Katalog podatności CVE

Mistune przed wersją 3.3.0 zawiera podatność na cross-site scripting (XSS) w dyrektywie Include, która emituje zawartość dołączonych plików .html, .xhtml lub .htm jako surowe tokeny block_html. Atakujący, który może umieścić plik HTML czytelny dla renderera, może odwołać się do niego poprzez dyrektywę include, w połączeniu z path traversal, aby wykonać zapisane skrypty, gdy escape=False jest ustawione.

libmongocrypt buduje żądania do zewnętrznych usług zarządzania kluczami (AWS, Azure i GCP), wstawiając wartości z dokumentów key vault, konfiguracji dostawcy KMS i odpowiedzi KMS do linii żądań, nagłówków i podpisanych ciał żądań bez ich walidacji lub kodowania dla każdego kontekstu. Użytkownik z prawem zapisu do kolekcji key vault może zmienić strukturę tych żądań, w tym dodać elementy do ciał żądań i roszczenia tokenów, które biblioteka następnie podpisuje poświadczeniami aplikacji. Może to spowodować wykonanie operacji zarządzania kluczami z parametrami, których aplikacja nie zamierzała użyć.

Wada konwersji typu numerycznego w bibliotece obsługi BSON sterownika MongoDB C# pozwala na obejście kontroli integralności elementów binarnych poprzez dostarczenie wartości podtypu binarnego spoza zakresu z niezaufanego wejścia tekstowego. Gdy taka wartość jest później kodowana, jest zawężana do mniejszej reprezentacji sieciowej, tworząc elementy binarne, które błędnie deklarują swój typ lub długość. Nieuwierzytelniona strona mogąca dostarczyć tekst parsowany przez dotkniętą aplikację może spowodować emitowanie i utrwalenie zniekształconych danych binarnych, które kolejni czytelnicy albo odrzucą z błędem, albo po cichu zinterpretują jako krótsze niż zweryfikowane dane.

Komponent konstrukcji schematu szyfrowania po stronie klienta w sterowniku MongoDB C# umieszcza identyfikatory pól dostarczone przez wywołującego w pozycji interpretowanej jako wyrażenie wzorca, bez ich normalizacji lub walidacji. W rezultacie aplikacja, która wyznacza某些 pola do szyfrowania na poziomie pola po stronie klienta, może mieć ochronę, która po cichu nie zostanie zastosowana, więc dane przeznaczone do zaszyfrowania są przechowywane i zwracane w postaci jawnej; odwrotnie, reguła może być zastosowana szerzej niż zamierzono. Żadne działanie użytkownika nie jest wymagane do wywołania tego stanu, a każda strona z zwykłym dostępem do odczytu przechowywanych danych — bez posiadania kluczy szyfrujących — może zaobserwować niechronione wartości.

Słabość neutralizacji logiki zapytań danych w komponencie konstrukcji instrukcji aktualizacji sterownika MongoDB C# może spowodować, że wartości dostarczone przez aplikację będą interpretowane jako logika zapytań/aktualizacji, a nie jako dane literalne. Użytkownik aplikacji, który może wpływać na treść wartości przekazywanych przez aplikację do dotkniętego interfejsu budującego, bez żadnych specjalnych uprawnień poza zwykłym dostępem do odczytu i zapisu aplikacji, może spowodować modyfikację lub usunięcie przechowywanych danych w sposób, którego aplikacja nigdy nie zamierzała. Rezultatem jest nieautoryzowany wpływ na integralność danych dotkniętej aplikacji; nie ma bezpośredniej utraty poufności lub dostępności usługi bazy danych.

Słabość obsługi pamięci w komponencie deserializacji BSON sterownika MongoDB C# może spowodować zwrócenie danych pozostałych z wcześniej przetworzonej zawartości podczas parsowania specjalnie spreparowanego wejścia serializowanego. Nieuwierzytelniona strona mogąca dostarczyć dane serializowane do aplikacji, która mapuje某些 prymitywne typy kolekcji, może spowodować ujawnienie resztkowych bajtów z niepowiązanych danych przetworzonych wcześniej w tym samym wątku wykonania jako prawidłowych wartości. Może to skutkować ujawnieniem ograniczonej ilości informacji należących do innych żądań lub podmiotów aplikacji konsumującej. Wymagane jest uwierzytelnienie lub specjalne uprawnienia w aplikacji.

Wada w obsłudze szyfrowania po stronie klienta sterownika MongoDB .NET/C# może spowodować zapisanie danych przeznaczonych do szyfrowania na poziomie pola po stronie klienta bez szyfrowania. W pewnych konfiguracjach kodowania tekstu platformy wewnętrzna konwersja nazw traci informacje, więc warstwa szyfrowania nie kojarzy operacji z skonfigurowanymi regułami szyfrowania i operacja przebiega bez zgłoszenia błędu. Użytkownik aplikacji z możliwością zapisu danych przez dotkniętą aplikację może zatem mieć wrażliwe pola utrwalone w postaci jawnej, co niweczy gwarancję poufności, którą szyfrowanie po stronie klienta ma zapewnić. Nie zaobserwowano wpływu na integralność lub dostępność.

Sterownik MongoDB C# porównuje certyfikaty klienta TLS tylko według wystawcy i numeru seryjnego przy decydowaniu, czy dwóch klientów może współdzielić buforowane połączenia. W aplikacji, która tworzy klientów z certyfikatów dostarczonych przez różnych użytkowników, użytkownik, który dostarczy certyfikat kopiujący wystawcę i numer seryjny innego użytkownika, bez jego klucza prywatnego, może otrzymać połączenia uwierzytelnione certyfikatem innego użytkownika. Operacje na bazie danych mogą następnie być wykonywane pod tożsamością innego użytkownika, wpływając na poufność i integralność danych, do których ta tożsamość ma dostęp.

Sterownik MongoDB C# nie odrzuca dokumentów zamiennych, których nazwy pól najwyższego poziomu zaczynają się od znaku dolara w FindOneAndReplace, w przeciwieństwie do innych operacji zamiany. Aplikacja, która buduje taki dokument z nazw pól dostarczonych przez użytkownika, może spowodować, że serwer zastosuje operatory aktualizacji zamiast pełnej zamiany. Efekt jest ograniczony do dokumentu dopasowanego przez filtr własny aplikacji, którego zawartość może zostać zmodyfikowana w sposób, którego aplikacja nie zamierzała.

W bibliotece MongoDB C# Driver występuje błąd walidacji danych w obsłudze BSON i ścieżce serializacji binarnej. Gdy aplikacja tworzy surowy lub leniwy dokument BSON z danych binarnych dostarczonych z zewnątrz, sterownik nie weryfikuje, czy zadeklarowany rozmiar danych zgadza się z rzeczywistą ilością dostarczonych danych, i kopiuje je bez zmian. Nieuwierzytelniona strona mogąca dostarczyć treść binarną może wstawić lub usunąć elementy w poleceniu bazy danych bez własnych poświadczeń.

W kodzie uwierzytelniania Kerberos/SSPI (tylko Windows) sterownika MongoDB C Driver występuje przepełnienie 32-bitowej liczby całkowitej, które może spowodować alokację zbyt małego bufora sterty przy zbyt długiej wartości poświadczeń w konfiguracji połączenia klienta. Strona kontrolująca konfigurację klienta może spowodować zapis poza granicami bufora. Może to uszkodzić pamięć procesu klienta i doprowadzić do odmowy usługi aplikacji klienta.

Biblioteka BSON w MongoDB C# Driver zawiera słabość niekontrolowanego zużycia zasobów podczas deserializacji jednego typu wartości BSON. Aplikacja deserializująca niezaufaną treść zatrzymuje dane pochodne przez cały czas życia procesu bez limitu. Zdalna nieuwierzytelniona strona może wywołać nieograniczony wzrost pamięci i wyczerpać dostępną pamięć aplikacji, powodując odmowę usługi.

MongoDB C# Driver zapisuje dodatkowe elementy GeoJSON bez sprawdzania, czy ich nazwy kolidują z zarezerwowanymi elementami GeoJSON, takimi jak type i coordinates. Aplikacja umieszczająca nazwy pól dostarczone przez użytkownika w tych dodatkowych elementach może zapisać dokumenty z zduplikowanymi polami geometrii, przez co serwer i sterownik zwracają różne wartości dla tego samego rekordu. Dotknięte rekordy mogą stać się nieczytelne przez sterownik.

SmileCDR HAPI FHIR nieprawidłowo sprawdza autoryzację dla warunkowych akcji tworzenia. Użytkownik posiadający uprawnienie CREATE, ale nie READ, może przesłać warunkowe utworzenie, którego predykat pasuje do istniejącego zasobu, i otrzymać zawartość docelowego zasobu.

W localstack w wersji 4.9.2 występuje podatność typu reflected cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki użytkownika za pomocą spreparowanego adresu URL.

ast-cli pobiera dwa binarne pliki pomocnicze (Vorpal ASCA i SCA Resolver) z download.checkmarx.com w ramach automatycznej aktualizacji, wywoływanej przez rozszerzenia VSCode/JetBrains oraz cx scan sca-realtime. Przed poprawką pobrane archiwum nie było weryfikowane sumą kontrolną przed rozpakowaniem i wykonaniem. Atakujący mogący podmienić serwowane archiwum mógł dostarczyć dowolny binarny plik, który ast-cli rozpakowywał i wykonywał.

Niekompletna walidacja ścieżek wpisów rozpakowywanego archiwum w logice ekstrakcji tar w ast-cli na Linux i macOS (używanej przy instalacji Vorpal ASCA i SCA Resolver) pozwala złośliwemu archiwum tar z wpisami o ścieżkach absolutnych lub traversal zapisywać pliki poza katalogiem instalacji. Kompilacje Windows nie były dotknięte, ponieważ ekstraktor Windows wykonuje tę walidację ścieżek.

CloudPirates Open Source Helm Charts to kolekcja wykresów Helm. Przed commitem 271d415 workflow pull_request_target jest podatny na zatruwanie pamięci podręcznej i kradzież tokenów OIDC. Workflow pull_request_target sprawdza kod forka przy użyciu github.event.pull_request.head.sha lub .head.ref, co daje kodowi kontrolowanemu przez atakującego dostęp do sekretów i tokenów repozytorium bazowego. Workflow zapisuje do współdzielonej pamięci podręcznej Actions, a kolejny workflow wydania przywraca z tego samego zakresu, pozwalając zatrutemu wpisowi wykonać się podczas wydania.

fpdf2 to biblioteka do tworzenia PDF w Pythonie. Od wersji 2.5.0 do 2.8.8 metoda SVGObject.build_xref() przekazuje zagnieżdżone referencje SVG <use> do GraphicsContext.add_item(), którego domyślne zachowanie clone=True głęboko kopiuje całe drzewo grafiki podczas przetwarzania FPDF.image(). Powtarzanie referencji na każdym poziomie zagnieżdżenia powoduje wykładniczy wzrost liczby obiektów w pamięci i pracy przetwarzania, pozwalając małemu SVG kontrolowanemu przez użytkownika zużyć nadmierne CPU i pamięć, wywołać MemoryError, przerwać zadania generowania PDF i wyczerpać zdolność workerów. ResourceAccessPolicy nie zapobiega problemowi, ponieważ referencje są wbudowane i nie wymagają zewnętrznych zasobów.

Biblioteka fpdf2 przed wersją 2.8.8 automatycznie pobiera obrazy z adresów HTTP(S) oraz ścieżek lokalnych podanych przez atakującego, m.in. przez FPDF.image(), FPDF.write_html() oraz pola szablonów. Może to powodować wychodzące żądania do wybranych przez atakującego usług wewnętrznych lub zewnętrznych oraz próby otwarcia plików lokalnych.