Katalog podatności CVE

SiYuan w wersjach 3.6.0 przed 3.8.7 przyjmuje i zapisuje ustawienie networkServeTLS, ale nigdy go nie egzekwuje, więc port jądra nadal udostępnia pełny dostęp API przez zwykły HTTP obok HTTPS. Atakujący w sąsiedztwie sieciowym mogą podsłuchać logowanie w postaci czystego tekstu i ciasteczko sesji, które nie ma atrybutu Secure, a odpowiedzi nie zawierają HSTS, co pozwala przejąć sesje API jądra.

Parse Server przed 8.6.100 oraz 9.0.0 przed 9.10.4-alpha.3 nie odrzuca zarezerwowanych nazw pól wewnętrznych w zapisach obiektów przez klientów, co pozwala klientom przechowywać lub czyścić pola wewnętrzne. Atakujący może zapisać zarezerwowane pole powodujące błędy odczytu obiektu w MongoDB, zakłócając zapytania dla wszystkich użytkowników, lub wyczyścić własny stan blokady konta i historię haseł, omijając polityki blokady i haseł.

Parse Server przed 8.6.103 oraz 9.0.0 przed 9.10.5-alpha.4 zawiera podatność ujawnienia informacji w LiveQuery. Hash subskrypcji pomija ograniczenia obok operatora $or, w tym filtr właściciela _Session i ograniczenia beforeSubscribe, przez co różne subskrypcje są grupowane razem. Uwierzytelnieni klienci subskrybujący z zapytaniami $or mogą otrzymywać zdarzenia innych użytkowników, w tym tokeny sesji umożliwiające podszycie się.

ImageMagick przed 6.9.13-58 oraz 7.x przed 7.1.2-33 zawiera wyciek pamięci w obsłudze profili XMP przez różne dekodery. Atakujący może dostarczyć obrazy ze spreparowanym profilem XMP, które przy każdym przetworzeniu powodują wyciek pamięci, prowadząc do wyczerpania zasobów i odmowy usługi.

ImageMagick przed 6.9.13-58 oraz 7.x przed 7.1.2-33 zawiera wyciek pamięci w kodzie parsowania XML, gdzie zaalokowana pamięć nie jest zwalniana po osiągnięciu limitu głębokości zagnieżdżenia. Atakujący może dostarczyć spreparowane, głęboko zagnieżdżone dane XML, aby wywołać wyciek, powodując wyczerpanie pamięci i odmowę usługi.

ImageMagick przed 7.1.2-33 zawiera podatność wycieku pamięci w dekoderze MAT, który nie zwalnia zaalokowanej pamięci w określonej ścieżce błędu. Atakujący może dostarczyć spreparowane pliki MAT, które wielokrotnie wywołują tę ścieżkę błędu, powodując niewielkie wycieki pamięci stopniowo zużywające pamięć procesu.

ImageMagick przed 7.1.2-33 zawiera podatność obejścia polityki w dekoderze UHDR, która pozwala atakującym ominąć limity szerokości i wysokości obrazu, ponieważ sprawdzenia rozmiaru odbywają się po dekodowaniu. Atakujący może dostarczyć spreparowane obrazy UHDR o nadmiernych wymiarach, które są w pełni dekodowane przed egzekwowaniem limitów polityki, powodując nadmierne zużycie zasobów.

WWBN AVideo w wersjach od 26.0 do 29.3.0 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym komentującym wstrzyknąć JavaScript, ponieważ funkcja markDownToHTML() zachowuje atrybuty obsługi zdarzeń w wiodących blokach HTML. Atakujący może opublikować komentarz zaczynający się od znacznika img z obsługą onerror, co omija sanitizer inline i wykonuje się w przeglądarkach widzów w kontekście aplikacji.

Wykryto słabość w narzędziu dbcli mycli w wersjach do 2.29.4/2.30.1. Funkcja source_special_command_is_safe w pliku mycli/packages/special/source.py, należąca do komponentu Whitelist, pozwala na wstrzyknięcie poleceń systemowych. Atak można przeprowadzić lokalnie, a exploit jest publicznie dostępny.

W LinkStackOrg LinkStack do wersji 4.8.8 wykryto podatność typu cross-site request forgery (CSRF) w nieznanej funkcji. Atak można przeprowadzić zdalnie, a producent nie odpowiedział na zgłoszenie.

ProjectSend w wersjach od 2.0.0 do 2.7.1 zawiera niekompletną lukę w autoryzacji w FileVersions::link(), która pozwala użytkownikom personelu udostępniać pliki bez autoryzacji poprzez łączenie wersji plików. Atakujący mogą podłączyć swój plik do pośredniej rewizji lub przypisać klientów spoza zakresu, powodując, że moveAssignmentsToRoot() ujawnia chronione oryginalne pliki nieuprawnionym klientom.

Leon przed commitem 50df142 zawiera lukę path traversal w getModelFileNameFromURL(), która pozwala atakującym zapisywać pliki poza katalogiem models poprzez separatory kodowane procentowo. Atakujący mogą nakłonić użytkownika do uruchomienia '/download model' ze spreparowanym URL zawierającym zakodowane sekwencje '../', aby zapisać kontrolowaną przez atakującego treść w dowolnych ścieżkach zapisywalnych przez Leon.

Infinity for Reddit do wersji 8.3.4 zawiera lukę cross-site request forgery w logowaniu, która pozwala atakującym zalogować ofiary na konto kontrolowane przez atakującego, ponieważ eksportowany handler przekierowania LoginChromeCustomTabActivity sprawdza stałą wartość OAuth state. Atakujący mogą autoryzować client ID aplikacji swoim własnym kontem Reddit, a następnie dostarczyć przekierowanie infinity://localhost zawierające ich kod i stały state, powodując, że posty, wiadomości i przeglądanie ofiary odbywają się na koncie atakującego.

rotki przed wersją 1.44.2 zawiera lukę słabego wyprowadzania klucza, która pozwala atakującym na brute-force kopii zapasowych, ponieważ klucz synchronizacji premium to pojedynczy, nieosolony SHA-256 hasła użytkownika. Atakujący, którzy zdobędą przesłany blob kopii zapasowej, mogą przeprowadzić równoległe na GPU zgadywanie hasła offline i odszyfrować bazę danych zawierającą klucze API giełd, sekrety, adresy portfeli i historię transakcji.

Docker-Proxy do wersji 5.1.9 zawiera lukę braku uwierzytelniania w hubcmdui routes/config.js, która pozwala nieuwierzytelnionym atakującym odczytywać i nadpisywać konfigurację poprzez /api/config. Atakujący mogą pobrać URL webhooka WeChat i token bota Telegram oraz nadpisać linki menuItems, proxyDomain i miejsce docelowe webhooka monitoringu otrzymującego alerty.

NiubiGEO przed wersją 0.3.2 zawiera nieuwierzytelnioną lukę server-side request forgery, która pozwala zdalnym atakującym zmusić serwer do pobierania adresów wewnętrznych poprzez podanie spreparowanej wartości domain do POST /audit-plan. Atakujący mogą przesyłać literały IP, localhost lub hosty prywatne i link-local, aby odczytać odpowiedzi z pętli zwrotnej, sieci wewnętrznej lub metadanych chmury zwracane w JSON siteEvidence planu.

Firecrawl przed wersją 2.11.586 zawiera lukę server-side request forgery w proxy SSRF usługi Playwright, która pozwala atakującym obejść kontrole isInternalHost poprzez DNS rebinding. Atakujący kontrolujący DNS celu scrapowania może zwrócić adres publiczny podczas walidacji i adres prywatny w momencie połączenia, pobierając metadane chmury i zasoby wewnętrzne poprzez API scrapowania.

W Privoce Vocechat do wersji 0.9.121 wykryto podatność typu cross-site scripting (XSS) w pliku widget.html, w obsłudze parametru zapytania 'welcome'. Manipulacja tym argumentem pozwala na wykonanie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W bibliotece eventcatalog sdk do wersji 2.29.0 wykryto podatność typu path traversal w funkcjach getCustomDoc, writeCustomDoc i rmCustomDoc w pliku packages/sdk/src/custom-docs.ts. Manipulacja argumentem options.path pozwala na przeprowadzenie ataku lokalnie. Problem naprawiono w wersji 2.30.0.

W 1999AZZAR designer-mcp do wersji 2.1.0 wykryto podatność path traversal w funkcji get_reference w pliku skills/motion-designer/references/motion-dev-guidelines.md w interfejsie MCP. Manipulacja argumentem Name umożliwia zdalny atak, a exploit jest publicznie dostępny. Produkt stosuje rolling releases, więc szczegóły wersji nie są dostępne; dostępny jest patch c8c2951dcbed9b1710a745993f028317f10a3f10.