Katalog podatności CVE

Wasmtime w wersjach 47.0.0 przed 48.0.6 oraz 49.0.0 przed 49.0.3 zawiera błąd niewyrównania pamięci w układzie VMContext, który powoduje niezdefiniowane zachowanie, gdy moduły zawierają nieparzystą liczbę tagów wyjątków. Moduł WebAssembly z nieparzystą liczbą tagów powoduje niewyrównanie kolejnych pól hosta w embedderach z włączonymi wyjątkami, choć obecnie nie jest znana ścieżka eksploatacji.

Wasmtime od 49.0.0 do 49.0.2 zawiera podatność typu denial of service, która pozwala gościowi WebAssembly wywołać panikę hosta poprzez transkodowanie nakładających się łańcuchów w fused adapters. Atakujący może wykonać wywołanie komponent-do-komponentu w tej samej instancji, przenosząc łańcuch, którego źródło i cel nakładają się, powodując crash hosta zamiast trapa.

Wasmtime w wersjach 46.0.0–48.0.5 i 49.0.0–49.0.2 zawiera podatność typu denial of service w wasmtime-wasi-http, która pozwala gościom na crash hosta poprzez wysyłanie długich adresów URL żądań. Goście mogą użyć set-path-with-query z '?' po bajcie 65535, przepełniając indeks u16 w crate http i wywołując panikę hosta.

Wasmtime przed 36.0.18, 37.0.0 przed 48.0.6 oraz 49.0.0 przed 49.0.3 nie weryfikuje, czy wartości set-path-with-query w wasmtime-wasi-http są ścieżkami, więc adresy URL w formie absolutnej są zapisywane dosłownie jako cel żądania HTTP/1.1, podczas gdy połączenie używa dozwolonego authority. Złośliwy gość może podać absolutny URL, który proxy forward lub brama przy tym authority zaakceptuje, docierając do hostów zabronionych przez polityki filtrowania embeddera.

ZITADEL w wersjach od 3.0.0 do 3.4.15 oraz od 4.0.0 przed 4.19.5 zawiera podatność braku autoryzacji w Login V2, która pozwala atakującym zatwierdzić autoryzacje urządzeń OAuth 2.0 przy użyciu istniejącej sesji ofiary bez jej zgody. Atakujący może wysłać zalogowanemu użytkownikowi link z własnym kodem użytkownika, aby uzyskać tokeny ofiary, oraz obejść ustawienia dostępu projektu przez API autoryzacji urządzeń OIDC.

ZITADEL w wersjach 4.0.0 przed 4.19.5 zawiera podatność obejścia uwierzytelniania w interfejsie Login V2, która pozwala nieuwierzytelnionym atakującym ustawić pierwsze poświadczenie użytkowników niemających żadnej metody uwierzytelniania. Atakujący może obliczyć ważny plik cookie verificationCheck na podstawie identyfikatora użytkownika i odcisku przeglądarki, aby ustawić hasło, zarejestrować passkey lub powiązać dostawcę tożsamości, przejmując konto.

W ZITADEL w wersjach od 4.0.0 do 4.19.5 występuje podatność na wstrzyknięcie nagłówka hosta w interfejsie Login V2. Nieuwierzytelniony atakujący może zatruć linki do resetowania hasła, zaproszeń i weryfikacji e-mail, dostarczając niezaufane nagłówki x-zitadel-public-host, x-zitadel-forward-host lub x-forwarded-host.

Parse Server przed 8.6.106 oraz 9.0.0 przed 9.10.5-alpha.7 nieprawidłowo obsługuje klucze notacji kropkowej z wartościami null lub undefined podczas budowania zapisywanego obiektu, więc zapis jest przechowywany, ale zwraca błąd i pomija wyzwalacze afterSave oraz zdarzenia LiveQuery. Klient z prawem zapisu może to wykorzystać do obejścia logowania audytowego, powiadomień i aktualizacji danych pochodnych.

Parse Server przed 8.6.107 oraz 9.0.0 przed 9.10.5-alpha.8 zwraca przechowywaną wartość pola przywróconego przez wyzwalacz beforeSave w odpowiedziach na aktualizację obiektu, nawet klientom bez prawa odczytu tego obiektu lub pola. Uwierzytelniony klient mogący aktualizować obiekt, którego wyzwalacz beforeSave przywraca pole (poprzez revert() lub walidator constant: true), może odczytać chronione wartości, w tym surowe authData MFA własnego konta, gdy włączone jest protectedFieldsTriggerExempt.

ImageMagick przed 7.1.2-34 zawiera przepełnienie bufora na stercie w przetwarzaniu opcji -morph, gdzie spreparowane obrazy powodują zapisy poza granicami bufora sterty. Atakujący może dostarczyć spreparowany obraz, który podczas przetwarzania przez użytkownika z opcją -morph uszkadza pamięć sterty i powoduje awarię aplikacji.

ImageMagick przed 7.1.2-34 zawiera podatność na przepełnienie stosu w dekoderze TIFF, występującą gdy dekoder DNG jest wyłączony. Atakujący może dostarczyć spreparowany plik obrazu do przetworzenia, aby wywołać przepełnienie stosu i awarię aplikacji, powodując odmowę usługi.

Crawl4AI przed 0.9.5 zawiera podatność blind server-side request forgery w serwerze Docker, która pozwala klientom API obejść proxy wyjściowe poprzez włączenie check_cache_freshness. Atakujący mogą zapisać w pamięci podręcznej kontrolowany URL, a następnie wywołać CacheValidator, aby podążał za przekierowaniami 302 lub DNS rebinding do adresów wewnętrznych i metadanych chmury w celu odkrywania portów i usług.

Crawl4AI od 0.9.0 do 0.9.4 zawiera podatność wstrzyknięcia JavaScript w serwerze API Docker, która pozwala uwierzytelnionym klientom API uruchomić dowolny JavaScript na stronie crawlowej poprzez pola css_selector i wait_for z listy dozwolonych. Atakujący mogą wstrzyknąć cudzysłowy do css_selector lub dostarczyć warunki js: w wait_for, omijając blokadę js_code, aby zmienić stan strony i zwracaną treść crawlowania.

Crawl4AI w wersjach od 0.9.0 do 0.9.5 nie filtruje pola model_name w CosineStrategy w niezaufanych treściach żądań API Docker. Uwierzytelniony klient może wybrać model HuggingFace ładowany przez serwer, wskazując złośliwe repozytorium z plikiem wag pickle.

Crawl4AI przed wersją 0.9.5 zawiera podatność na odmowę usługi w serwerze API Docker, gdzie funkcja _clamp_untrusted() nie ogranicza pól delay_before_return_html, mean_delay i max_range w niezaufanych treściach CrawlerRunConfig. Nieuwierzytelniony atakujący może wysyłać ogromne wartości do /crawl lub /crawl/stream.

Crawl4AI w wersji przed 0.9.5 zawiera podatność na nieprawidłową walidację certyfikatów, ponieważ Chromium jest zawsze uruchamiany z flagą --ignore-certificate-errors. Atakujący w sieci (man-in-the-middle lub kontrolujący DNS) mogą dostarczać sfałszowaną treść do crawlera oraz odczytywać wysyłane ciasteczka i nagłówki. Dodatkowo twardo zakodowana flaga --no-sandbox nadpisuje ustawienie CRAWL4AI_CHROMIUM_SANDBOX.

KeePassXC w wersjach od 2.3.0 do 2.8.0 ma podatność w integracji z przeglądarką: szyfrowanie odpowiedzi autoryzowanych w BrowserMessageBuilder.cpp używa stałego bufora wyjściowego 1 MiB, mimo że crypto_box_easy() zapisuje długość tekstu jawnego plus crypto_box_MACBYTES. Klient protokołu przeglądarki z dostępem do IPC i ważnym skojarzeniem bazy może wywołać sekwencyjny zapis poza granicami bufora, zanim odpowiedź zostanie dostarczona. Luka została naprawiona w wersji 2.8.0.

Wtyczka GlobalPayments WooCommerce w wersjach do 1.23.3 zawiera podatność na Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia.

Wtyczka Hotel Booking w wersjach do 3.8 zawiera podatność typu Insecure Direct Object References (IDOR) w obszarze subskrybentów. Umożliwia to nieautoryzowany dostęp do zasobów identyfikowanych przez odniesienia obiektowe.

Wtyczka WP Crowdfunding w wersjach do 2.2.2 zawiera podatność na ujawnienie danych wrażliwych możliwą do wykorzystania bez uwierzytelnienia.