Katalog podatności CVE

gose parsował nagłówek JWS crit do JwsHeader.Crit, a następnie nigdy go nie odczytywał. RFC 7515 §4.1.11 wymaga od odbiorcy odrzucenia JWS, którego wymienione krytyczne parametry rozszerzeń nie są zrozumiałe; gose nie implementuje żadnych rozszerzeń nagłówków, więc każdy token z niepustym crit powinien zostać odrzucony — a żaden nie był.

Funkcja LoadPublicKey rozwiązywała krzywą klucza EC za pomocą niesprawdzonej asercji typu algToOptsMap[alg].(*ECDSAOptions). JWK deklarujący "kty":"EC" wraz z nie-EC "alg" — co RFC 7517 §4.4 dopuszcza — trafia do tej asercji i powoduje panikę.

Metoda JwtClaims.MarshalJSON budowała w czasie działania strukturę Go za pomocą reflect.StructOf, tworząc pole o nazwie "A" + claimName dla każdego nieotypowanego roszczenia. reflect.StructOf panikuje, gdy nazwa pola nie jest prawidłowym identyfikatorem Go lub gdy duplikuje inne pole; oba warunki są osiągalne z zwykłych nazw roszczeń JWT.

Funkcja jwkFields.CheckConsistency wykrywała zduplikowane wpisy key_ops przy użyciu zagnieżdżonej pętli, przez co koszt walidacji rósł kwadratowo wraz z liczbą wpisów. Ponieważ sprawdzenie uruchamiane jest przy każdym unmarshal JWK i JWKS, umiarkowanie duży, ale wrogi dokument JWKS może zajmować rdzeń CPU przez wiele sekund.

Funkcja JwksTrustStore.Get przypisywała każdy sparsowany klucz do nazwanego zwracanego parametru funkcji podczas odświeżania pamięci podręcznej JWKS. Gdy żądany kid nie istniał, końcowe nagie return zwracało wywołującemu ostatni klucz z dokumentu JWKS wraz z błędem nil — błędną odpowiedź zamiast informacji o braku klucza.

Funkcja AesGcmCryptor.Open przekazywała nonce dostarczony przez wywołującego bezpośrednio do cipher.AEAD.Open bez sprawdzenia jego długości. Biblioteka standardowa Go zgłasza panic zamiast zwracać błąd, gdy nonce GCM nie ma dokładnie NonceSize() bajtów, więc JWE z IV o złym rozmiarze powoduje awarię gorutyny deszyfrującej.

Podczas używania jako executor w KNIME Server lub KNIME Business Hub, KNIME Analytics Platform w wersjach LTS przed 5.8.4 loguje skonfigurowane dane uwierzytelniające proxy podczas uruchamiania. Atakujący z dostępem do plików logów może ukraść te dane i użyć proxy jako użytkownik, który skonfigurował ustawienia proxy.

Wtyczka Car Rental Manager firmy Magepeople zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.5.3.

Wtyczka Knit Pay zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 9.6.3.0.

Aplikacja CGM CLININET jest podatna na odbity atak Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych dostarczanych przez użytkownika. Zdalny, nieuwierzytelniony atakujący może przygotować złośliwy URL zawierający kod JavaScript lub HTML, który zostanie wykonany w przeglądarce ofiary po odwiedzeniu tego adresu. Pozwala to na kradzież ciasteczek sesyjnych i wykonywanie działań w imieniu ofiary w aplikacji.

Aplikacja CGM CLININET uruchamia proces cgm-updater nasłuchujący na otwartym porcie sieciowym bez jakiegokolwiek uwierzytelniania. Podatność potwierdzono w wersjach do 2026.MS3; wersja 2026.MS3 z komponentem updater-upkg w wersji 5.3.0 lub nowszej nie jest podatna.

Aplikacja CGM CLININET przechowuje login i hasło do bazy danych produkcyjnej oraz dane uwierzytelniające brokera RabbitMQ w pliku konfiguracyjnym SysIO.pl. Niebezpieczne uprawnienia pliku umożliwiają jego odczyt przez dowolne konto lokalne. Problem naprawiono w wersji 2026.MS3.

Interfejs webowy ASMobile w pakiecie VertiGIS GIS Portal pozwala uwierzytelnionym użytkownikom zdefiniować referencję biznesową, w którą można wstawić kod JavaScript. Sam w sobie jest to self-XSS, ale referencja jest dołączana do szczegółów zamówienia i później wyświetlana w portalu OrderAdministration (AuftragsManager) systemu VertiGIS WebOrderSystem, gdzie kod wykonuje się, gdy uprzywilejowany użytkownik otworzy zamówienie.

Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom wyszukiwać pracowników we wszystkich firmach (grupach użytkowników). Wyszukiwany termin można przekazać w parametrze URL searchValue, więc wyszukiwanie odbywa się, gdy zalogowany użytkownik otworzy taki URL, a kod JavaScript w tym parametrze jest wykonywany w przeglądarce ofiary.

Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom zarządzać pracownikami zdefiniowanych firm (grup użytkowników). Właściwości użytkownika, np. parametr "secondName", można wypełnić kodem JavaScript podczas edycji użytkownika; kod jest zapisywany i wykonywany w przeglądarce innego uprzywilejowanego użytkownika, który otworzy edytowany wpis lub przegląd grupy. Uwierzytelniony atakujący z dostępem do portalu może w ten sposób uruchomić skrypt w sesji innych użytkowników portalu. Podatna jest wersja 7.0.8.6, najnowsza dostępna w momencie testów; dostawca nie podał informacji o innych podatnych wersjach.

Podatność uwierzytelniania w implementacji Bluetooth Low Energy (BLE) w Creative Sound Blaster Katana pozwala atakującemu znajdującemu się w zasięgu Bluetooth połączyć się z urządzeniem bez wcześniejszego parowania lub uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do urządzenia.

Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie waliduje ani nie escapuje niektórych atrybutów shortcode formularzy, które mogą przyjmować wartości z żądania odwiedzającego i są wypisywane bez escapowania. Pozwala to użytkownikom o roli już contributor wykonać dowolny skrypt w przeglądarce każdego, kto otworzy spreparowany link lub stronę, w tym zalogowanego administratora. Jest to niekompletna poprawka CVE-2023-5292.

Wtyczka WordPress Depicter — Popup & Slider Builder przed 4.8.2 nieprawidłowo waliduje przesyłane pliki w punkcie końcowym edytora do przesyłania mediów, sprawdzając tylko MIME typ dostarczony przez klienta i wielkościowrażliwy blok rozszerzenia .php. Pozwala to użytkownikom z rolą Editor i wyższą przesłać pliki z innymi aktywnymi rozszerzeniami do publicznego katalogu uploads, co prowadzi do przechowywanego wykonania skryptu w domenie witryny, a w zależności od mapowania handlerów serwera — do wykonania kodu.

Wtyczka WordPress Download Monitor przed wersją 5.3.5 nieprawidłowo ogranicza zarządzanie listą lokalizacji systemu plików, z których może serwować pliki, do administratorów sieci w trybie multisite. Administrator podstrony może zatwierdzić dowolne lokalizacje, co pozwala wtyczce serwować nieuwierzytelnionym odwiedzającym czytelne pliki spoza katalogu uploads, w tym pliki należące do innych podstron. Instalacje single-site nie są dotknięte.

Wtyczka WordPress User Profile Builder przed wersją 4.0.5 nie sanityzuje ani nie escapuje jednego z atrybutów shortcode przed wyświetleniem go w komunikacie przekierowania. Pozwala to użytkownikom z rolą już od contributor wykonywać ataki Stored Cross-Site Scripting wymierzone w użytkowników o wyższych uprawnieniach, którzy wyślą dotknięty formularz.