Katalog podatności CVE

AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.

Emlog CMS w wersji 2.6.14 i starszych zawiera podatność na trwałe XSS w module publikacji artykułów (/admin/article.php). Zdalny uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript w treści artykułu, który wykonuje się w sesji administratora podczas przeglądania lub podglądu artykułu w panelu administracyjnym.

OPNsense przed wersją 26.1.9 zawiera podatność na trwałe XSS w opisie certyfikatu. Uwierzytelniony atakujący może wstrzyknąć dowolny HTML lub JavaScript przez API certyfikatów zaufania, a niesanitizowany opis jest renderowany w widżecie Certyfikaty na pulpicie nawigacyjnym, powodując wykonanie skryptu w przeglądarce każdego uwierzytelnionego użytkownika.

OPNsense przed wersją 26.1.9 zawiera podatność na trwałe XSS w opisie reguły zapory. Uwierzytelniony atakujący z uprawnieniami do zarządzania regułami zapory może wstrzyknąć dowolny HTML lub JavaScript przez endpoint API filtra, a niesanitizowany opis jest renderowany przez domyślny formatter komórki w opnsense_bootgrid.js, powodując wykonanie skryptu w przeglądarce każdego uwierzytelnionego użytkownika.

Litestar przed wersją 2.22.0 zawiera podatność w AllowedHostsMiddleware, która pozwala atakującemu ominąć walidację dozwolonych hostów poprzez pominięcie nagłówka Host i ustawienie nagłówka X-Forwarded-Host na dozwoloną domenę. Ponieważ X-Forwarded-Host jest kontrolowany przez klienta, umożliwia to ataki typu host header injection.

Shlink w wersjach 5.0.0 do 5.1.5 zawiera podatność na wstrzykiwanie formuł CSV. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do dowolnego skróconego URL-a, umieszczając złośliwe wartości w nagłówkach User-Agent, Referer lub ścieżce żądania, które zaczynają się od znaków wyzwalających formuły (=, +, -, @). Po wyeksportowaniu danych wizyt do pliku CSV i otwarciu go w programie arkuszowym, formuły DDE lub WEBSERVICE są wykonywane na komputerze administratora.

Shlink zawiera podatność na ślepe wstrzykiwanie SQL, która pozwala każdemu posiadaczowi klucza API na wstrzyknięcie dowolnych fragmentów SQL poprzez niezweryfikowaną wartość direction w parametrze orderBy endpointu statystyk tagów. Atakujący może skonstruować złośliwy string direction zawierający podzapytania SQL, które trafiają niesanityzowane do klauzuli ORDER BY Doctrine QueryBuilder, umożliwiając ekstrakcję wrażliwych danych, takich jak długie URL-e, rekordy odwiedzin, adresy IP, dane geolokalizacyjne, user-agenty oraz zahaszowane sekrety kluczy API.

Shlink zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym posiadaczom klucza API na zmuszenie serwera do wysłania dowolnych żądań HTTP GET poprzez podanie spreparowanego długiego URL-a podczas tworzenia skróconego URL-a z włączoną automatyczną rozdzielczością tytułu. Atakujący mogą użyć URL-i wskazujących na publiczne hosty, które przekierowują do wewnętrznych celów, w tym adresów loopback, zakresów link-local oraz endpointów metadanych chmury, takich jak 169.254.169.254, w celu eksfiltracji informacji o usługach wewnętrznych.

W aplikacji Blix Email Blue Mail Calendar App w wersji 2.2.305 wykryto podatność w funkcji FileDirectory.getDataColumn/FileDirectory.getFileFromUri komponentu react-native-receive-sharing-intent. Manipulacja argumentem _display_name prowadzi do path traversal. Atak wymaga lokalnego dostępu. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

W danpros HTMLy do wersji 3.1.1 wykryto podatność w nieznanym kodzie pliku /system/htmly.php komponentu Author Name Handler. Manipulacja argumentem Name prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

W danpros HTMLy do wersji 3.1.1 wykryto podatność w funkcji add_content pliku /system/admin/admin.php komponentu Admin Content Endpoint. Manipulacja argumentem oldfile prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Biblioteka ip-address dla JavaScript w wersjach od 10.1.1 do 10.2.2 zawiera podatność, w której metody klasyfikacji specjalnego przeznaczenia (isLoopback, isPrivate, isLinkLocal, isCGNAT, isMulticast, isUnspecified, isBroadcast, isULA, getType) opierają się na isInSubnet, który zwraca false, gdy maska podsieci adresu jest krótsza niż maska zakresu referencyjnego. Dodanie sufiksu CIDR, takiego jak /0, powoduje, że wszystkie te metody zgłaszają wewnętrzny adres jako nieistotny, podczas gdy correctForm() i address nadal zwracają rzeczywisty wewnętrzny cel. Aplikacje używające tych sprawdzeń do decyzji o zaufaniu sieciowym, np. filtry SSRF, mogą traktować wewnętrzny cel jako zewnętrzny i zezwolić na żądanie. Problem został naprawiony w wersji 10.2.2.

Podatność XSS (reflected) w bibliotece oaskit dla języka Elixir. Błąd polega na braku kodowania HTML w domyślnym handlerze błędów, który renderuje komunikaty o nieprawidłowych danych wejściowych. Atakujący może wykorzystać specjalnie spreparowany link, aby wykonać dowolny skrypt JavaScript w przeglądarce ofiary w kontekście aplikacji.

Obsługa autoryzacji dla żądań walidacji kontekstu parametru w Apache NiFi od wersji 1.10.0 do 2.10.0 pozwala klientom z dostępem do odczytu na przesyłanie proponowanych wartości parametrów. Proponowane wartości zastępują bieżącą konfigurację, umożliwiając użytkownikom z dostępem do odczytu wywoływanie predefiniowanych metod walidacji komponentów z alternatywnymi ustawieniami. Instalacje Apache NiFi, które nie implementują różnych poziomów autoryzacji dla przeglądania i modyfikowania konfiguracji kontekstu parametru, nie są podatne na tę lukę.

Rozszerzenie DuckDB AWS dla DuckDB zawiera podatność na obejście polityki bezpieczeństwa, która pozwala każdemu użytkownikowi bazy danych z uprawnieniami do wykonywania SQL na wyodrębnienie poświadczeń AWS w postaci jawnego tekstu poprzez wywołanie funkcji load_aws_credentials z parametrem redact_secret ustawionym na false, omijając politykę allow_unredacted_secrets=false. Atakujący może pobrać access_key_id, secret_access_key, session_token i region, które są natychmiast ważne wobec API AWS, szczególnie w środowiskach zarządzanych, gdzie pg_duckdb jest preładowany i dostępny jest łańcuch poświadczeń AWS, taki jak IMDSv2, IRSA, rola zadania ECS lub rola instancji EC2.

Niewłaściwe ograniczenie docelowych punktów końcowych w narzędziach połączenia brokera RabbitMQ w Amazon MQ MCP Server przed wersją 2.0.24 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu (poprzez wstrzyknięcie promptu) uzyskanie poświadczeń brokera Amazon MQ dla RabbitMQ lub tokenów dostępu OAuth wysłanych do spreparowanego punktu końcowego kontrolowanego przez nazwę hosta brokera wprowadzoną w kontekście klienta MCP.

Wymiana kluczy bez uwierzytelniania podmiotu w poleceniach pomocniczych SSH EMR w Amazon AWS CLI przed wersją 1.45.28 oraz AWS CLI v2 przed 2.35.3 może umożliwić atakującemu typu man-in-the-middle przechwycenie sesji SSH i transferów plików poprzez odpowiednie pozycjonowanie sieciowe między klientem a punktem końcowym klastra EMR.

Podatność w danpros HTMLy do wersji 3.1.1 włącznie, dotycząca funkcji unlink w pliku /system/htmly.php w komponencie Delete Username Endpoint, umożliwia manipulację argumentem File prowadzącą do path traversal. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Luka bezpieczeństwa w langgenius dify do wersji 1.14.2 włącznie, dotycząca funkcji jinja2.Template w pliku api/core/helper/code_executor/jinja2/jinja2_transformer.py w komponencie Jinja2 Handler, prowadzi do nieprawidłowej neutralizacji specjalnych elementów używanych w silniku szablonów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w jeequan jeepay do wersji 3.2.9 włącznie, dotycząca funkcji WebSecurityConfig w pliku jeepay-manager/src/main/java/com/jeequan/jeepay/mgr/ctrl/sysuser/SysLogController.java w komponencie PreAuthorize Handler, prowadzi do obejścia autoryzacji. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny.