Katalog podatności CVE

Endpoint /api/v2/config/ jest chroniony tylko przez IsAuthenticated, co oznacza, że każdy uwierzytelniony użytkownik otrzymuje license_info, w tym numery kont, ID subskrypcji, pool_id, SKU, poziom wsparcia i liczbę instancji. Brama superuser/auditor obejmuje tylko inne pola, nie license_info.

Widok JobJobEventsChildrenSummary nie ma modelu ani parent_model, co powoduje, że ModelAccessPermission.check_get_permissions() zwraca True dla każdego uwierzytelnionego użytkownika. Widok używa surowego get_object_or_404(Job, pk) bez sprawdzenia uprawnień na poziomie obiektu DRF, co pozwala użytkownikowi bez uprawnień odczytywać strukturę drzewa zdarzeń i enumerować ID zadań.

URLModificationMiddleware rozwiązuje nazwane URL-e względem nieprzefiltrowanego Model.objects przed RBAC. Shim 403→404 tylko przepisuje odpowiedzi 403, pozostawiając ścieżkę pk=0 z innym komunikatem 404. Różnica między "Not found." a "No <Model> matches..." ujawnia, czy nazwany zasób istnieje na platformie.

OpenBao to system zarządzania sekretami oparty na tożsamości. Przed wersją 2.6.0, ścieżka handleLogicalRecovery w http/logical.go porównywała token odzyskiwania o wysokich uprawnieniach ze zwykłym porównaniem równości łańcuchów. Zdalny nieuwierzytelniony atakujący, który może wysyłać powtarzane żądania trybu odzyskiwania i mierzyć czas odpowiedzi, może wywnioskować token odzyskiwania. Odzyskany token może następnie autoryzować operacje trybu odzyskiwania, które odczytują lub modyfikują dane OpenBao. Problem został naprawiony w wersji 2.6.0.

OpenBao przed wersją 2.6.0 ma podatność w vault/policy/acl.go, gdzie szerszy wildcard ACL może być oceniany przed bardziej specyficznymi ścieżkami z trailing-wildcard i capabilities = ["deny"] dla operacji LIST. Gdy ścieżka nadrzędna zezwalała na LIST, a podrzędna była zabroniona, można było listować zabronioną ścieżkę.

Jawn, parser JSON, w wersjach przed 1.7.0 pozwala na atak typu denial of service. AsyncParser wykonuje pracę kwadratową, gdy pojedynczy token JSON jest dostarczany w wielu małych fragmentach, ponieważ każde wywołanie absorb ponownie skanuje niekompletny token od początku. Zdalny atakujący kontrolujący dane wejściowe i rozmiary fragmentów może wyczerpać zasoby CPU.

Wire, biblioteka gRPC i protobuf dla Swift, w wersjach przed 6.4.1 i 7.0.0-alpha04 ma błąd w ProtoReader.skipGroup, który akceptuje ujemną długość dla pola LENGTH_DELIMITED wewnątrz nieznanego pola START_GROUP. Prowadzi to do nieodwracalnego zatrzymania procesu Swift podczas dekodowania niezaufanych danych protobuf, bez uwierzytelnienia i interakcji użytkownika.

Jawn, parser JSON, w wersjach przed 1.7.0 nie ogranicza głębokości zagnieżdżenia tablic i obiektów JSON. Zdalny atakujący może przesłać niezaufany JSON o ekstremalnym zagnieżdżeniu, wyczerpując stertę JVM i powodując błąd OutOfMemoryError, który nie jest obsługiwany przez scala.util.Try ani cats.effect.IO.

GoCD od wersji 20.2.0 do 26.1.0 ma podatność, gdzie wewnętrzne API struktury pipeline używane do autouzupełniania przy edycji konfiguracji zwraca tryb users-and-roles zwykłym uwierzytelnionym użytkownikom bez wymagania roli administratora. Użytkownik z niższymi uprawnieniami może enumerować nazwy użytkowników i role.

Ten CVE został odrzucony, ponieważ jest duplikatem innego CVE.

GoCD od wersji 20.2.0 do 26.1.0 ma podatność w wewnętrznym API autouzupełniania fetch-artifact w /go/api/internal/pipelines/**/upstream, które nie autoryzuje odpowiednio dostępu do danych o zależnościach upstream. Uwierzytelniony użytkownik może pobrać hierarchię zależności między pipeline'ami oraz nazwy referencji pluginów.

LimeSurvey Community Edition 7.0.14 niebezpiecznie koduje treści sterowane przez atakującego z przygotowanego pliku ankiety .lss podczas wyświetlania ostrzeżeń o imporcie, co prowadzi do XSS w interfejsie administracyjnym.

W bibliotece BusyBox TLS funkcja get_client_hello() odczytuje dane poza końcem bufora wejściowego podczas analizowania obciętej wiadomości ClientHello. Może to prowadzić do odczytu poza granicami bufora.

W BusyBox funkcja tokenize() używana przy przetwarzaniu passwd/group odwołuje się do nieaktualnego wskaźnika końca po przycięciu, co powoduje zapis poza granicami bufora wskaźników sterty. Może to prowadzić do uszkodzenia pamięci.

W BusyBox httpd hasła w formacie yescrypt ($y$) są traktowane jako zwykły tekst podczas uwierzytelniania Basic Authentication, co odwraca wynik sprawdzenia uwierzytelnienia. Może to pozwolić na nieautoryzowany dostęp.

W BusyBox funkcja dpkg read_package_field() wykracza poza terminator NUL przy przetwarzaniu zniekształconych pakietów .deb, powodując odczyt poza granicami sterty. Może to prowadzić do ujawnienia danych lub awarii.

W BusyBox httpd reguły odmowy dostępu oparte na adresach IP z nieprawidłową długością prefiksu CIDR zawodzą w sposób otwarty, pozostawiając maskę wyzerowaną, przez co reguła nie pasuje do żadnego klienta. Może to skutkować brakiem blokowania niepożądanych adresów.

Podatność na przechwycenie DLL w instalatorze FileMaker Pro dla systemu Windows umożliwiała lokalnemu użytkownikowi wykonanie dowolnego kodu z podwyższonymi uprawnieniami administratora poprzez umieszczenie złośliwego pliku DLL w katalogu instalatora. Podatność została naprawiona w wersji FileMaker Pro 26.0.3.

Podatność na obejście autoryzacji w silniku Web Publishing Engine serwera FileMaker Server umożliwiała żądaniom zawierającym rozszerzony nagłówek uprawnień ominięcie ustawienia wyłączającego Custom Web Publishing z XML i dostęp do interfejsu XML Web Publishing. Podatność została naprawiona w wersji FileMaker Server 26.0.3.

Podatność na odczyt poza zakresem w FileMaker Server dla systemu Linux umożliwiała atakującemu przesłanie specjalnie przygotowanego pliku obrazu do pola kontenera, co powodowało ujawnienie pamięci procesu podczas generowania miniatur w FileMaker WebDirect. Podatność została naprawiona w wersji FileMaker Server 26.0.3.