Katalog podatności CVE

W wersjach 1.11.1 i wcześniejszych aplikacji AnythingLLM występuje podatność na wstrzykiwanie SQL w wbudowanym pluginie SQL Agent. Umożliwia to każdemu użytkownikowi, który może wywołać agenta, wykonanie dowolnych poleceń SQL na połączonych bazach danych.

Biblioteka cpp-httplib przed wersją 0.37.2 ma lukę, która powoduje, że przy konfiguracji klienta z proxy i ustawieniu follow_location na true, w przypadku przekierowania HTTPS weryfikacja certyfikatu TLS i nazwy hosta jest wyłączona. Klient akceptuje każdy certyfikat, co stwarza poważne zagrożenie bezpieczeństwa.

AnythingLLM to aplikacja, która przekształca treści w kontekst używany przez LLM podczas czatowania. W wersjach 1.11.1 i wcześniejszych, domyślne instalacje bez skonfigurowanego hasła lub klucza API mają brak autoryzacji na wszystkich punktach końcowych HTTP oraz w WebSocket agenta, a polityka CORS serwera akceptuje dowolne źródło.

Pigeon to system wiadomości, notatek i blogów. W wersjach przed 1.0.201 aplikacja używa $_SERVER['HTTP_HOST'] bez walidacji do konstruowania linków weryfikacyjnych e-mail w procesach rejestracji i ponownego wysyłania. Atakujący może manipulować nagłówkiem Host w żądaniu HTTP, co prowadzi do wysyłania linku weryfikacyjnego do domeny kontrolowanej przez atakującego.

Biblioteka kryptograficzna Go ShangMi (GMSM) przed wersją 0.41.1 zawierała podatność na fałszowanie szyfrogramu związaną z punktem nieskończoności w implementacji deszyfrowania SM9. Atakujący mógł skonstruować punkt C1 jako punkt nieskończoności, co prowadziło do przewidywalności klucza deszyfrującego.

Biblioteka xml-security implementuje podpisy i szyfrowanie XML. W wersjach wcześniejszych niż 2.3.1 i 1.13.9, węzły XML szyfrowane przy użyciu aes-128-gcm, aes-192-gcm lub aes-256-gcm nie weryfikują długości tagu uwierzytelniającego, co umożliwia atakującemu przeprowadzenie ataku brute-force na ten tag oraz odszyfrowanie węzłów.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 8.6.40 i 9.6.0-alpha.14, punkt końcowy WebSocket dla subskrypcji GraphQL nie przechodzi przez łańcuch middleware Express, co pozwala atakującym na wykonywanie operacji GraphQL bez ważnego klucza aplikacji lub API.

Yamux to multiplexer strumieniowy działający na niezawodnych, uporządkowanych połączeniach, takich jak TCP/IP. W wersji przed 0.13.10, implementacja Rust Yamux może spowodować panikę podczas przetwarzania specjalnie przygotowanej ramki danych, co prowadzi do awarii w stanie połączenia.

xmlseclibs to biblioteka napisana w PHP do pracy z szyfrowaniem i podpisami XML. W wersjach przed 3.1.5, węzły XML szyfrowane za pomocą aes-128-gcm, aes-192-gcm lub aes-256-gcm nie weryfikują długości tagu uwierzytelniającego. To pozwala atakującemu na przeprowadzenie ataku brute-force na tag uwierzytelniający oraz na fałszowanie dowolnych szyfrogramów.

OpenLiteSpeed i LSWS Enterprise dostarczane przez LiteSpeed Technologies zawierają podatność na wstrzykiwanie poleceń systemowych. Atakujący z uprawnieniami administratora może wykonać dowolne polecenie systemowe.

Podatność w GStreamer podczas obsługi napisów DVB pozwala na zdalne wykonanie kodu przez zapis poza dozwolonym obszarem pamięci. Problem wynika z braku walidacji współrzędnych dostarczanych przez użytkownika.

Podatność w demuxerze RealMedia w GStreamer umożliwia zdalne wykonanie kodu przez zapis poza dozwolonym buforem. Problem wynika z braku walidacji danych dostarczanych przez użytkownika podczas przetwarzania pakietów wideo.

Podatność w GStreamer podczas przetwarzania danych palety w plikach AVI umożliwia zdalne wykonanie kodu. Brak walidacji danych użytkownika prowadzi do przepełnienia liczby całkowitej przed zapisem do pamięci.

W bibliotece GStreamer w demuxerze ASF wykryto podatność przepełnienia bufora sterty, umożliwiającą zdalne wykonanie kodu. Problem wynika z braku walidacji długości danych użytkownika przed kopiowaniem do bufora o stałej długości. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście bieżącego procesu.

Podatność IceWarp związana z przejściem katalogów umożliwia zdalnym atakującym ujawnienie wrażliwych informacji na dotkniętych instalacjach. Wykorzystanie tej podatności nie wymaga uwierzytelnienia.

Wtyczki Mattermost w wersjach <=2.0.3.0 nie maskują poprawnie wrażliwych wartości konfiguracyjnych, co pozwala atakującemu z dostępem do pakietów wsparcia na uzyskanie oryginalnych ustawień wtyczek poprzez wyeksportowane dane konfiguracyjne.

Wersje arduino-TuyaOpen przed 1.2.1 zawierają podatność na odczyt pamięci poza przydzielonym zakresem w komponencie TuyaIoT. Atakujący, który przejmie lub kontroluje usługę chmurową Tuya, może wysłać złośliwe dane zdarzeń DP do urządzeń ofiar, co prowadzi do nieautoryzowanego dostępu do pamięci.

Wersje arduino-TuyaOpen przed 1.2.1 zawierają podatność na przepełnienie bufora jednego bajtu w komponencie WiFiMulti. Gdy inteligentne urządzenie ofiary łączy się z punktem dostępowym kontrolowanym przez atakującego, ten może wykorzystać przepełnienie do wykonania dowolnego kodu na zaatakowanym urządzeniu wbudowanym.

Wersje arduino-TuyaOpen przed 1.2.1 zawierają podatność typu przepełnienie bufora na stercie w komponencie DnsServer. Atakujący w tej samej sieci lokalnej, który kontroluje serwer DNS LAN, może wysłać złośliwe odpowiedzi DNS, co może prowadzić do wykonania dowolnego kodu na podatnych urządzeniach wbudowanych.

W M365 Copilot występuje podatność na wstrzyknięcie poleceń AI, która pozwala nieautoryzowanemu atakującemu na ujawnienie informacji w sieci.