Katalog podatności CVE

Wtyczka User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor dla WordPressa jest podatna na ograniczoną eskalację uprawnień we wszystkich wersjach do 4.0.3 włącznie. Blok Gutenberg Register przekazuje atrybut Assigned Role kontrolowany przez atakującego bezpośrednio do shortcode'u [wppb-register] bez autoryzacji po stronie serwera. Mechanizm ochrony ról obniża uprawnienia tylko dla ról z uprawnieniami manage_options lub remove_users, pozostawiając rolę Editor i inne uprzywilejowane role nie-Administratora całkowicie nieograniczone. Uwierzytelniony atakujący z poziomem dostępu Author lub wyższym może utworzyć nowe konta WordPress z rolą Editor (lub inną rolą pozbawioną tych dwóch chronionych uprawnień).

Craft CMS pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania przesłać warunek wyszukiwania elementów, którego selektor jest oceniany jako szablon obiektu Twig w piaskownicy; filtr kolumn deleguje wyszukiwanie właściwości do Yii ArrayHelper poza SecurityPolicy Twig, co pozwala obejść piaskownicę i odzyskać GeneralConfig::securityKey, a następnie sfałszować podpisane parametry i wywołać natywne funkcje PHP.

Endpoint webhook Mollie przyjmuje dwa niezależne parametry kontrolowane przez atakującego (commerceTransactionHash i id) i nie weryfikuje, czy należą do siebie; nieuwierzytelniony atakujący z dowolnym opłaconym ID płatności Mollie może oznaczyć dowolną transakcję jako opłaconą na pełną kwotę.

Akcja app/process-api-response-headers przyjmuje fałszywe nagłówki odpowiedzi API Craft od każdego uwierzytelnionego użytkownika panelu; użytkownik z uprawnieniem accessCp może wstawić znaki nowej linii do X-Craft-Plugin-Licenses, co pozwala wstrzyknąć nowy znany atakującemu CRAFT_SECURITY_KEY do .env i sfałszować podpisany redirect z wywołaniem system() w Twig.

Happy DOM od wersji 17.0.0 do 21.0.4 w ECMAScriptModuleCompiler.ts przyjmuje alias importu ESM bez walidacji, że jest poprawnym identyfikatorem wiązania JS; przy włączonym enableJavaScriptEvaluation złośliwy HTML lub źródło modułu może spowodować wykonanie wygenerowanego JavaScriptu w procesie hosta Node.js.

GraphQL Scalars od wersji 1.24.1 do 2.0.1 w GraphQLPhoneNumber używa niejednoznacznych zagnieżdżonych kwantyfikatorów cyfr, które powodują wykładniczy backtracking przy wartościach z ciągiem cyfr i znakiem powodującym niepowodzenie dopasowania; parseLiteral i parseValue są oceniane przed uwierzytelnieniem, więc małe nieuwierzytelnione żądanie może zablokować pętlę zdarzeń Node.js.

W OpenReception w wersjach 2.1.0 i starszych sześciocyfrowy PIN rezerwacji powracającego klienta można zgadnąć metodą brute-force online w obrębie tenanta ofiary. Udane zgadnięcie daje token dostępu do rezerwacji klienta, a tym samym dostęp do jego tunelu spotkań z danymi szyfrowanymi end-to-end oraz możliwość działania w imieniu klienta, np. dodawania lub anulowania spotkań. Obejście ma charakter międzytenantowy — stan jednego tenanta usuwa zabezpieczenie uwierzytelniania innego tenanta. W momencie publikacji brak publicznie dostępnych poprawek.

W OpenReception przed wersją 2.2.1 atakujący, który przechwyci oczekujący token zaproszenia, może go odtworzyć, aby uzyskać poświadczenie rejestracji passkey i zarejestrować własny passkey na zaproszonym koncie, przejmując nad nim kontrolę. Dla zaproszenia pracownika lub administratora tenanta daje to dostęp do kontekstu tenanta powiązanego z tym kontem. Problem naprawiono w wersji 2.2.1.

W OpenReception przed wersją 2.0.0 link potwierdzający konto w e-mailach jest budowany z nagłówka Host żądania bez listy dozwolonych. Nieuwierzytelniony POST /api/auth/resend-confirmation rotuje token potwierdzenia oczekującego zaproszonego i wysyła e-mail z linkiem, którego host pochodzi z żądania. Atakujący wysyłając jedno żądanie z Host: attacker.example i adresem e-mail oczekującego zaproszonego powoduje, że ofiara otrzymuje e-mail, którego jedyny link prowadzi do atakującego; po kliknięciu jednorazowy token trafia do atakującego, który potwierdza konto na prawdziwej domenie tenanta i rejestruje własny passkey, przejmując konto. Wszystkie wydane wersje do v1.1.0 są podatne; brak poprawki. Osiągnięcie aplikacji ze sfałszowanym Host zależy od frontowego proxy: domyślny Caddy catch-all przekazuje go, a operator z jawnymi blokami proxy per tenant nie jest podatny. Problem naprawiono w wersji 2.0.0.

W Twisted przed wersją 26.10.0rc1 metoda twisted.conch.telnet.Telnet.dataReceived dopisuje każdy bajt otrzymany po IAC SB do trwałego bufora subnegocjacji aż do odebrania IAC SE, bez limitu długości. Negocjacja opcji Telnet odbywa się przed uwierzytelnieniem, więc nieuwierzytelniony peer może pominąć terminator i stale powiększać bufor. Wynikające z tego wyczerpanie pamięci może zakończyć proces i wszystkie hostowane przez niego usługi. Problem naprawiono w wersji 26.10.0rc1.

W Twisted przed wersją 26.10.0rc1 metoda twisted.words.protocols.irc.IRC.dataReceived przechowuje wszystkie bajty otrzymane bez znaku nowej linii w buforze połączenia i nie stosuje limitu długości linii. Podklasa serwera twisted.words.service.IRCUser dziedziczy to zachowanie, a buforowanie odbywa się przed uwierzytelnieniem poleceniami PASS, NICK lub USER. Nieuwierzytelnione połączenie może stale powiększać bufor, aż współdzielony proces serwera zabraknie pamięci i rozłączy wszystkich użytkowników. Problem naprawiono w wersji 26.10.0rc1.

W Twisted przed wersją 26.10.0rc1 parser twisted.words.xish.domish ExpatElementStream pozwala nieuwierzytelnionemu zdalnemu peerowi utrzymywać otwarty element kontenera i stale dodawać elementy potomne. Parser przechowuje niedokończoną stanzę jako drzewo w pamięci bez limitu bajtów lub liczby elementów, a parsowanie strumienia XMPP przed uwierzytelnieniem udostępnia to zachowanie zanim poświadczenia zostaną zaakceptowane. Pojedyncze połączenie może zatem wyczerpać pamięć serwera i zakończyć proces. Problem naprawiono w wersji 26.10.0rc1.

Jeśli atakujący może zapisywać w systemie plików kontenera klastra k8s, może umieścić złośliwą wtyczkę poświadczeń exec w /etc/kubernetes/admin.conf. Kubectl uruchomi tę wtyczkę jako użytkownik hosta macOS przy następnym pobraniu kubeconfig na host za pomocą container k8s write-config lub create, a następnie uruchomieniu kubectl.

W modułach HTTP::Headers::ActionPack w wersjach przed 0.10 dla Perla funkcja _language_match wstawia zakresy nagłówka Accept-Language do wzorca regularnego bez ich escapowania. Złośliwy nagłówek może powodować wyczerpanie CPU poprzez katastrofalny backtracking lub błąd kompilacji wyrażenia regularnego.

Podatność typu przepełnienie bufora (buffer overflow) w klasie transportu Bluetooth HCI USB (subsys/usb/device_next/class/bt_hci.c) w nowym stosie USB. Funkcja bt_hci_tx_sync_in() kopiuje pakiety HCI z kontrolera do hosta do bufora o stałym rozmiarze USBD_MAX_BULK_MPS (64 bajty) bez sprawdzania długości, podczas gdy pakiety mogą być znacznie większe (np. zdarzenie Read Supported Commands ma 70 bajtów). W konfiguracji produkcyjnej (CONFIG_ASSERT=n) prowadzi to do cichego uszkodzenia pamięci, a w skrajnym przypadku do zdalnego wykonania kodu lub odmowy usługi.

Podatność w backendzie MMU dla architektury arm64 (Zephyr) polega na tym, że funkcja invalidate_tlb_page() unieważniała wpisy TLB tylko dla ASID 0, podczas gdy domeny pamięci używają ASID od 1. W efekcie po wywłaszczeniu strony (demand paging) wątek użytkownika zachowywał ważne tłumaczenie do zwolnionej ramki, co pozwalało na odczyt i zapis danych później tam umieszczonych.

Podatność w usłudze WireGuard w Zephyr RTOS (subsys/net/lib/wireguard/wg.c) polega na tym, że w funkcji handle_transport_data() endpoint peera jest aktualizowany na podstawie nieuwierzytelnionej wiadomości transportowej. Gdy 32-bitowy indeks odbiorcy nie pasuje do żadnej sesji, kod kopiuje adres źródłowy datagramu do peer->endpoint, mimo że nie ma klucza do weryfikacji tej wiadomości. Pojedynczy sfałszowany datagram UDP wysłany na port 51820 może trwale przekierować ruch tunelu na adres atakującego.

W integracji OpenThread w Zephyr opcja CONFIG_OPENTHREAD_JOINER_PSKD miała domyślną wartość "J01NME", która jest publicznie znanym przykładowym poświadczeniem z dokumentacji. Jeśli firmware zbudowano z CONFIG_OPENTHREAD_JOINER_AUTOSTART=y bez nadpisania PSKd, urządzenie zawierało wkompilowane publiczne poświadczenie bez żadnego ostrzeżenia. Atakujący w zasięgu radiowym 802.15.4 może przejąć komisjonowanie nieskomisjonowanego urządzenia i podać mu własny zestaw danych operacyjnych.

W narzędziu virtualenv w wersjach od 21.14.9 do 21.14.13 skrypt bash bin/activate może skopiować kontrolowaną przez atakującego wartość --prompt do PS1 bez escapowania znaków dolara i backticków, gdy podczas aktywacji wyłączone są jednocześnie promptvars i tryb POSIX. Ponowne włączenie promptvars, uruchomienie set -o posix lub uruchomienie interaktywnego podprocesu bash dziedziczącego wyeksportowany PS1 może spowodować rozwinięcie podstawiania poleceń w zapisanej wartości VIRTUAL_ENV_PROMPT i wykonanie poleceń jako użytkownik aktywujący środowisko. Problem naprawiono w wersji 21.14.13.

W bibliotece pypdf przed wersją 6.21.2 niekompletne rozwiązanie problemu powtarzających się błędnych wpisów w tablicy referencji krzyżowych (GHSA-55h5-xmcq-c37v) mogło nadal powodować pełne przeładowanie strumienia PDF przy każdej próbie odzyskiwania, nawet gdy dostępny był cache odzyskiwania, co prowadziło do długiego czasu działania przy spreparowanych strumieniach referencji krzyżowych. Problem naprawiono w wersji 6.21.2.