Katalog podatności CVE

Joplin Server przed wersją 3.7.2 ma podatność w trasie GET /items/:id/content, która ładuje treść elementu na podstawie wewnętrznego ID serwera dostarczonego przez atakującego, bez sprawdzania, czy zalogowany użytkownik jest właścicielem lub ma dostęp do tego elementu. Każdy uwierzytelniony użytkownik, który uzyska lub zgadnie ID elementu innego użytkownika, może odczytać odpowiednią notatkę lub treść elementu, jeśli nie jest chroniona szyfrowaniem end-to-end. Problem naprawiono w wersji 3.7.2.

Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, przekazuje HTML wygenerowany przez vendored fountain.js do notatek bez sanityzacji. Złośliwy blok kodu Fountain może wykonać skrypt, gdy renderowanie Fountain jest włączone w klientach desktopowych lub mobilnych, lub gdy notatka jest publikowana przez Joplin Server, gdzie renderowanie Fountain jest domyślnie włączone.

Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, akceptuje zsynchronizowane metadane zasobów, których id lub file_extension zawiera znaki ścieżki nadrzędnej lub separatory ścieżek. Podczas synchronizacji w tle, ResourceFetcher zapisuje zasób kontrolowany przez atakującego poza katalogiem zasobów, co pozwala na tworzenie lub nadpisywanie plików w wybranej przez atakującego istniejącej ścieżce.

Joplin Desktop dla Windows w wersjach przed 3.7.2 pomija pole publisherName w pliku packages/app-desktop/package.json, przez co generowany plik app-update.yml powoduje, że NsisUpdater.verifySignature() nie porównuje podpisu Authenticode pobranej aktualizacji z podpisem Joplin. Atakujący kontrolujący ścieżkę dostarczania aktualizacji może podmienić metadane i instalator, a klient zaakceptuje instalator podpisany przez innego wydawcę lub niepodpisany po zatwierdzeniu instalacji przez użytkownika. Luka została naprawiona w wersji 3.7.2.

W Joplin od wersji 1.4.0 do 3.7.2 plik katex.ts włącza opcję trust dla treści notatek, pozwalając autorowi notatki umieścić URL \href w renderowanym wyniku bez przechodzenia przez normalną listę dozwolonych URL. W systemie Windows kliknięcie linku wskazującego na kontrolowaną przez atakującego ścieżkę UNC powoduje, że pathExists() inicjuje uwierzytelnianie SMB i ujawnia odpowiedź NTLMv2 bieżącego użytkownika bez ostrzeżenia. Problem naprawiono w wersji 3.7.2.

Joplin to open-source'owa aplikacja do notatek i zadań organizująca notatki w notatniki. Przed wersją 3.7.2 endpoint GET /api/login_with_code/:id serwera Joplin Server akceptuje dziewięciocyfrowy kod uwierzytelniania SSO o dziesięciominutowym czasie życia bez stosowania limiterLoginBruteForce. Nieuwierzytelniony atakujący, który obrał użytkownika podczas aktywnego logowania SSO, może wykonać nieograniczoną liczbę prób, a poprawny kod zwraca pełny token sesji umożliwiający dostęp i modyfikację notatek, notatników i ustawień konta użytkownika.

W module Redis w Thinkst Canary OpenCanary 0.9.9 występuje podatność typu Denial-of-Service. Nieuwierzytelniony zdalny atakujący może spowodować nieograniczone zużycie pamięci.

Dell Inventory Collector Client w wersjach przed 15.0.0 zawiera podatność typu Unquoted Search Path or Element. Nisko uprzywilejowany atakujący z dostępem lokalnym może potencjalnie wykorzystać tę podatność, prowadząc do wykonania kodu i podniesienia uprawnień.

Stencil core 4.43.5 zawiera podatność DOM-based cross-site scripting (XSS) w komponencie runtime. Gdy aplikacja korzysta z eksperymentalnej opcji slot fixes i używa komponentów scoped, przypisanie ciągu znaków do właściwości textContent elementu hosta powoduje, że wartość jest interpretowana jako HTML zamiast tekstu. Jeśli aplikacja zapisuje dane kontrolowane przez atakującego do tych elementów, dane mogą być interpretowane jako znaczniki i skrypt może wykonać się w kontekście pochodzenia aplikacji.

Stencil core 4.43.5 jest podatny na nieprawidłową kontrolę dostępu.

web2py 3.2.2-stable (commit a7330a2bf21219fa77860b6665de927dd4f98e6d) jest podatny na Directory Traversal w funkcjach read_file()/write_file() (applications/admin/controllers/webservices.py).

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — mechanizm HTTP RBAC akceptuje poprawne pod względem RFC nieprzezroczyste bajty nagłówka, ale ocenia wartości safe_regex z semantyką podmiotu UTF-8 w RE2. Klient niższego szczebla może zachować zabroniony znacznik i dodać niepowiązany oktet obs-text, powodując, że RE2::FullMatch zwraca false, a polityka negatywna RBAC traktuje nieprawidłowy podmiot jako zwykły brak dopasowania. Dopasowywacz tras zorientowany na bajty może nadal zaobserwować znacznik, co pozwala żądaniu dotrzeć do trasy, która powinna być zablokowana. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 kopiuje każdą zdekodowaną wartość nagłówka Host HTTP/2 przed jej odrzuceniem, gdy :authority jest już obecne. Odrzucona wartość omija saveHeader, więc jej bajty i liczba nie są wliczane do limitów nagłówków żądania. Nieuwierzytelniony klient może użyć indeksowania HPACK, aby przesłać wiele odwołań do dużej wartości Host w ograniczonej liczbie strumieni, wymuszając ekstremalną alokację kopii nagłówków i doprowadzając do zabicia proxy przez OOM. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1 ma podatność w ścieżkach Utility::copyInternetAddressAndPort oraz QUIC client-address, które rekonstruują adresy IPv6 ze scopem. Ciąg zawiera identyfikator zakresu (percent scope), którego inet_pton nie może sparsować, co powoduje wyjątek lub przerwanie działania. Wdrożenia transparent-proxy z ORIGINAL_DST oraz dotknięte ścieżki QUIC mogą zakończyć proces. Problem naprawiono w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 przekazuje dane dla skonfigurowanej aktualizacji HTTP innej niż WebSocket, zanim serwer nadrzędny zaakceptuje aktualizację. Nieuwierzytelniony klient HTTP/2 może umieścić kompletne żądanie HTTP/1.1 w danych rozszerzonego CONNECT; Envoy degraduje żądanie, zapisuje dane bez ramkowania do utrzymującego połączenie serwera nadrzędnego HTTP/1.1 i zwraca gniazdo do współdzielonej puli, podczas gdy przemycona odpowiedź pozostaje w kolejce. Inny klient niższego szczebla może następnie otrzymać odpowiedź atakującego. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — filtr ext_authz zakłada, że żądanie zawiera pseudoheader :path podczas stosowania query_parameters_to_set lub query_parameters_to_remove z odpowiedzi autoryzacyjnej. Żądanie CONNECT bez ścieżki powoduje, że request_headers_->Path() zwraca null, a Filter::onComplete dereferencjonuje ten wskaźnik podczas parsowania ciągu zapytania. Nieuwierzytelniony klient niższego szczebla może spowodować awarię procesu Envoy, gdy filtr i odpowiedź autoryzacyjna używają modyfikacji parametrów zapytania. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — punkt końcowy administracyjny /stats?format=html używa StatsHtmlRender, który sanityzuje wartości statystyk tekstowych, ale emituje nazwy statystyk bez kodowania HTML. Komponent płaszczyzny danych, taki jak grpc_stats z włączonym stats_for_all_methods, może włączyć kontrolowane przez atakującego segmenty ścieżki do buforowanych dynamicznych nazw statystyk. Gdy operator wyświetla stronę statystyk HTML, zapisana nazwa może wykonać skrypt w kontekście interfejsu administracyjnego i wysłać uprzywilejowane żądania tego samego pochodzenia. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — opcjonalny kodek HTTP/2 dla serwera nadrzędnego oghttp2 akceptuje ramkę nagłówków traylera odpowiedzi HEADERS bez END_STREAM. Envoy kończy i odracza usunięcie ActiveRequest, podczas gdy oghttp2 utrzymuje strumień otwarty, pozostawiając ClientStreamImpl z wiszącym odwołaniem response_decoder_. Późniejsza ramka w strumieniu może wywołać zwolniony obiekt i spowodować awarię procesu. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — HttpDatagramHandler buforuje bieżący RequestDecoder, gdy włączony jest Capsule Protocol. Odtworzenie strumienia, w tym przekierowanie wewnętrzne, zastępuje ActiveStream i aktualizuje EnvoyQuicServerStream, ale nie aktualizuje buforowanego wskaźnika handlera. Kolejny datagram HTTP/3 może wywołać decodeData przez zwolniony dekoder, powodując nieprawidłowe wywołanie wirtualne i awarię procesu. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.

Supabase Realtime przed wersją 2.111.2 ma podatność w autoryzacji, która nie honoruje poprawnie polityki bezpieczeństwa na poziomie wierszy (RLS) presence.read dla rozszerzenia, gdy klient kanału prywatnego ma przyznane presence.write, ale jawnie odmówione presence.read. W takiej sytuacji klient może otrzymywać wiadomości presence_diff zawierające metadane obecności innych członków, w tym lokalizację, status online, listę, oglądanie lub informacje o pisaniu. Wdrożenia z jednolitą widocznością obecności nie mają tej różnicy, a dane postgres_changes nie są dotknięte. Problem naprawiono w wersji 2.111.2.