Katalog podatności CVE

W jądrze Linux serwer ksmbd usuwał kanały połączenia z list innych sesji tylko gdy conn->binding było ustawione, co po wyczyszczeniu flagi pozostawiało wiszące kanały wskazujące na zwolnioną strukturę ksmbd_conn. Prowadziło to do use-after-free przy rozłączaniu i wycieku sesji. Poprawka usuwa warunek conn->binding.

W PraisonAI komponent praisonai.bots.HTTPApproval renderuje argumenty oczekującego zatwierdzenia narzędzia bezpośrednio do HTML panelu zatwierdzeń. Argument narzędzia kontrolowany przez atakującego może wstrzyknąć JavaScript do tej strony. Gdy człowiek otworzy URL zatwierdzenia, skrypt wykona się w origin panelu i może wysłać żądanie POST do endpointu /approve/{request_id}/decide, powodując zwrócenie approved=True.

W PraisonAI ścieżka recipe.run() egzekwuje politykę blokowania domyślnie zabronionych niebezpiecznych narzędzi przez _check_tool_policy(), ale ścieżka strumieniowa recipe.run_stream() ładuje tę samą receptę i wywołuje _execute_recipe() bez tej kontroli. W rezultacie recepta deklarująca execute_command w requires.tools jest odrzucana przez recipe.run(), ale osiąga silnik wykonania przez recipe.run_stream() mimo allow_dangerous_tools=False.

W PraisonAI komponent LinearBot uruchamia publiczny nasłuch webhooków na 0.0.0.0 i traktuje LINEAR_WEBHOOK_SECRET jako opcjonalny. Gdy sekret jest nieobecny, _handle_webhook() całkowicie pomija weryfikację Linear-Signature. Nieuwierzytelniony atakujący sieciowy może wysłać sfałszowane żądanie Linear-Event: AgentSession, które zostanie przetworzone i przekazane do BotSessionManager.chat().

W PraisonAI polecenie praisonai recipe serve kieruje do przestarzałego polecenia Typer, które może uruchomić serwer HTTP Recipe na interfejsie innym niż localhost bez uwierzytelniania. Ponieważ config.auth jest nieobecny, create_app() nie dołącza middleware klucza API ani JWT. Nieuwierzytelnione żądania mogą dotrzeć do API recipe oraz, gdy włączone, do /admin/reload.

W PraisonAI bot Slack stosuje skonfigurowane allowed_users, allowed_channels i politykę unknown-user pairing w normalnym handlerze zdarzeń wiadomości, ale nie w sąsiednim handlerze zdarzeń app_mention. Użytkownik workspace Slack, który może wspomnieć bota w kanale, może wywołać agenta PraisonAI nawet gdy nadawca nie jest na liście dozwolonych, kanał nie jest dozwolony, a unknown_user_policy="deny".

W PraisonAI funkcja Dynamic Context Discovery udostępnia narzędzia pomocnicze artefaktów przez ctx.get_tools(), które nie egzekwują, że podany artifact_path jest artefaktem utworzonym przez skonfigurowany store ani że znajduje się w katalogu bazowym artefaktów. Narzędzia artifact_head, artifact_tail, artifact_grep i artifact_chunk opakowują ścieżkę podaną przez wywołującego w ArtifactRef i odczytują ją z systemu plików hosta. Pozwala to na odczyt plików dostępnych dla procesu PraisonAI, takich jak .env, poświadczenia chmurowe czy klucze SSH.

W PraisonAI moduł Dynamic Context udostępnia magazyny historii i logów terminala oparte na systemie plików oraz fabryki narzędzi wywoływalnych przez agenta. Narzędzia przyjmują argumenty run_id i agent_id od wywołującego, a magazyny łączą te wartości w ścieżki bez odrzucania ścieżek absolutnych ani traversal .. . Ponieważ run_id może być ścieżką absolutną, a agent_id może zawierać traversal, wywołujący o niższym zaufaniu może odczytać pliki .jsonl i .log poza katalogiem bazowym Dynamic Context.

W PraisonAI komponent praisonai.bots.DiscordApproval zatwierdza oczekujące wywołanie niebezpiecznego narzędzia, gdy w skonfigurowanym kanale Discord pojawi się dowolna późniejsza wiadomość niebota zaklasyfikowana jako zatwierdzenie, np. yes. W rezultacie każdy użytkownik mogący pisać w kanale zatwierdzeń może zatwierdzić oczekujące wywołanie narzędzia o wysokim ryzyku, wysyłając yes po pojawieniu się wiadomości zatwierdzającej.

AgenticSeek przed commitem 409840c zawiera podatność na zdalne wykonanie kodu, ponieważ llm_server/app.py na stałe włącza tryb debugowania Flask, jednocześnie nasłuchując na wszystkich interfejsach. Atakujący, który dotrze do portu serwera i uzyska możliwy do wyliczenia PIN debuggera Werkzeug, może wykonać kod Pythona i polecenia systemu operacyjnego z uprawnieniami llm_server.

Aider do wersji 0.86.2 zawiera podatność umożliwiającą wykonanie poleceń powłoki poprzez zatwierdzenie złośliwego pliku .aider.conf.yml, który jest automatycznie ładowany bez pytania o zaufanie. Atakujący może ustawić wartości notifications-command lub editor, które są wykonywane przez subprocess z shell=True po odpowiedziach modelu lub użyciu /editor.

Biblioteka Snap7 w wersji do 1.4.3 zawiera podatność out-of-bounds write w trybie pasywnym. Złośliwy aktywny partner może zadeklarować niezwalidowaną długość całkowitą BSend (do 65535 bajtów) i wysłać krótki fragment, powodując że BRecv wykonuje memcpy poza bufor, co prowadzi do awarii lub uszkodzenia procesów SCADA, HMI lub gateway.

Vvveb w wersjach 1.0.8.6 i wcześniejszych ma funkcje nextRestore() i nextBackup() w kontrolerze kopii zapasowych, które przyjmują parametr GET file i konkatenują go bezpośrednio do DIR_BACKUP bez wywołania sanitizeFileName(). Umożliwia to uwierzytelnionemu administratorowi odczyt dowolnych plików na serwerze oraz zapis zawartości zrzutu SQL w dowolnych lokalizacjach.

Funkcja HmacShaCryptor.Hash nigdy nie hashowała swojego wejścia — dla dowolnego wejścia zwracała HMAC_K(""), czyli MAC pustej wiadomości pod danym kluczem. W rezultacie każdy JWE AES-CBC-HMAC tworzony lub weryfikowany przez gose zawierał tag uwierzytelniający stały dla klucza i niezależny od wiadomości, co całkowicie usuwa integralność szyfrogramu.

W rozszerzeniu BlueSpiceUserManager systemu BlueSpice brakuje kontroli uprawnień w endpointach REST /bs-usermanager/v1/block/create i /bs-usermanager/v1/block/delete. Każdy uwierzytelniony użytkownik bez specjalnych uprawnień może blokować lub odblokowywać dowolne konta, w tym administratorów.

QXmlStreamReader może zużywać nieproporcjonalnie dużo CPU podczas parsowania specjalnie spreparowanego dokumentu XML, co prowadzi do zawieszenia aplikacji (odmowa usługi). Wystarczy, że aplikacja przetwarza XML pochodzący od atakującego; nie są wymagane uwierzytelnienie ani interakcja użytkownika.

Wtyczka VikRentCar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt zapisany w aplikacji jest później wykonywany w przeglądarkach użytkowników.

Wtyczka GamiPress zawiera podatność SQL Injection (ślepą) wynikającą z niewłaściwej neutralizacji elementów specjalnych w zapytaniach SQL. Atakujący może wstrzykiwać własne zapytania do bazy danych.

Wtyczka VikRentCar zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt jest odzwierciedlany w odpowiedzi serwera i wykonywany w przeglądarce ofiary.

Wtyczka WPMobile.App zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieuprawnione osoby mogą uzyskać dostęp do funkcji lub zasobów, które powinny być chronione.