Katalog podatności CVE

W OpenWA przed wersją 0.23.5, brama WebSocket /events dostarcza zdarzenie session.qr do klucza API VIEWER, gdy subskrybuje on według nazwy zdarzenia lub przez wildcard, mimo że GET /api/sessions/{sessionId}/qr wymaga roli OPERATOR. Gdy sesja oczekuje na parowanie, ujawniony QR pozwala posiadaczowi klucza podłączyć zewnętrzne urządzenie do konta WhatsApp i czytać oraz wysyłać wiadomości poza OpenWA i jego ścieżką audytową. Klucze ograniczone przez allowedSessions pozostają ograniczone do tych sesji.

Discourse przed wskazanymi wersjami pozwalał na przechowywany atak typu cross-origin iframe, który omijał politykę allowed_iframes dzięki zakodowanemu userinfo w atrybucie src. Uwierzytelniony użytkownik z uprawnieniami do pisania mógł umieścić iframe w poście, co prowadziło do renderowania treści z kontrolowanej przez atakującego domeny.

Discourse przed wskazanymi wersjami umożliwiał uwierzytelnionym użytkownikom wstrzyknięcie niezabezpieczonych znaków wildcard SQL (takich jak % i _) we wzorcach rozpoznawania uploadów, co powodowało wybieranie niepowiązanych rekordów. Dostęp do niedozwolonych metadanych, w tym nazw plików i ścieżek secure-upload, był możliwy bez modyfikacji rekordów.

Discourse przed wskazanymi wersjami, gdy używano wzorców wildcard w ustawieniu allowed_iframes, mógł akceptować spreparowany adres URL iframe, którego zezwolony sufiks pojawiał się po separatorze authority. Kontrola pochodzenia omijała listę, a przeglądarka wybierała inny atakowany origin, co pozwalało na renderowanie kontrolowanego iframe.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, zabezpieczenie sprawdzające źródła iframe nie traktowało dosłownych backslashów jako separatorów ścieżek po zdekodowanych segmentach kropek. Specjalnie spreparowane źródło mogło przejść kontrolę allowed_iframes, podczas gdy normalizacja adresu URL w przeglądarce przesuwała iframe poza dozwoloną ścieżkę. W efekcie iframe mógł ładować treść z lokalizacji nieautoryzowanej przez administratora.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, komponent placeholdera wideo pozwalał na wstrzyknięcie atrybutu przez spreparowany HTML, co umożliwiało osadzenie kontrolera zdarzeń sterowanego przez atakującego. Uwierzytelniony użytkownik z domyślnymi uprawnieniami do publikowania mógł zapisać spreparowany placeholder w poście. Gdy inny użytkownik otworzył post i kliknął nakładkę odtwarzania wideo, kontroler mógł wykonać dowolny JavaScript w sesji przeglądającego. Domyślnie CSP blokuje inline, ale przy wyłączonym lub poluzowanym CSP skrypt może czytać treść strony i wysyłać uwierzytelnione żądania.

W Espruino 2v29 (commit bffc6d0) funkcja jslGetTokenValueAsString() zawiera podatność na zapis poza zakresem (out-of-bounds write). Specjalnie spreparowany kod JavaScript z nadmiernie długim tokenem może spowodować zapis jednego bajtu poza bufor JsLex.token w buildach RELEASE/NO_ASSERT, co uszkadza sąsiedni wskaźnik tokenValue i prowadzi do korupcji pamięci, awarii aplikacji lub odmowy usługi.

Mini-XML 4.0.5 zawiera podatność na wyciek pamięci w funkcji mxml_load_data() podczas parsowania nieprawidłowego XML. Specjalnie spreparowane dane XML mogą spowodować, że węzły tekstowe przydzielone przez mxmlNewText() zostaną odłączone przed przekazaniem kontroli do ścieżki czyszczenia po błędzie parsowania. Te osierocone węzły nie są zwalniane, co prowadzi do trwałego wycieku pamięci przy każdej próbie parsowania.

OpenEXR 3.4.14 zawiera podatność na dereferencję pustego wskaźnika w ścieżce parsowania atrybutów C++. Specjalnie spreparowany plik EXR zawierający atrybut nieznanego typu z dataSize ustawionym na zero powoduje utworzenie nieprzezroczystego atrybutu z pustym wskaźnikiem packed_data. Konstruktor OpaqueAttribute przekazuje ten pusty wskaźnik do memcpy() bez walidacji warunku zerowego rozmiaru, co prowadzi do niezdefiniowanego zachowania i zakończenia procesu.

libical 4.0.6 zawiera niezgodny wskaźnik funkcji w icalparameter_string_to_kind(). Podczas parsowania danych iCalendar zawierających sparametryzowaną właściwość, funkcja przekazuje icalparameter_compare_kind_map() do bsearch() przez niezgodny typ wskaźnika funkcji porównującej. bsearch() wywołuje callback przez niedopasowany typ, co prowadzi do niezdefiniowanego zachowania i zakończenia procesu.

hiredis commit 29ea279 (po v1.5.0) zawiera podatność na niekontrolowaną alokację pamięci w parserze agregatów RESP.

QuickJS commit 04be24600 zawiera podatność na zapis poza zakresem sterty w JS_ReadFunctionTag().

Bento4 1.6.0.0 zawiera podatność na niedomiar liczby całkowitej w parserach atomów konfiguracji avcC i hvcC. Specjalnie spreparowany plik MP4 zawierający atom o zadeklarowanym rozmiarze mniejszym niż AP4_ATOM_HEADER_SIZE może spowodować niedomiar obliczeń rozmiaru ładunku w AP4_AvccAtom::Create() lub AP4_HvccAtom::Create(). Wynikowa operacja na nadmiernie dużym buforze może przekazać nieprawidłowe lub puste wskaźniki do ścieżki kopiowania AP4_DataBuffer, co prowadzi do zakończenia aplikacji.

Bento4 1.6.0.0 zawiera podatność na niedomiar liczby całkowitej w AP4_AvccAtom::Create() i AP4_HvccAtom::Create(). Specjalnie spreparowany plik MP4 zawierający atom avcC lub hvcC o zadeklarowanym rozmiarze mniejszym niż rozmiar nagłówka atomu może spowodować zawinięcie obliczeń rozmiaru ładunku do dużej wartości bez znaku. Wynikowe nieprawidłowe alokacje bufora i operacje kopiowania mogą spowodować zakończenie aplikacji.

libde265 commit 4d45a6b zawiera podatność na dereferencję pustego wskaźnika w ścieżce parsowania NAL. Gdy de265_push_NAL() jest wywoływane z jednostką NAL o zerowej długości, wynikowa jednostka NAL może zachować pusty bufor bazowy, który jest następnie przekazywany jako argument docelowy do memcpy() w NAL_unit::set_data(). Chociaż długość kopiowania wynosi zero, narusza to wymóg niepustości memcpy() i prowadzi do niezdefiniowanego zachowania, powodując zakończenie procesu w buildach z UBSan i odmowę usługi.

libsndfile 1.2.2 zawiera podatność na przepełnienie liczby całkowitej w mat4_read_header() podczas parsowania spreparowanych plików MAT4 (MATLAB v4).

NanoSVG 239e102ec zawiera podatność na nieprawidłową konwersję numeryczną w nsvg__curveDivs() podczas rasteryzacji obrysu SVG. Specjalnie spreparowany dokument SVG zawierający bardzo dużą szerokość obrysu może spowodować, że zaokrąglanie zmiennoprzecinkowe da zerowy kąt podziału. Kolejny podział łuku daje nieskończoność, która jest konwertowana na int bez walidacji zakresu, co prowadzi do niezdefiniowanego zachowania i zakończenia procesu.

Discourse przed wskazanymi wersjami pozwalał na wyświetlenie elementów reviewable AI związanych z prywatnymi wiadomościami w kolejce moderacji moderatora, który nie uczestniczył w wiadomości. Filtr widoczności nie ograniczał dostępu do tych elementów, umożliwiając moderatorem odczyt poufnych treści, a w niektórych sytuacjach modyfikację (zamknięcie tematu lub usunięcie posta).

W Termix od wersji 2.4.1 do 2.5.1 uwierzytelniony administrator może zapisać kontrolowane przez atakującego wartości domeny i adresu e-mail przez PATCH /users/acme-ssl-settings, a następnie wywołać ich interpolację do polecenia powłoki certbot przez POST /users/acme-ssl-request. W pliku acme-ssl-routes.ts funkcja child_process.execSync wywołuje /bin/sh -c z tymi wartościami jedynie w cudzysłowach, co pozwala na wykonanie dowolnych poleceń systemowych jako proces backendu Termix. Podatność dotyczy trybów HTTP webroot i DNS Cloudflare challenge, a jej wykorzystanie ujawnia bazy danych Termix, sekrety procesu, przechowywane poświadczenia i dostęp sieciowy. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 2.5.0 do 2.5.1 zawiera podatność w punkcie końcowym /homepage/proxy, który przekazuje parametr url do http.get lub https.get bez ograniczeń docelowych. Walidacja URL jest tylko składniowa, co pozwala na żądania do adresów loopback, RFC1918, link-local i metadanych chmury. Uwierzytelniony użytkownik o niskich uprawnieniach może wyeksfiltrować dane wewnętrznych usług i poświadczenia chmury.