CVE Vulnerability Catalog

A divide-by-zero error was discovered in py-lmdb 0.97 in the mdb_env_open2 function when mdb_env_read_header obtains a zero value for a certain size field. This issue can be triggered by supplying a crafted data.mdb file.

protobufjs kompiluje definicje protobuf do funkcji JavaScript. W wersjach przed 7.5.6 i 8.0.2, protobufjs pozwalał na przechodzenie przez dziedziczone właściwości obiektów podczas stosowania opcji, co mogło prowadzić do nieprawidłowego przetwarzania opcji.

Wersje pakietu semver przed 7.5.2 są podatne na atak Denial of Service (DoS) za pomocą wyrażeń regularnych (ReDoS) poprzez funkcję new Range, gdy nieufne dane użytkownika są dostarczane jako zakres.

Pakiet npm serialize-javascript (wersje <= 7.0.2) zawiera podatność na wstrzykiwanie kodu. Jest to niekompletne rozwiązanie dla CVE-2020-7660.

Underscore.js to biblioteka narzędziowa dla JavaScript. W wersjach przed 1.13.8 funkcje _.flatten i _.isEqual wykorzystują rekurencję bez limitu głębokości, co w określonych warunkach może prowadzić do ataku typu Denial of Service (DoS) poprzez wywołanie przepełnienia stosu.

n8n to otwartoźródłowa platforma do automatyzacji procesów. Przed wersjami 2.4.0 i 1.121.0, gdy uwierzytelnianie LDAP było włączone, n8n automatycznie łączył tożsamość LDAP z istniejącym lokalnym kontem, jeśli atrybut e-mail LDAP odpowiadał e-mailowi lokalnego konta.

Clients using RFC7250 Raw Public Keys (RPKs) to authenticate a server may fail to notice that the server was not authenticated, because handshakes don't abort as expected when the SSL_VERIFY_PEER verification mode is set. Impact: TLS and DTLS connections using raw public keys...

W wersjach od 5.0.9 do 5.3.3 biblioteki fast-xml-parser występuje podatność typu RangeError, która dotyczy przetwarzania encji numerycznych podczas parsowania XML z wartościami poza zakresem.

fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. Wersje od 4.0.0-beta.3 do 5.5.5 zawierają podatność, która pozwala na obejście limitów rozszerzania encji przez numeryczne odniesienia znaków oraz standardowe encje XML.

minimatch to minimalne narzędzie do dopasowywania, które konwertuje wyrażenia glob na obiekty RegExp w JavaScript. Wersje 10.2.0 i wcześniejsze są podatne na atak Denial of Service (ReDoS) w przypadku, gdy wzór glob zawiera wiele kolejnych znaków * zakończonych literą, która nie występuje.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.10.1, 2.9.3 i 1.123.22, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł wstrzykiwać dowolne skrypty do stron renderowanych przez aplikację n8n, wykorzystując różne techniki na różnych węzłach.

Picomatch to matcher glob napisany w JavaScript. Wersje przed 4.0.4, 3.0.2 i 2.3.2 są podatne na atak typu Regular Expression Denial of Service (ReDoS) podczas przetwarzania stworzonych wzorców extglob.

W wersjach przed 7.5.6 i 8.0.2, protobufjs używał zwykłych obiektów z dziedziczonymi prototypami do wewnętrznych tabel wyszukiwania typów. Jeśli Object.prototype został wcześniej zanieczyszczony, te tabele wyszukiwania mogły być narażone na ataki.