Katalog podatności CVE

draw.io przed wersją 30.2.7 pomija porównanie stateToken i cookieToken w obsłudze callbacku OAuth, gdy IS_GAE ma wartość false, co dotyczy samodzielnie hostowanych wdrożeń Docker i WAR. Atakujący może dostarczyć kod autoryzacyjny dla swojej tożsamości w chmurze i nakłonić ofiarę do odwiedzenia adresu URL callbacku, powodując uwierzytelnienie sesji ofiary jako tożsamość atakującego.

draw.io przed wersją 30.2.7 w wdrożeniach z ENABLE_DRAWIO_PROXY=1 jest podatny na server-side request forgery, ponieważ sprawdzenie adresu prywatnego w Utils.sanitizeUrl() używa jednego rozwiązania DNS, a ProxyServlet.java później wywołuje URL.openConnection() i wykonuje drugie rozwiązanie. Nazwa hosta kontrolowana przez atakującego może rozwiązać się na adres publiczny podczas walidacji, a następnie na adres prywatny, link-local lub metadanych chmury przy otwieraniu połączenia.

W deepstream od wersji 10.1.0 do 10.1.1 plik src/services/permission/valve/rules-map.ts pomija RECORD_ACTION.PATCH_MULTI w RULES_MAP. Gdy uwierzytelniony użytkownik wyśle operację PATCH_MULTI, a permission.type ma wartość config, getRulesForMessage zwraca pustą specyfikację reguły, a ConfigPermission.canPerformAction traktuje brak specyfikacji jako bezwarunkowe zezwolenie zamiast zastosować RULE_TYPES.WRITE.

Fabio w wersjach od 1.6.6 do 1.7.2 nie chroni poprawnie konfigurowanych nagłówków przekazywanych (ClientIPHeader, TLSHeader, RequestID) przed usunięciem przez nieuwierzytelnionego klienta. Naprawa CVE-2025-48865 obejmuje tylko zestaw domyślnych nagłówków, co pozwala atakującemu manipulować tymi ważnymi nagłówkami przed backendem.

Dasel w wersjach od 3.0.0 do 3.11.2 ma błąd w tokenizerze, który przy selektorze kończącym się białym znakiem odczytuje poza zakresem tablicy, powodując panikę i zakończenie procesu. Dotyczy to również danych wejściowych przekazywanych przez Tokenize() lub dasel.Query.

W KubeEdge od wersji 1.12.0 do 1.21.2, 1.22.2 i 1.23.1 handler v1alpha2 NodeUpgradeJob w edge/pkg/taskmanager/actions/nodeupgradejob.go łączy kontrolowane przez uwierzytelnionego użytkownika wartości spec.version i spec.image z poleceniem powłoki keadm upgrade edge. Użytkownik z uprawnieniem do tworzenia lub aktualizacji zasobów NodeUpgradeJob może podać metaznaki powłoki w którymkolwiek z tych pól, powodując wykonanie dowolnych poleceń na docelowych węzłach brzegowych.

KubeEdge od wersji 1.0.0 do 1.21.2, 1.22.2 i 1.23.1 ma podatność na wyczerpanie pamięci. Czytanie wiadomości przez pkg/viaduct/pkg/packer ufa 32-bitowemu polu PayloadLen z CloudHub, przydzielając pamięć przed walidacją górnego limitu. Uwierzytelniony złośliwy lub skompromitowany węzeł brzegowy może wysyłać spreparowane nagłówki, powodując wyczerpanie pamięci, zakłócenia pracy CloudHub i przerwy w komunikacji.

Fluent Bit to szybki i lekki procesor logów, metryk i śladów dla Linuksa, BSD, macOS i Windows. Od wersji 0.11.0 do 5.0.8 funkcja secure_forward_pong w plugins/out_forward/forward.c kopiuje kontrolowany przez serwer powód PONG[2] do 32-bajtowego bufora stosu msg za pomocą memcpy bez sprawdzania typu i długości MessagePack. Atakujący kontrolujący lub podszywający się pod cel out_forward Secure Forward skonfigurowany z Shared_Key lub Empty_Shared_Key może wysłać zbyt duży powód podczas pierwszego uzgadniania i nadpisać dane kontrolne stosu. Wersje z ochroną stosu niezawodnie się kończą, natomiast wersje bez canary stosu lub z ujawnieniem mogą pozwolić na zdalne wykonanie kodu jako użytkownik procesu Fluent Bit. W trybie --supervisor respawny typu fork-only zachowują canary i układ adresów, umożliwiając powtarzalne próby crash-or-survive wspierające wykonanie kodu na wzmocnionej wersji; zwykłe restarty przez exec lub menedżer usług nie zachowują tego stanu. Problem naprawiono w wersji 5.0.8.

Dasel w wersjach od 3.0.0 do 3.11.1 nie ma limitu głębokości rekurencji przy przetwarzaniu zagnieżdżonych struktur JSON lub XML. Głęboko zagnieżdżone dane atakującego mogą wyczerpać stos gorutyny, powodując krytyczny błąd i zatrzymanie całego procesu.

draw.io przed wersją 30.2.5 umożliwia wykonanie skryptów JavaScript w kontekście aplikacji przez otwarcie spreparowanego pliku .drawio. Luka wykorzystuje brak kodowania HTML w etykietach tekstowych, co pozwala na obejście wcześniejszej poprawki CVE-2026-46642. Atakujący może przejąć dane diagramu, ciasteczka (nie-HttpOnly), a nawet wykonać akcje w imieniu ofiary.

Sterownik Intel SEDI IPM (drivers/ipm/ipm_sedi.c) nie sprawdza długości komunikatu odczytanej z rejestru doorbell przed skopiowaniem danych do bufora incoming_data_buf. Pole długości (10 bitów) pozwala na zapis do 1023 bajtów, podczas gdy bufor ma tylko 128 bajtów, a kontrola granic w HAL jest kompilowana tylko przy włączonym CONFIG_DEBUG. Prowadzi to do zapisu poza bufor w kontekście przerwania, co może uszkodzić struktury jądra i spowodować awarię systemu.

Eksperymentalny stos USB hosta w Zephyr zawiera podwójne zwolnienie pamięci (double free) w buforze deskryptora konfiguracji urządzenia USB. Na trzech ścieżkach błędów bufor jest zwalniany, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas sprzątania. Podatność może być wyzwolona przez złośliwe lub uszkodzone urządzenie USB.

Hatchet przed wersją 0.106.1 ma brak filtra dzierżawcy (tenant) w ścieżce gRPC WorkerStatus w pkg/repository/durable_events.go. Uwierzytelniony pracownik jednego dzierżawcy, znając identyfikator UUID zadania innego dzierżawcy, może odczytać odpowiadające rekordy dziennika zdarzeń, co prowadzi do naruszenia izolacji danych.

Mailu to serwer pocztowy dystrybuowany jako zestaw obrazów Docker. Od Mailu 2.0 do 2024.06.55 oraz przed Mailu helm-charts 2.7.3 wdrożenia z ustawionym PROXY_AUTH_WHITELIST, ale bez REAL_IP_HEADER, ufały kontrolowanemu przez klienta nagłówkowi X-Forwarded-By przy uwierzytelnianiu opartym na nagłówkach. Dyrektywa proxy_hide_header w szablonie nginx w core/nginx/conf/proxy.conf ukrywała nagłówek w odpowiedziach do upstreamu, ale nie nadpisywała przychodzącej wartości żądania w tej konfiguracji. Nieuwierzytelniony zdalny atakujący mógł więc podszyć się pod zaufaną tożsamość proxy i ominąć uwierzytelnianie. Problem naprawiono w Mailu 2024.06.55 i Mailu helm-charts 2.7.3.

Hatchet przed wersją 0.95.3 w handlerze strumienia V1 DurableTask zapisuje wartości task_external_id dostarczone przez workera w mapie routingu durableInvocations przed weryfikacją własności tenanta, a dostarczanie callbacków rozwiązuje tę mapę po UUID zadania bez tożsamości tenanta. Uwierzytelniony worker jednego tenanta, znający UUID zadania innego tenanta i utrzymujący otwarty strumień na tym samym procesie dyspozytora, może odebrać ładunek wyniku callbacku tego zadania.

W ntopng przed wersją 6.7.260717 endpointy skanowania podatności scripts/lua/rest/v2/add/host/to_scan.lua i scripts/lua/rest/v2/exec/host/schedule_vulnerability_scan.lua przyjmują parametr scan_ports bez kontroli uprawnień administratora i przepuszczają go przez validateSingleWord, który dopuszcza metaznaki powłoki. Parametr jest następnie łączony z poleceniem nmap i wykonywany przez ntop.execCmd lub ntop.execCmdAsync i popen.

Pole emoji w punkcie aktualizacji emoji strony nieprawidłowo waliduje dane wejściowe użytkownika. Poprzez wstrzyknięcie długiego tekstu i znaków nowej linii układ paska bocznego ulega zepsuciu i może ukrywać inne elementy.

Właściciele plików nie byli w stanie odblokować blokad typu TYPE_TOKEN nałożonych przez innych użytkowników, co powodowało trwałe zablokowanie plików bez możliwości odzyskania ich poza bazą danych. Podatność ta może być wykorzystana do trwałego zablokowania dostępu do danych.

Hatchet przed wersją 0.91.1 ma brak walidacji dzierżawcy w punkcie API GET /api/v1/stable/durable-tasks/{durable-task} w api-contracts/openapi/paths/v1/workflow-runs/workflow_run.yaml. Uwierzytelniony użytkownik, znając identyfikator UUID zadania innego dzierżawcy, może odczytać jego dziennik zdarzeń, w tym nazwy zadań, identyfikatory przepływów pracy, komunikaty użytkownika, warunki oczekiwania i logikę rozgałęzień.

W Hatchet przed wersją 0.91.1 funkcja ValidateOAuthState po udanym wywołaniu zwrotnym OAuth czyści wartość sesji oauth_state_ do pustego ciągu, a następnie akceptuje pusty parametr state jako równy. Umożliwia to nieuwierzytelnionemu atakującemu powiązanie sesji ofiary w Hatchet z kontrolowaną przez atakującego tożsamością OAuth.