Katalog podatności CVE

Novu przed wersją 3.18.0 akceptuje adresy URL przekierowań z powiadomień bez walidacji schematu, umożliwiając użycie schematu javascript: w atrybucie redirect. Gdy odbiorca kliknie powiadomienie, kod JavaScript może wykonać się w kontekście aplikacji, potencjalnie ujawniając dane sesji.

Podatność w Apache Calcite Avatica pozwala na niebezpieczną refleksję, gdzie niekontrolowane dane wejściowe mogą prowadzić do inicjalizacji dowolnych klas. Może to skutkować wykonaniem statycznych bloków inicjalizacyjnych w klasach dostępnych w classpath. Wpływa na wersje przed 1.29.0.

AnyIO to framework asynchronicznej współbieżności i sieci działający na Trio lub asyncio. Przed wersją 4.14.2 funkcje connect_tcp() i TLSStream.wrap() mogą walidować zinternacjonalizowane nazwy hostów po konwersji przez bibliotekę standardową z użyciem IDNA 2003 zamiast IDNA 2008. Gdy połączenie z domeną nie-ASCII zostanie przejęte lub przekierowane, atakujący może uzyskać prawidłowy certyfikat dla innej nazwy hosta ASCII wygenerowanej przez IDNA 2003 i przedstawić go klientowi, co spowoduje walidację certyfikatu złośliwego punktu końcowego.

9Router to router AI i oszczędzacz tokenów. Przed wersją 0.5.6 wdrożenia 9Router, które pozwalają żądaniom dotrzeć do Next.js bez sanityzującego wrappera custom-server.js, ufają nagłówkowi X-9r-Real-Ip dostarczonemu przez klienta w src/dashboardGuard.js, gdy isLocalRequest decyduje, czy canAccessPublicLlmApi może pominąć walidację klucza API dla tras /api/v1/*. Zdalny nieuwierzytelniony atakujący może ustawić X-9r-Real-Ip na 127.0.0.1 i zostać sklasyfikowany jako klient lokalny, w tym na zweryfikowanej trasie GET /api/v1/models. Problem naprawiono w wersji 0.5.6.

W metodzie login() kontrolera UsersController w MISP zapytanie do bazy dla weryfikacji TOTP nie obejmowało kolumny User.disabled, przez co flaga wyłączonego konta nie była sprawdzana w tej gałęzi. Choć późniejsza walidacja identify() nadal odrzuca wyłączone konta, konto z TOTP może przejść do etapu weryfikacji kodu.

W MISP metoda __uploadLogo w OrganisationsController przetwarza podaną przez użytkownika ścieżkę tmp_name przed weryfikacją, czy to prawdziwy upload pliku. Uwierzytelniony administrator witryny może podać dowolną ścieżkę pliku, co pozwala na sprawdzenie istnienia plików i określenie typu obrazu na serwerze.

W MISP metoda __statisticsOrgs używa nazwy organizacji bezpośrednio jako części ścieżki pliku przy sprawdzaniu istnienia logo. Choć docelowy katalog nie istnieje, wzorzec stanowi podatność na path traversal, która mogłaby pozwolić na sprawdzenie istnienia dowolnych plików, gdyby katalog istniał.

Metoda findOrgImage w MISP buduje ścieżkę pliku z identyfikatora organizacji bez walidacji, co pozwala na path traversal. Uwierzytelniony użytkownik z możliwością tworzenia lub importowania zdarzeń może ustawić nazwę organizacji zawierającą sekwencje traversal, umożliwiając sprawdzenie istnienia dowolnych plików oraz odczyt plików z rozszerzeniami .png lub .svg.

MISP zawiera wadę autoryzacji w metodzie captureOrg modelu Organisation. Gdy parametr $force jest ustawiony na true, metoda bezwarunkowo nadpisuje pola metadanych organizacji bez weryfikacji uprawnień wywołującego użytkownika. Użytkownik z rolą edytora grupy udostępniania (SG) może wywołać tę ścieżkę kodu, co pozwala mu modyfikować metadane organizacji, które powinny być ograniczone do administratorów witryny lub użytkowników z uprawnieniami synchronizacji.

W MISP metoda EventReport::uploadPicture przetwarza dostarczone przez wywołującego pole tmp_name, wywołując na nim file_exists(), mime_content_type() i exif_imagetype() przed weryfikacją, czy wartość jest prawdziwym uploadem PHP przez is_uploaded_file(). Uwierzytelniony użytkownik z uprawnieniem perm_add może podać dowolną ścieżkę systemu plików jako tmp_name, a aplikacja bada tę ścieżkę i zwraca różne komunikaty błędów w zależności od istnienia pliku, typu MIME lub formatu obrazu. Obserwując różne odpowiedzi, atakujący może enumerować istnienie plików na serwerze MISP i określić ich typ.

MISP zawiera wadę kontroli dostępu w funkcjonalności EventReports. Akcja replaceSuggestionInReport, która umożliwia modyfikację treści sugestii w raporcie zdarzenia, została błędnie przypisana do dzikiej karty ('*') w ACLComponent, co czyni ją dostępną dla każdego uwierzytelnionego użytkownika niezależnie od przypisanych uprawnień. Wszystkie analogiczne akcje modyfikacji raportów wymagały uprawnienia perm_add, podczas gdy akcje tylko do odczytu, takie jak downloadAsPDF, używały dzikiej karty.

W MISP widok zdarzenia Overmind wzbogaca zdarzenie o jego najnowszy dołączony raport w celach podglądu. Logika wzbogacania pobierała raport używając tylko ID zdarzenia jako warunku wyszukiwania, bez uwzględniania własnych ograniczeń dystrybucji/ACL raportu. Ponieważ raporty MISP mają niezależne ustawienie dystrybucji, które może być bardziej restrykcyjne niż dystrybucja zdarzenia nadrzędnego, uwierzytelniony użytkownik z dostępem do odczytu zdarzenia mógł pobrać i wyświetlić raport, którego dystrybucja wykluczała tego użytkownika. Dodatkowo zapytanie nie filtrowało miękkich usunięć, umożliwiając pobranie raportów administracyjnie usuniętych.

Znaleziono podatność w mtrano APENCMS do wersji 6546096d354153309693efabb9a0d824628ed4f5. Dotkniętym elementem jest funkcja eval w pliku cms/weasel.php komponentu Template Engine. Manipulacja argumentem $_CMS['site'] prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Produkt wykorzystuje system ciągłego wydawania (rolling release), więc informacje o wersjach dotkniętych lub zaktualizowanych nie są ujawniane. Sprzedawca został skontaktowany wcześnie, ale nie odpowiedział.

W produkcie JosephChuks php-file-manager-with-code-editor do wersji 3.0 wykryto podatność. Dotyczy funkcji file_put_contents w pliku codeEditor.php komponentu Save Handler. Manipulacja argumentami filename/content prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział.

SGLang zawiera podatność na atak DoS spowodowaną brakiem walidacji danych wejściowych dla komunikatów kontrolnych AUX_DATA ZeroMQ w workerze Decode. Umożliwia to nieuwierzytelnionemu zdalnemu atakującemu z dostępem sieciowym do gniazda PULL kontroli Decode zakończenie wątku kontroli Decode i spowodowanie odmowy usługi na docelowym serwerze.

Wtyczka MarketKing dla WordPressa przed wersją 2.1.72 zawiera lukę braku autoryzacji w akcji AJAX marketking_get_page_content, która umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym dostęp do dowolnych stron panelu administratora sprzedawcy poprzez podanie dowolnego ID użytkownika sprzedawcy. Atakujący mogą ominąć kontrolę autoryzacji, przesyłając docelowe ID sprzedawcy w żądaniu, aby uzyskać dostęp do stron wypłat, raportów finansowych i treści pulpitu sprzedawcy należących do dowolnego sprzedawcy na rynku.

Środowisko uruchomieniowe generowania multimodalnego SGLang jest podatne na nieuwierzytelnione wykonanie dowolnego kodu, ponieważ orchestrator disaggregated-diffusion wiąże nieuwierzytelniony gniazdo ZeroMQ ROUTER z interfejsem sieciowym i przekazuje ostatnią ramkę odebranych wiadomości wieloczęściowych bezpośrednio do pickle.loads() przed jakąkolwiek walidacją.

W bibliotece FasterXML jackson-core metoda NumberInput.looksLikeValidNumber() używa wyrażeń regularnych do walidacji liczb w formie tekstowej. Z powodu nakładających się kwantyfikatorów w wyrażeniu PATTERN_FLOAT czas dopasowania rośnie kwadratowo wraz z długością danych wejściowych. Atakujący może przesłać odpowiednio długi łańcuch JSON, który zostanie poddany konwersji na typ liczbowy, powodując wyczerpanie wątków serwera.

Podatność typu niewłaściwe ograniczenie renderowanych warstw lub ramek UI w rozszerzeniu Fortinet FortiPAM Chrome Extension w wersjach 8.0 (wszystkie) oraz 7.4 (wszystkie). Może pozwolić atakującemu na ujawnienie informacji poprzez zdalny, nieuwierzytelniony atak.