP/Host lub pola adresu usługi Core, co powoduje, że Ansible ocenia dane inventory ansible_host lub zmienne playbooka podczas wdrażania Applet Host i wykonuje dowolne polecenia na węźle kontrolnym JumpServer. Problem naprawiono w wersji 4.10.17.

OpenEMR przed wersją 8.2.0 zawiera podatność na path traversal w interfejsie standard_tables_manage.php, gdzie parametr db GET jest przekazywany bez walidacji do temp_dir_cleanup(), który łączy wartość ze ścieżką katalogu tymczasowego PHP i rekurencyjnie usuwa wynikowy katalog. Atakujący może dostarczyć sekwencję traversal w parametrze db, aby rozwiązać ścieżkę poza zamierzonym katalogiem tymczasowym, a łącząc to z otwartym przekierowaniem w dicom_frame.php, nieuwierzytelniony atakujący może dostarczyć spreparowany URL, który wyzwala dowolne rekurencyjne usuwanie katalogów w sesji uwierzytelnionego Superusera.

Wykryto podatność w TOTOLINK EX1200L 9.3.5u.6146_B20201023. Dotyczy ona funkcji setWizardCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak może być przeprowadzony zdalnie. Exploit jest już publiczny i może być wykorzystany.

Wykryto podatność w TOTOLINK EX1200L 9.3.5u.6146_B20201023. Dotyczy ona funkcji setPasswordCfg w pliku /cgi-bin/cstecgi.cgi w komponencie Password Configuration Handler. Manipulacja prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak może być inicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany.

Notepad++ to darmowy edytor kodu źródłowego o otwartym kodzie źródłowym. Przed wersją 8.9.7, makra ładowane z kontrolowanego przez atakującego pliku shortcuts.xml omijają walidację HMAC stosowaną do UserDefinedCommands i mogą wywoływać akcje Scintilla oraz wewnętrzne polecenie Open in Default Viewer w procesie Notepad++ z podniesionymi uprawnieniami, co umożliwia modyfikację chronionych plików i warunkowe wykonanie poleceń z podniesionymi uprawnieniami, gdy lokalny atakujący wpływa na settingsDir, a użytkownik uruchomi makro. Problem naprawiono w wersji 8.9.7.

vLLM to silnik wnioskowania i serwowania dla dużych modeli językowych. Przed wersją 0.26.0, endpointy /v1/completions/derender i /v1/chat/completions/derender akceptują obiekty GenerateResponse dostarczone przez wywołującego, których struktury generate_responses, choices, token_ids, prompt_logprobs, logprobs.content, top_logprobs i routed_experts są przetwarzane przez OnlineDerenderer i tokenizer.decode przed egzekwowaniem limitów max_model_len, max_tokens, max_num_seqs lub rozmiaru odpowiedzi, co pozwala uwierzytelnionemu klientowi API na zużycie nadmiernej ilości CPU i pamięci oraz generowanie zbyt dużych odpowiedzi. Problem naprawiono w wersji 0.26.0.

ApostropheCMS to open source'owy system zarządzania treścią oparty na Node.js. Przed wersją 2.17.6, funkcja sanitizeHtml() może przepuścić niedozwolony wykonywalny markup przez packages/sanitize-html/index.js, gdy textarea lub xmp jest zawarte w allowedTags, ponieważ dosłowny ukośnik po nazwie znacznika końcowego surowego tekstu jest traktowany jako tekst przez htmlparser2, a handler ontext emituje tę treść bez escapowania, podczas gdy przeglądarka parsuje następujący markup img onerror jako aktywny HTML. Problem naprawiono w wersji 2.17.6.

ApostropheCMS przed wersją 4.32.0 ma podatność w operacji move() modułu strony, która nie egzekwuje uprawnienia _create dla docelowego rodzica, gdy przenoszenie jest zwykłe (nie archiwizacja). Pozwala to uwierzytelnionemu edytorowi lub współtwórcy przenieść kontrolowaną stronę do ograniczonego poddrzewa i zmienić kolejność chronionych stron.

ApostropheCMS przed wersją 3.6.2 ma podatność w module import-export, gdzie ścieżka źródłowa załącznika jest konstruowana z kontrolowanych przez atakującego pól _id, name i extension bez zapewnienia, że ścieżka pozostaje w katalogu wyodrębnionych załączników. Pozwala to uwierzytelnionemu współtwórcy zaimportować spreparowane archiwum, odczytać plik hosta z dozwolonym rozszerzeniem i opublikować skopiowany plik pod nieuwierzytelnionym adresem URL uploads.

Notepad++ przed wersją 8.9.7 waliduje atrybut backupFilePath z session.xml za pomocą std::wstring::starts_with względem oczekiwanego katalogu kopii zapasowych bez normalizacji ścieżki, co pozwala na użycie sekwencji katalogów nadrzędnych podczas przywracania w trybie snapshot do odczytu dowolnego pliku czytelnego dla użytkownika poza katalogiem kopii zapasowych do zakładki edytora.

W NetForensicMCP 2.1.0 stwierdzono podatność w funkcji execAsync pliku index.js, gdzie manipulacja argumentem interface/protocol może prowadzić do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Niektóre drukarki HP Smart Tank All-in-One mogą być podatne na atak typu denial of service, który pozwala nieuwierzytelnionemu atakującemu spowodować niedostępność urządzenia poprzez wysyłanie wielu równoczesnych żądań HTTP.

Astro w wersjach od 10.0.3 do 11.0.3 ma podatność w adapterze Vercel, gdzie funkcja /_isr akceptuje x_astro_path na podstawie tylko nagłówka x-vercel-isr, co pozwala nieuwierzytelnionym żądaniom GET renderować trasy chronione tylko przez reguły ścieżek Vercel edge lub podzielone edge middleware.

Glances przed wersją 4.5.6 ma podatność w funkcji as_dict_secure() w glances/config.py, która sprawdza tylko nazwy opcji i ujawnia public_username oraz poświadczenia osadzone w wartościach public_api przez nieuwierzytelnione żądania GET /api/4/config i GET /api/4/config/ip.

Netty przed wersjami 4.1.137.Final i 4.2.17.Final ma podatność w CorsHandler setVaryHeader, która zastępuje nagłówki Vary aplikacji, takie jak Authorization lub Cookie, nagłówkiem Origin, co pozwala buforującemu proxy lub CDN na ponowne użycie uwierzytelnionych odpowiedzi między użytkownikami i ujawnienie wrażliwych informacji.

sqlparse przed wersją 0.6.0 ma podatność w sqlparse/filters/output.py, która nie escapuje istniejących backslashów przed cudzysłowami w formatach wyjściowych 'python' i 'php' oraz odpowiadających im trybach sqlformat -l, co pozwala spreparowanemu SQL na zakończenie wygenerowanego stringa i wstrzyknięcie kodu Python lub PHP, gdy konsument wykona lub zaimportuje wygenerowany kod.