Katalog podatności CVE

Next AI Draw.io do wersji 0.4.16 zawiera podatność na atak typu server-side request forgery (SSRF) w punkcie końcowym POST /api/parse-url z powodu walidacji nazwy hosta, która sprawdza tylko wzorce ciągów bez rozwiązywania DNS. Nieuwierzytelnieni atakujący mogą podać nazwy hostów, które omijają walidację ciągów, ale rozwiązują się na adresy wewnętrzne, co pozwala im dotrzeć do dowolnych wewnętrznych usług HTTP i eksfiltrować odpowiedzi, w tym metadane chmury.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić lokalnemu atakującemu na uzyskanie podwyższonych uprawnień z powodu niewłaściwego zarządzania uprawnieniami.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi i modyfikację metadanych uwierzytelniania z powodu przepełnienia bufora.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na ominięcie ograniczeń bezpieczeństwa z powodu niewłaściwej walidacji tożsamości zgłaszanej przez klienta.

js-yaml to parser i serializator YAML w JavaScript. Od wersji 5.0.0 do 5.2.2, parsowanie małego dokumentu YAML może zająć wykładniczy czas, gdy aplikacja wywołuje load() lub loadAll() na niezaufanych danych. W src/parser/parser.ts, readFlowCollection używa restoreState i wywołuje parseNode drugi raz, gdy wpis sekwencji przepływowej jest rozpoznawany jako para klucz: wartość. Jeśli klucz jest zagnieżdżoną sekwencją przepływową o tym samym kształcie, każdy poziom jest parsowany dwukrotnie, co powoduje pracę O(2^n) i pozwala wejściu poniżej 200 bajtów zająć jeden rdzeń CPU na minuty, blokować pętlę zdarzeń Node.js i zatrzymać proces. Nie są wymagane kotwice, aliasy, scalenia, tagi ani niestandardowe opcje. Problem naprawiono w wersji 5.2.2.

fast-xml-parser w wersjach od 5.9.3 do 5.10.1 ma podatność związaną z przetwarzaniem wielu deklaracji DOCTYPE w jednym dokumencie XML. Funkcja addInputEntities() resetuje limity ekspansji encji przy każdym wywołaniu, co pozwala na obejście zabezpieczeń i może prowadzić do nadmiernego użycia CPU, zablokowania pętli zdarzeń, wyczerpania pamięci i zakończenia procesu. Problem został naprawiony w wersji 5.10.1.

py-libp2p w wersji 0.7.0 i wcześniejszych ma podatność w metodzie handle_incoming() w yamux, która odczytuje długość ramki DATA kontrolowaną przez atakującego przed walidacją. Przeciwnik po ukończeniu standardowego uzgadniania Noise może wysłać ramkę z długością 0xFFFFFFFF i wstrzymać wysyłanie treści, co blokuje pętlę odczytu yamux i uniemożliwia postęp na wszystkich strumieniach połączenia. Brak dostępnej wersji naprawionej w momencie przeglądu.

node-tar przed wersją 7.5.21 ma podatność w funkcji filesFilter w src/list.ts, która używa rekurencyjnej funkcji mapHas do przechodzenia ścieżki wpisu archiwum bez ograniczenia liczby segmentów. Specjalnie spreparowany nagłówek długiej ścieżki GNU L lub PAX x z tysiącami segmentów może spowodować nieprzechwytywalny błąd przepełnienia stosu RangeError, kończący działanie asynchronicznych i strumieniowych aplikacji Node.js. Problem naprawiono w wersji 7.5.21.

frp w wersjach od 0.53.0 do 0.70.1 ma podatność w opcjonalnej bramie SSH Tunnel Gateway w pkg/ssh/server.go, gdzie parsowanie żądania kanału exec dodaje 4 do kontrolowanej przez atakującego długości. Długość 0xFFFFFFFF powoduje zawinięcie dodawania uint32 do 3, co omija sprawdzenie granic i prowadzi do paniki w TunnelServer.handleNewChannel. Gdy brak pliku autoryzowanych kluczy, nieuwierzytelniony peer może dotrzeć do tej fazy przed sprawdzeniem tokena frp, a pojedyncze pięciobajtowe żądanie kończy proces frps i zrywa wszystkie aktywne tunele. Problem naprawiono w wersji 0.70.1.

Hub przed wersją 0.2.16 ma podatność, w której każde nieuwierzytelnione połączenie WebSocket wywołuje loadDefaultConnectionEventListeners, co prowadzi do wywołania requestClientId i wysłania żądania get-client-id, które dodaje wpis do RPC.requests. Funkcja RPC.waitForReply uruchamia pętlę setInterval co 10 milisekund, która jest czyszczona tylko po otrzymaniu odpowiedzi; jeśli klient pozostaje cichy i zamyka połączenie, licznik i oczekujące żądanie pozostają przydzielone. Powtarzane połączenia powodują nieograniczony wzrost liczników i wpisów w stercie, wyczerpując CPU i pamięć oraz czyniąc serwer niedostępnym. Problem naprawiono w wersji 0.2.16.

Rainbond do wersji 6.9.7 zawiera podatność związaną z uszkodzoną kontrolą dostępu w funkcji CheckToken, która pozwala uwierzytelnionym atakującym na dostęp do nieautoryzowanych zasobów przedsiębiorstwa poprzez podstawienie nazwy dzierżawcy innego przedsiębiorstwa w ścieżkach URL. Atakujący mogą użyć dowolnego ważnego tokena API, aby ominąć weryfikację identyfikatora przedsiębiorstwa i uzyskać dostęp lub modyfikować usługi, wtyczki, zmienne środowiskowe i certyfikaty innego przedsiębiorstwa.

Podatność w zapytaniach SQL w rozszerzeniu Flint w pluginie SQL OpenSearch pozwala zdalnemu uwierzytelnionemu aktorowi z dostępem do zapytań asynchronicznych na wykonanie dowolnego kodu na pracownikach Apache Spark poprzez wysłanie spreparowanego zapytania SQL do punktu końcowego bezpośredniego zapytania.

Hongjing e-HR zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym serwletu getSdutyTree, która pozwala zdalnym nieuwierzytelnionym atakującym na dostęp do chronionych zasobów poprzez podanie sekwencji path traversal w URI, aby ominąć filtr uwierzytelniania oauthservlet. Atakujący mogą wstrzykiwać ładunki SQL oparte na UNION przez niesanityzowany parametr codeitemid do zapytania Microsoft SQL Server, aby pobrać wrażliwe dane bazy danych, w tym poświadczenia użytkowników. Dowody wykorzystania zaobserwowano po raz pierwszy przez Shadowserver Foundation 2024-07-30 (UTC).

ASP-CMS zawiera podatność SQL injection w punkcie końcowym commentList.asp, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzykiwanie dowolnego SQL poprzez manipulowanie parametrem id w żądaniach GET do skryptu listy komentarzy. Atakujący mogą ominąć blokadę słów kluczowych aplikacji, przeplatając string 'master' w zablokowanych terminach SQL, aby wyodrębnić wrażliwe dane bazy danych. Dowody wykorzystania zaobserwowano po raz pierwszy przez Shadowserver Foundation 2023-10-18 (UTC).

W komponencie clusterclaims-controller w Multicluster Engine (MCE) znaleziono błąd. Uwierzytelniony najemca może wykorzystać tę podatność, manipulując etykietami ClusterClaim. Pozwala to najemcy na wymuszenie dołączenia klastra do ManagedClusterSet należącego do innego najemcy. Taki nieautoryzowany dostęp może umożliwić wstrzykiwanie polityk i obciążeń do klastrów innych najemców.

Podatność SSRF (Server-Side Request Forgery) w pobieraniu zasobów migracji omija mechanizm hostmatcher, umożliwiając odczyt wewnętrznych plików i metadanych chmury.

Podatność SQL injection w aplikacji księgowej Zalktis występuje przez pola tekstowe kontrolowane przez partnera handlowego w otrzymywanych fakturach elektronicznych. Podczas importowania otrzymanej e-faktury (UBL/PEPPOL) lub eksportu e-commerce, Zalktis łączy wartości kontrolowane przez partnera bezpośrednio z tekstem zapytania SQL, używając konkatenacji stringów, bez sparametryzowanych zapytań ani escapowania. Pomocnicza funkcja Dazadi.sql_txt() nie jest wywoływana w tych ścieżkach, więc strona wysyłająca fakturę może wyrwać się z literału stringa i zmienić logikę zapytania. Problem dotyczy wersji przed 2026.1.586 i przed 2026.2.592.

Ochrona gałęzi może zostać ominięta poprzez zmianę celu pull requesta, co pozwala zachować nieaktualną flagę zatwierdzenia `official`. Umożliwia to wprowadzanie zmian do chronionych gałęzi bez wymaganego zatwierdzenia.

Międzyrepozytoryjna podatność IDOR w usuwaniu zależności problemu (issue-dependency) pozwala atakującemu manipulować i komentować prywatne repozytoria, do których nie ma dostępu. Brakuje odpowiedniej autoryzacji na poziomie obiektu.

Podatność umożliwia manipulację widocznością repozytorium poprzez opcje push w Git. Atakujący może zmienić widoczność repozytorium (np. z prywatnego na publiczne) bez odpowiednich uprawnień.