CVE Vulnerability Catalog

CPAN.pm before version 2.35 does not verify TLS certificates when downloading distributions over HTTPS. This allows man-in-the-middle attackers to replace downloaded packages with malicious ones.

A vulnerability in the hoek library before version 8.5.1 and 9.x before 9.0.3 allows prototype poisoning in the clone function. An attacker can exploit this flaw to modify object prototypes, leading to unauthorized access or code execution.

A vulnerability in the axios library allows sending requests to absolute URLs instead of relative ones, potentially leading to SSRF attacks and credential leakage. Even with baseURL set, axios ignores it and sends the request to the specified absolute URL.

The pip package before version 19.2 for Python is vulnerable to directory traversal when a URL is provided in an install command. An attacker can exploit a Content-Disposition header containing '../' in the filename to overwrite files, such as /root/.ssh/authorized_keys.

Vulnerability in CPAN 2.28 allows signature verification bypass. An attacker can supply unauthorized code that is treated as properly signed.

In nodemailer v9.0.0, the message-level `raw` option bypasses `disableFileAccess` and `disableUrlAccess` protections, enabling arbitrary file reads and full SSRF (Server-Side Request Forgery) in the sent message.

A vulnerability was found in systemd where a service using the DynamicUser property can create a SUID/SGID binary that remains executable with the transient service UID/GID even after the service terminates. A local attacker could exploit this to access resources owned by a potentially different UID/GID.

Multiple security vulnerabilities have been identified in the grpc-go library affecting the xDS RBAC authorization engine and the HTTP/2 transport server implementation. These vulnerabilities could lead to authorization bypass (Fail-Open) during rule translation.

The filepath package in Go does not recognize paths with a \??\ prefix as special. On Windows, a path starting with \??\ is equivalent to a path starting with \\?\ and can be used to access arbitrary system locations.

A vulnerability in Go's HTTP/2 implementation allows a malicious client to rapidly create and reset requests, causing excessive server resource consumption. Although the number of concurrent streams is limited by MaxConcurrentStreams, resetting requests enables the attacker to continuously send new requests.

Git defines a line-based protocol used to exchange information between Git and Git credential helpers. Some ecosystems (most likely those using this protocol) may be vulnerable to attacks related to this protocol.

An attacker can craft an input to the Parse functions that would be processed non-linearly with respect to its length, resulting in extremely slow parsing. This could cause a denial of service.

W wersjach od 5.0.9 do 5.3.3 biblioteki fast-xml-parser występuje podatność typu RangeError, która dotyczy przetwarzania encji numerycznych podczas parsowania XML z wartościami poza zakresem.

Pakiet npm serialize-javascript (wersje <= 7.0.2) zawiera podatność na wstrzykiwanie kodu. Jest to niekompletne rozwiązanie dla CVE-2020-7660.

fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. Wersje od 4.0.0-beta.3 do 5.5.5 zawierają podatność, która pozwala na obejście limitów rozszerzania encji przez numeryczne odniesienia znaków oraz standardowe encje XML.

Underscore.js to biblioteka narzędziowa dla JavaScript. W wersjach przed 1.13.8 funkcje _.flatten i _.isEqual wykorzystują rekurencję bez limitu głębokości, co w określonych warunkach może prowadzić do ataku typu Denial of Service (DoS) poprzez wywołanie przepełnienia stosu.

Wersje pakietu semver przed 7.5.2 są podatne na atak Denial of Service (DoS) za pomocą wyrażeń regularnych (ReDoS) poprzez funkcję new Range, gdy nieufne dane użytkownika są dostarczane jako zakres.

W jądrze Linuxa rozwiązano podatność związaną z AppArmor, która dotyczyła wyścigu między zwalnianiem danych a dostępem do nich przez system plików. Problem polegał na tym, że AppArmor umieszczał referencję do danych i_private po usunięciu oryginalnego wpisu z systemu plików.

protobufjs kompiluje definicje protobuf do funkcji JavaScript. W wersjach przed 7.5.6 i 8.0.2, protobufjs pozwalał na przechodzenie przez dziedziczone właściwości obiektów podczas stosowania opcji, co mogło prowadzić do nieprawidłowego przetwarzania opcji.

W wersjach przed 7.5.6 i 8.0.2, protobufjs używał zwykłych obiektów z dziedziczonymi prototypami do wewnętrznych tabel wyszukiwania typów. Jeśli Object.prototype został wcześniej zanieczyszczony, te tabele wyszukiwania mogły być narażone na ataki.