Katalog podatności CVE

Biblioteka sqlite3 (Ruby bindings dla SQLite3) w wersji 2.9.4 i wcześniejszych zawiera podatność use-after-free przy redefiniowaniu funkcji SQLite z inną liczbą argumentów. Poprzednio zarejestrowany handler funkcji jest zwalniany, podczas gdy SQLite może nadal do niego odwoływać, co prowadzi do naruszenia pamięci.

Biblioteka tiny-http do wersji 0.12.0 zawiera podatność na wstrzykiwanie nagłówków HTTP, umożliwiającą atakującym wstawianie bajtów CR i LF do wartości nagłówków. Brak odpowiedniej walidacji prowadzi do podziału odpowiedzi, zatrucia pamięci podręcznej, fiksacji sesji i przemycania żądań.

Metody `Element.findall()` i `Element.iterfind()` w parserze XML mają złożoność czasową O(n^2) przy użyciu predykatów indeksu XPath na dokumentach z wieloma rodzeństwami. `Element.find()` jest podatny tylko przy wyszukiwaniu ostatnich dopasowań.

Widok szybkiej konfiguracji wyświetlany użytkownikom po pierwszym utworzeniu wydarzenia nie sprawdza poprawnie uprawnień użytkownika do zmiany konfiguracji danego wydarzenia. Atakujący może wykorzystać odpowiednio zsynchronizowane żądanie, aby tworzyć produkty, limity, ustawić konfigurację przelewów bankowych lub podłączyć konto Stripe do wydarzenia, do którego nie ma dostępu.

W GStreamer (gst-plugins-good) występuje podatność na odczyt poza zakresem sterty o 4 bajty podczas parsowania nagłówków strumienia audio FLAC osadzonych w plikach Matroska lub WebM. Sprawdzenie granic nie uwzględnia pełnego rozmiaru kopiowanych danych, co pozwala na odczyt poza przydzielonym buforem. Atakujący może wykorzystać to przez spreparowanie złośliwego pliku Matroska lub WebM i nakłonienie użytkownika do jego otwarcia.

Pomyślne wykorzystanie tej podatności pozwala atakującemu z lokalnym dostępem sieciowym na ominięcie mechanizmu ograniczania szybkości żądań aplikacji. Umożliwia to brute-force kodu udostępniania ekranu i potencjalne wyświetlenie szkodliwych treści na dotkniętym ekranie.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.1.5 nie przeprowadza sprawdzenia uprawnień przed usunięciem szablonów wyjściowych. Umożliwia to użytkownikom z rolą contributor i wyższym usuwanie dowolnych szablonów.

Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.28.4 nieprawidłowo escapuje tytuły wydarzeń przed wyświetleniem ich w historii biletów. Umożliwia to użytkownikom z rolą Editor i wyższym przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się przeciwko użytkownikom z wyższymi uprawnieniami w instalacjach multisite.

Problem z ekranem blokady w systemie macOS naprawiony poprzez dodatkowe ograniczenia. Osoba z fizycznym dostępem do zablokowanego urządzenia może uzyskać dostęp do kontaktów i zdjęć.

W Astro w wersjach od 8.1.0 do 11.0.1, gdy opcja trailingSlash: 'always' jest skonfigurowana, serwer standalone @astrojs/node dodaje końcowy ukośnik do ścieżek żądań i wysyła przekierowanie 301. Ścieżki zaczynające się od /\ (ukośnik-odwrotny ukośnik) nie są rozpoznawane jako wewnętrzne, więc serwer odsyła surową ścieżkę w nagłówku Location. Ponieważ przeglądarki traktują \ jako / zgodnie ze specyfikacją WHATWG URL, wynikowe przekierowanie może prowadzić do zewnętrznego hosta.

W Astro w wersjach od 3.10.0 do 7.0.3, gdy dyrektywy transition:persist, transition:scope lub transition:persist-props są zastosowane do komponentu hydratowanego po stronie klienta (client:*), Astro kopiuje wartość dyrektywy do renderowanego elementu <astro-island> bez kodowania HTML. Jeśli programista odzwierciedli dane kontrolowane przez atakującego w jednej z tych dyrektyw, atakujący może wyrwać się z atrybutu i wstrzyknąć dowolny kod HTML/JavaScript do wyjścia renderowanego po stronie serwera, co prowadzi do odbitego XSS.

W sterowniku I2C Synopsys DesignWare (drivers/i2c/i2c_dw.c) działającym w trybie target/slave, procedura obsługi przerwania rx_full blokuje wywołanie zwrotne write_requested() na podstawie stanu dw->state != CMD_SEND, a dw->state jest resetowany tylko na przerwanie STOP. Przerwanie START_DET, które resetowałoby stan przy każdym (re)START, nie zostało dodane do maski włączonych przerwań w i2c_dw_slave_register(), więc ta ścieżka odzyskiwania była martwym kodem. W rezultacie, jeśli przerwanie STOP zostanie utracone lub master wyda sekwencję WRITE-repeated-START-WRITE, sterownik pozostaje w stanie CMD_SEND na stałe i nigdy nie wywołuje write_requested() ponownie.

W systemie Papra przed wersją 26.5.0 system dostarczania webhooków zawiera obejście ochrony SSRF, które pozwala każdemu uwierzytelnionemu członkowi organizacji na zmuszenie serwera do wykonywania żądań HTTP do adresów wewnętrznych (loopback, link-local, RFC-1918). Ochrona SSRF sprawdza zarejestrowany URL webhooka, ale ignoruje cele przekierowań. Klient HTTP (ofetch) automatycznie podąża za odpowiedziami 3xx, a cel przekierowania nie jest sprawdzany względem listy blokowanych.

Podatność w ggml-org whisper.cpp (commit 95ea8f9b) w funkcji ggml_ftype_to_ggml_type w pliku ggml/src/ggml.c. Manipulacja argumentem ftype prowadzi do osiągalnego asercji (assertion failure). Atak wymaga dostępu lokalnego. Projekt nie odpowiedział jeszcze na zgłoszenie.

Podatność w HCL Connections polegająca na ujawnieniu informacji przez pewien endpoint. W określonych scenariuszach może to prowadzić do ujawnienia wrażliwych danych nieautoryzowanym użytkownikom.

Podatność na ujawnienie informacji w HCL Connections, spowodowana nieprawidłowym przetwarzaniem danych żądania. Użytkownik może uzyskać wrażliwe informacje, do których nie jest uprawniony.

Podatność w ggml-org whisper.cpp 1.8.4-58 w funkcji log_mel_spectrogram w pliku src/whisper.cpp. Manipulacja prowadzi do odczytu poza zakresem (out-of-bounds read). Atak wymaga dostępu lokalnego. Pull request z poprawką oczekuje na akceptację.

Aplikacja ZTE File Manager zawiera podatność, która pozwala aplikacjom innych firm na uruchomienie aktywności FilePreViewActivity i podanie dowolnej ścieżki pliku. Umożliwia to odczyt plików z uprawnieniami menedżera plików, w tym z katalogów systemowych takich jak /data/data i /data/local/tmp na niezrootowanych urządzeniach.

Wtyczka WPBot WordPress przed wersją 8.5.2 nie weryfikuje identyfikatorów pól skonfigurowanych przez administratora przed użyciem ich w zapytaniu SQL. Użytkownicy z dostępem administratorskim mogą przeprowadzić wstrzyknięcie SQL, które wykonuje się, gdy odwiedzający wywoła wyszukiwanie.

ImageMagick przed wersją 7.1.2-27 zawiera podatność na wyciek pamięci w interfejsie wiersza poleceń magick, gdy podano nieprawidłowe opcje. Atakujący mogą wielokrotnie dostarczać sfałszowane argumenty, powodując wyczerpanie pamięci systemowej.