CVE Vulnerability Catalog

fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. Wersje od 4.0.0-beta.3 do 5.5.5 zawierają podatność, która pozwala na obejście limitów rozszerzania encji przez numeryczne odniesienia znaków oraz standardowe encje XML.

W wersjach przed 21.3.1 biblioteka file-type zawiera podatność typu denial of service w parserze wykrywania typu pliku ASF (WMV/WMA). W przypadku przetwarzania spreparowanego wejścia, w którym pole rozmiaru podnagłówka ASF ma wartość zero, parser wchodzi w nieskończoną pętlę.

Podatność dotyczy sytuacji, w której żądanie HTTP podąża za przekierowaniem międzydomenowym (301/302/307/308). W przypadku użycia `follow-redirects`, jedynie nagłówki `authorization`, `proxy-authorization` i `cookie` są usuwane, co może prowadzić do ujawnienia niestandardowych nagłówków uwierzytelniających.

fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. W wersjach od 4.0.0-beta.3 do przed 5.5.7, DocTypeReader w fast-xml-parser wykorzystuje sprawdzanie wartości prawdziwych w JavaScript do oceny limitów konfiguracji maxEntityCount i maxEntitySize.

Vim to znacznie ulepszona wersja klasycznego edytora UNIX Vi. Umożliwia przekierowywanie komunikatów na ekranie oraz wyświetlanie zawartości rejestrów, co może prowadzić do nieautoryzowanego ujawnienia informacji.

Podatność dotyczy wersji pakietu bn.js przed 5.2.3. Wywołanie maskn(0) na dowolnej instancji BN powoduje uszkodzenie wewnętrznego stanu, co skutkuje nieskończoną pętlą w metodach toString(), divmod() i innych, zawieszając proces na czas nieokreślony.

Wersje pakietu @tootallnate/once przed 3.0.1 są podatne na nieprawidłowe zarządzanie przepływem kontroli podczas rozwiązywania obietnic, gdy używana jest opcja AbortSignal. Obietnica pozostaje w stanie oczekiwania po anulowaniu sygnału, co powoduje, że każde użycie await lub .then() wiesza się na czas nieokreślony.

LangChain to framework do budowania aplikacji opartych na LLM. Przed wersją 1.1.8 występuje luka typu Server-Side Request Forgery (SSRF) w `RecursiveUrlLoader` w `@langchain/community`, która pozwala na obejście zabezpieczeń związanych z przekierowaniami.

Podatność CVE-2022-4055 dotyczy niewłaściwego parsowania URL w xdg-mail, gdy jest skonfigurowany do używania Thunderbirda dla linków mailto. Może to prowadzić do przekazywania dodatkowych nagłówków do Thunderbirda, które nie powinny być dołączane zgodnie z RFC 2368.

W NGINX OSS i NGINX Plus występuje podatność, gdy są skonfigurowane do proxy do serwerów TLS. Atakujący z pozycją man-in-the-middle (MITM) po stronie serwera upstream może być w stanie wstrzyknąć dane w postaci tekstu jawnego.

NGINX Plus i NGINX Open Source mają podatność w module ngx_stream_ssl_module z powodu niewłaściwego przetwarzania unieważnionych certyfikatów, gdy włączone są dyrektywy ssl_verify_client oraz ssl_ocsp. To pozwala na pomyślne zakończenie handshake TLS, nawet jeśli sprawdzenie OCSP identyfikuje certyfikat jako unieważniony.

Podatność występuje, gdy niestandardowy obiekt `envelope` przekazywany do `sendMail()` zawiera właściwość `size` z znakami CRLF (` `). Wartość ta jest bezpośrednio łączona z komendą SMTP `MAIL FROM` bez sanitizacji, co umożliwia wstrzykiwanie dowolnych komend SMTP.

W pliku `lib/handlebars/runtime.js` funkcja `container.lookup()` wykorzystuje `container.lookupProperty()` do weryfikacji dostępu do prototypu, jednak odrzuca zweryfikowany wynik i wykonuje drugą, niechronioną operację dostępu do właściwości (`depths[i][name]`).

W bibliotece pyOpenSSL, od wersji 0.14.0 do przed wersją 26.0.0, występuje podatność, która pozwala na zaakceptowanie połączenia, jeśli użytkownik dostarczył callback do `set_tlsext_servername_callback`, który zgłosił nieobsługiwany wyjątek.

Podczas instalacji i ekstrakcji złośliwie skonstruowanego archiwum wheel przez pip, pliki mogą być wydobywane poza katalog instalacyjny. Przechodzenie po ścieżkach jest ograniczone do prefiksów katalogu instalacyjnego, co uniemożliwia wtypowanie lub nadpisanie plików wykonywalnych w typowych sytuacjach.

Samba nie weryfikuje poprawności atrybutu Validated-DNS-Host-Name dla atrybutu dNSHostName, co może pozwolić nieuprzywilejowanym użytkownikom na jego zapisanie.

Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach przed 1.15.1 i 0.31.1 funkcja encode() w pliku lib/helpers/AxiosURLSearchParams.js zawiera mapowanie znaków, które odwraca bezpieczne kodowanie procentowe bajtów null.

libheif w wersjach do 1.17.6 zawiera wyciek pamięci w funkcji JpegEncoder::Encode. Ta wada umożliwia atakującemu przeprowadzenie ataku typu denial of service.

W funkcji mark_beginning_as_normal w pliku nfa.c w wersji 2.6.4 narzędzia flex odkryto problem związany z wyczerpaniem stosu. Problem ten występuje w wyniku rekurencyjnych wywołań tej funkcji w określonych scenariuszach z dużą ilością znaków '*'.

W iputils przed wersją 20250602 występuje podatność, która pozwala na zdalne wywołanie błędu aplikacji w trybie adaptacyjnego pingu lub nieprawidłowe zbieranie danych. Problem ten jest spowodowany przez specjalnie skonstruowany pakiet ICMP Echo Reply z zerowym znacznikiem czasu, co prowadzi do przepełnienia całkowitego podczas obliczeń statystycznych.