Katalog podatności CVE

node-tar przed wersją 7.5.21 ma podatność w funkcji filesFilter w src/list.ts, która używa rekurencyjnej funkcji mapHas do przechodzenia ścieżki wpisu archiwum bez ograniczenia liczby segmentów. Specjalnie spreparowany nagłówek długiej ścieżki GNU L lub PAX x z tysiącami segmentów może spowodować nieprzechwytywalny błąd przepełnienia stosu RangeError, kończący działanie asynchronicznych i strumieniowych aplikacji Node.js. Problem naprawiono w wersji 7.5.21.

frp w wersjach od 0.53.0 do 0.70.1 ma podatność w opcjonalnej bramie SSH Tunnel Gateway w pkg/ssh/server.go, gdzie parsowanie żądania kanału exec dodaje 4 do kontrolowanej przez atakującego długości. Długość 0xFFFFFFFF powoduje zawinięcie dodawania uint32 do 3, co omija sprawdzenie granic i prowadzi do paniki w TunnelServer.handleNewChannel. Gdy brak pliku autoryzowanych kluczy, nieuwierzytelniony peer może dotrzeć do tej fazy przed sprawdzeniem tokena frp, a pojedyncze pięciobajtowe żądanie kończy proces frps i zrywa wszystkie aktywne tunele. Problem naprawiono w wersji 0.70.1.

Hub przed wersją 0.2.16 ma podatność, w której każde nieuwierzytelnione połączenie WebSocket wywołuje loadDefaultConnectionEventListeners, co prowadzi do wywołania requestClientId i wysłania żądania get-client-id, które dodaje wpis do RPC.requests. Funkcja RPC.waitForReply uruchamia pętlę setInterval co 10 milisekund, która jest czyszczona tylko po otrzymaniu odpowiedzi; jeśli klient pozostaje cichy i zamyka połączenie, licznik i oczekujące żądanie pozostają przydzielone. Powtarzane połączenia powodują nieograniczony wzrost liczników i wpisów w stercie, wyczerpując CPU i pamięć oraz czyniąc serwer niedostępnym. Problem naprawiono w wersji 0.2.16.

Rainbond do wersji 6.9.7 zawiera podatność związaną z uszkodzoną kontrolą dostępu w funkcji CheckToken, która pozwala uwierzytelnionym atakującym na dostęp do nieautoryzowanych zasobów przedsiębiorstwa poprzez podstawienie nazwy dzierżawcy innego przedsiębiorstwa w ścieżkach URL. Atakujący mogą użyć dowolnego ważnego tokena API, aby ominąć weryfikację identyfikatora przedsiębiorstwa i uzyskać dostęp lub modyfikować usługi, wtyczki, zmienne środowiskowe i certyfikaty innego przedsiębiorstwa.

Podatność w zapytaniach SQL w rozszerzeniu Flint w pluginie SQL OpenSearch pozwala zdalnemu uwierzytelnionemu aktorowi z dostępem do zapytań asynchronicznych na wykonanie dowolnego kodu na pracownikach Apache Spark poprzez wysłanie spreparowanego zapytania SQL do punktu końcowego bezpośredniego zapytania.

Hongjing e-HR zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym serwletu getSdutyTree, która pozwala zdalnym nieuwierzytelnionym atakującym na dostęp do chronionych zasobów poprzez podanie sekwencji path traversal w URI, aby ominąć filtr uwierzytelniania oauthservlet. Atakujący mogą wstrzykiwać ładunki SQL oparte na UNION przez niesanityzowany parametr codeitemid do zapytania Microsoft SQL Server, aby pobrać wrażliwe dane bazy danych, w tym poświadczenia użytkowników. Dowody wykorzystania zaobserwowano po raz pierwszy przez Shadowserver Foundation 2024-07-30 (UTC).

ASP-CMS zawiera podatność SQL injection w punkcie końcowym commentList.asp, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzykiwanie dowolnego SQL poprzez manipulowanie parametrem id w żądaniach GET do skryptu listy komentarzy. Atakujący mogą ominąć blokadę słów kluczowych aplikacji, przeplatając string 'master' w zablokowanych terminach SQL, aby wyodrębnić wrażliwe dane bazy danych. Dowody wykorzystania zaobserwowano po raz pierwszy przez Shadowserver Foundation 2023-10-18 (UTC).

W komponencie clusterclaims-controller w Multicluster Engine (MCE) znaleziono błąd. Uwierzytelniony najemca może wykorzystać tę podatność, manipulując etykietami ClusterClaim. Pozwala to najemcy na wymuszenie dołączenia klastra do ManagedClusterSet należącego do innego najemcy. Taki nieautoryzowany dostęp może umożliwić wstrzykiwanie polityk i obciążeń do klastrów innych najemców.

Podatność SSRF (Server-Side Request Forgery) w pobieraniu zasobów migracji omija mechanizm hostmatcher, umożliwiając odczyt wewnętrznych plików i metadanych chmury.

Podatność SQL injection w aplikacji księgowej Zalktis występuje przez pola tekstowe kontrolowane przez partnera handlowego w otrzymywanych fakturach elektronicznych. Podczas importowania otrzymanej e-faktury (UBL/PEPPOL) lub eksportu e-commerce, Zalktis łączy wartości kontrolowane przez partnera bezpośrednio z tekstem zapytania SQL, używając konkatenacji stringów, bez sparametryzowanych zapytań ani escapowania. Pomocnicza funkcja Dazadi.sql_txt() nie jest wywoływana w tych ścieżkach, więc strona wysyłająca fakturę może wyrwać się z literału stringa i zmienić logikę zapytania. Problem dotyczy wersji przed 2026.1.586 i przed 2026.2.592.

Ochrona gałęzi może zostać ominięta poprzez zmianę celu pull requesta, co pozwala zachować nieaktualną flagę zatwierdzenia `official`. Umożliwia to wprowadzanie zmian do chronionych gałęzi bez wymaganego zatwierdzenia.

Międzyrepozytoryjna podatność IDOR w usuwaniu zależności problemu (issue-dependency) pozwala atakującemu manipulować i komentować prywatne repozytoria, do których nie ma dostępu. Brakuje odpowiedniej autoryzacji na poziomie obiektu.

Podatność umożliwia manipulację widocznością repozytorium poprzez opcje push w Git. Atakujący może zmienić widoczność repozytorium (np. z prywatnego na publiczne) bez odpowiednich uprawnień.

Funkcja ParseAcceptLanguage w oprogramowaniu pośredniczącym Locale powoduje atak DoS o złożoności kwadratowej na nieuwierzytelnionych żądaniach. Wysyłanie specjalnie spreparowanych nagłówków Accept-Language może przeciążyć serwer.

Metadane prywatnego repozytorium pozostają dostępne po cofnięciu dostępu użytkownikowi. Oznacza to, że informacje o repozytorium (np. nazwa, opis) mogą być nadal widoczne dla osób, które utraciły uprawnienia.

Podatność powoduje wyciek listy członków prywatnej organizacji przez punkt końcowy /members API. Jest to niekompletna poprawka dla PR #38145.

Podatność w REST API ujawnia publicznie członkostwo w organizacjach prywatnych. Osoby nieuprawnione mogą uzyskać informacje o członkach prywatnych organizacji.

Podatność w zadaniach Actions dla pull requestów z forka umożliwia odczyt trzeciego prywatnego repozytorium poprzez gałąź collaborative-owner. Brakuje zabezpieczenia dla fork-PR.

W Gitea 1.26.2 znaleziono dwie podatności typu Server-Side Request Forgery (SSRF). Umożliwiają one atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.

Podatność w migracji repozytoriów pozwala na podążanie za przekierowaniami HTTP Git po walidacji URL (allow/block), co umożliwia eksfiltrację wewnętrznych repozytoriów Git.