Katalog podatności CVE

Telegram-Stremio do wersji 5.1.0 zawiera podatność niebezpiecznego przechowywania, która umożliwia atakującym z dostępem do bazy danych MongoDB, kopii zapasowych lub logów odzyskanie uwierzytelnionego ciągu sesji Telegram operatora, chronionego tylko bezkluczowym, odwracalnym kodowaniem, a nie prawdziwym szyfrowaniem. Atakujący mogą przepuścić przechowywaną wartość przez funkcję decode_string repozytorium bez tajnego klucza, aby uzyskać w pełni uwierzytelnioną sesję Telegram, dającą całkowitą kontrolę nad kontem operatora, nawet przy włączonej weryfikacji dwuetapowej.

modern-tar od 0.3.5 do 0.8.5 zawiera podatność wyczerpania pamięci, która umożliwia atakującym wygenerowanie ujemnych rozmiarów wpisów przez nieósemkowe bajty parsowane przez readOctal(). Atakujący mogą dostarczyć spreparowane, opcjonalnie skompresowane gzip archiwum do unpackTar(), które buforuje fragmenty w nieskończoność, wyczerpując pamięć procesu i tłumiąc późniejsze wpisy.

Cockpit CMS 2.14.1 zawiera lukę obserwowalnej rozbieżności czasowej, która pozwala nieuwierzytelnionym atakującym enumerować konta z powodu niekompletnej poprawki czasowej w /auth/check. Atakujący mogą wysyłać próby logowania i mierzyć czasy odpowiedzi, ponieważ istniejące konta wykonują dwie operacje bcrypt zamiast jednej, ujawniając prawidłowe nazwy użytkowników i adresy e-mail.

SPIP przed wersją 4.4.18 zawiera lukę server-side request forgery w funkcji recuperer_url() w ecrire/inc/distant.php, która podąża za maksymalnie 10 przekierowaniami bez ponownej walidacji celów za pomocą valider_url_distante(). Uwierzytelnieni atakujący mogą podać zdalny URL, taki jak kanał syndykowanego serwisu lub zdalny dokument, który przekierowuje do adresów wewnętrznych lub link-local, w tym punktów końcowych metadanych chmury.

ERPNext od wersji 9.0.0 do 16.50.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom przeglądać stany magazynowe poprzez metody batch na białej liście. Atakujący, w tym użytkownicy portalu klienta, mogą wywołać get_batch_qty, get_batches_by_oldest lub get_pos_reserved_batch_qty, aby wylistować każdą partię przedmiotów z ilościami na magazyn.

ERPNext od wersji 15.55.0 do 16.50.0 zawiera lukę nieprawidłowej autoryzacji w metodzie get_timesheet_html, która pozwala uwierzytelnionym użytkownikom portalu przeglądać Timesheets projektu. Metoda sprawdza tylko dostęp do odczytu projektu, ignorując hide_timesheets i członkostwo w projekcie, więc atakujący mogą uzyskać nazwy timesheetów, status, daty dzienników czasu i ostatnich modyfikujących.

Vercel deepsec od wersji 0.1.0 do 1.1.17 zawiera lukę podążania za linkami w extractTarballLocally, która pozwala kodowi w sandboxie zapisywać pliki poza sandboxem poprzez umieszczanie linków w tarballach wynikowych. Atakujący kontrolujący kod sandboxa, taki jak agent kodujący z wstrzykniętym promptem, mogą umieścić linki symboliczne lub twarde w katalogu danych hosta, aby zapisać dowolne pliki na hoście orkiestratora.

W Netcore NR268 1.7.121109 wykryto lukę w funkcji eval pliku dhcp_dynamicip_show.cgi komponentu DHCP Handler. Manipulacja argumentem Hostname prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być użyty; producent nie odpowiedział na zgłoszenie.

W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji ddns_wan_list_show pliku ddns_wan_list_show.cgi komponentu DDNS Handler. Manipulacja argumentami user_idN/passwordN prowadzi do ujawnienia informacji. Atak może być inicjowany zdalnie, a exploit został publicznie ujawniony.

Netcore NR268 w wersji 1.7.121109 zawiera podatność na wstrzykiwanie argumentów w funkcji execvp pliku /router/DDNSset.cgi w komponencie DDNS. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia argumentów, a atak może być przeprowadzony zdalnie.

W itsourcecode Online Admission System 1.0 wykryto lukę bezpieczeństwa. Problem dotyczy nieznanego przetwarzania w pliku /admin/sum.php. Manipulacja argumentem ID prowadzi do sql injection. Atak można przeprowadzić zdalnie, a exploit został upubliczniony i może być użyty.

W itsourcecode Baptism Information Management System 1.0 zidentyfikowano słabość. Luka dotyczy nieznanego kodu w pliku pbaptism.php. Manipulacja argumentem b_id powoduje sql injection. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być użyty do ataków.

Pakiet @backstage/backend-defaults przed wersją 0.17.8 zawiera błąd niewłaściwej kontroli dostępu przy wywoływaniu akcji backendu. Uwierzytelniony użytkownik mógł wywołać akcje, które operator wykluczył w konfiguracji. Istniejące uprawnienia akcji i autoryzacja niższego poziomu pozostają egzekwowane.

IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1 i 9.2 może umożliwić zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../), aby wyświetlić dowolne pliki w systemie.

GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku tools/uvr5/vr.py, która pozwala nieuwierzytelnionym atakującym wykonywać polecenia przez ścieżki folderów wyjściowych. Atakujący mogą wprowadzić substytucje powłoki, takie jak $(...), w polach tekstowych folderu wyjściowego UVR5 WebUI z eksportem mp3 lub m4a, aby uruchomić polecenia jako użytkownik serwera.

HoloViz Panel od wersji 1.2.2 do 1.9.0 zawiera podatność open redirect w pliku panel/auth.py, pozwalającą zdalnym atakującym przekierować użytkowników przez niezweryfikowany parametr zapytania next. BasicLoginHandler i PasswordLoginHandler zapisują ten parametr w ciasteczku next_url, więc spreparowane linki logowania kierują ofiary do witryn kontrolowanych przez atakującego po udanym logowaniu.

Flower przed wersją 2.2.0 zawiera podatność cross-site request forgery, ponieważ mechanizm Tornado xsrf_cookies jest wyłączony, a ciasteczko sesji OAuth nie ma atrybutu SameSite. Atakujący mogą zwabić uwierzytelnionych użytkowników na złośliwe strony wysyłające żądania POST do /api/worker/shutdown, /api/worker/pool/restart lub /api/task/revoke, aby wyłączyć workery Celery, zmienić rozmiar puli i unieważnić zadania.

fast-toml do wersji 0.5.4 zawiera podatność zanieczyszczenia prototypu, która umożliwia atakującym modyfikację Object.prototype przez dostarczenie TOML zawierającego segmenty kluczy __proto__, constructor lub prototype. Atakujący mogą przekazać nagłówki tabel [__proto__] lub [constructor.prototype] albo klucze kropkowe __proto__.x do parse(), aby zanieczyścić wszystkie obiekty, powodując odmowę usługi lub obejście autoryzacji.

Servor od 1.0.0 do 4.0.2 zawiera podatność przechodzenia przez katalogi, która umożliwia nieuwierzytelnionym zdalnym atakującym opuszczenie serwowanego katalogu głównego przez wysyłanie zakodowanych w URL segmentów kropek. Atakujący mogą wysyłać sekwencje %2e%2e/, które decodeURI() dekoduje przed path.join() w serveStaticFile i serveDirectoryListing, aby czytać dowolne pliki i listować katalogi poza katalogiem głównym.

cbor-sync do wersji 1.0.4 zawiera podatność na wyczerpanie zasobów w funkcji CBOR.decode, która ufa zadeklarowanym długościom tablic i map bez sprawdzania pozostałych danych wejściowych. Zdalny atakujący może dostarczyć mały, spreparowany ładunek CBOR deklarujący ogromne długości, co prowadzi do miliardów iteracji i wyczerpania CPU oraz pamięci procesu.