Katalog podatności CVE

Biblioteka AsyncHttpClient (AHC) w wersjach od 2.1.0 do 2.16.1 oraz 3.0.12 może ujawnić poświadczenia uwierzytelnionego proxy SOCKS serwerowi docelowemu. Nagłówek Proxy-Authorization jest dołączany bez potwierdzenia, że żądanie jest wysyłane do proxy HTTP, co przy preemptive authentication ujawnia dane logowania w jawnym tekście, a przy domyślnym przepływie złośliwy origin może wymusić przesłanie poświadczeń NTLM, Kerberos lub SPNEGO przez tunel SOCKS.

Biblioteka AsyncHttpClient (AHC) umożliwia aplikacjom Java łatwe wykonywanie żądań HTTP i asynchroniczne przetwarzanie odpowiedzi HTTP. Od wersji 3.0.8 do 3.0.12, klient z ustawionym maxConnections lub maxConnectionsPerHost powyżej zera wycieka jeden permit połączenia, gdy ustanowienie połączenia TLS nie powiedzie się przed zakończeniem uzgadniania. NettyConnectListener usuwa permit partitionKeyLock z NettyResponseFuture przed każdą ścieżką błędu, która jest powiązana z closeFuture kanału, więc przerwanie może pozostawić permit niezwolniony. Powtarzające się błędy mogą trwale zablokować jeden host przy limicie per-host lub wyczerpać wspólną pulę przy limicie globalnym, blokując późniejsze żądania nawet gdy żadne połączenie nie pozostaje otwarte. Domyślne ustawienie nieograniczonej liczby połączeń nie jest dotknięte. Problem został naprawiony w wersji 3.0.12.

Biblioteka AsyncHttpClient (AHC) umożliwia aplikacjom Java łatwe wykonywanie żądań HTTP i asynchroniczne przetwarzanie odpowiedzi HTTP. Od wersji 2.14.5 do 2.16.0 oraz od 3.0.9 do 3.0.11, klient skonfigurowany z globalnym Realm i podążaniem za przekierowaniami może ujawnić poświadczenia po przekierowaniu między domenami, ponieważ ścieżka uwierzytelniania Interceptors wraca do konfiguracji klienta po tym, jak obsługa przekierowań wyczyści realm dla bieżącej wymiany. Jeśli cel kontrolowany przez atakującego zwróci 401, klient może wysłać poświadczenia Basic lub Digest lub token Negotiate lub NTLM do tego źródła. Realm dla poszczególnych żądań są usuwane poprawnie, a ten problem jest resztkowym obejściem wcześniejszych poprawek usuwających poświadczenia między domenami. Problem został naprawiony w wersjach 2.16.1 i 3.0.12.

Biblioteka ExifReader przed wersją 4.41.1 podczas parsowania plików HEIC lub AVIF ISO-BMFF ufa wartościom itemCount i extentCount z pola iloc, alokując obiekt extent w każdej iteracji zagnieżdżonej pętli. Gdy offsetSize, lengthSize, baseOffsetSize i indexSize wynoszą zero, pola nie zużywają bajtów wejściowych, a parser może zaalokować itemCount pomnożone przez extentCount obiektów bez limitu, powodując wyczerpanie pamięci i zatrzymanie procesu Node.js.

Steeltoe to projekt open source dostarczający zestaw bibliotek pomagających użytkownikom w budowaniu aplikacji natywnych dla chmury. Przed wersją 4.3.0, wdrożenia Steeltoe.Security.Authorization.Certificate korzystające z AddOrgAndSpacePolicies() i UseCertificateAuthorization() ufają publicznemu certyfikatowi dostarczonemu w nagłówku X-Client-Cert bez dowodu posiadania odpowiadającego klucza prywatnego. Typowe routery Cloud Foundry nie usuwają tego nagłówka z przychodzących żądań. Gdy przychodzące żądania nie są ograniczone do znanego zaufanego adresu IP proxy, atakujący, który uzyska publiczny certyfikat instancji aplikacji w docelowej organizacji lub przestrzeni i może dotrzeć do aplikacji, może sfałszować X-Client-Cert, aby ominąć polityki SameOrg i SameSpace na okres ważności certyfikatu. Problem został naprawiony w wersji 4.3.0.

Steeltoe w wersjach od 4.0.0 do 4.3.0 w ConsulDiscoveryClient tworzy obiekty ConsulServiceInstance, parsując metadane secure z rejestracji przy użyciu ścisłej konwersji logicznej. Podmiot mogący zarejestrować usługę w Consul może podać wartość inną niż true lub false, co powoduje wyjątek przerywający budowanie całej listy instancji i czyni docelową usługę niewykrywalną, a przy GetAllInstancesAsync może przerwać wyliczanie wszystkich usług.

Steeltoe w wersjach od 4.0.0 do 4.3.0 w EurekaDiscoveryClient deserializuje odpowiedź rejestru jako jedną całość, więc nierozpoznany actionType lub status, niebędące wartością logiczną isCoordinatingDiscoveryServer albo nienumeryczny timestamp mogą przerwać całą odpowiedź. Podmiot mogący zarejestrować lub zaktualizować instancję może spowodować, że wszystkie połączone klienty Steeltoe otrzymają pustą lub nieaktualną listę instancji.

b2evolution CMS w wersjach od 6.7.8 do 7.2.5 zawiera niekompletną poprawkę CVE-2016-8901, w której sprawdzenie obiektu tablicy serializowanej w param_check_serialized_array() nie odrzuca ładunków z ujemnymi kluczami całkowitymi tablicy. Nieuwierzytelniony atakujący może przesłać spreparowane serializowane obiekty PHP przez żądania POST do htsrv/call_plugin.php, omijając walidację i docierając do unserialize(), co może umożliwić wykonanie kodu przy istnieniu odpowiednich łańcuchów POP.

Wykryto usterkę w libxml2. Lokalny użytkownik lub atakujący dostarczający specjalnie spreparowany katalog XML może wywołać dereferencję wskaźnika NULL podczas parsowania katalogu XML. Dzieje się tak, gdy element `nextCatalog` nie ma wymaganego atrybutu `catalog`, co prowadzi do awarii aplikacji i powoduje Denial of Service (DoS).

Aplikacja Mattermost Desktop w wersjach <=6.2 6.2.2.0 nie waliduje schematu URL podczas sprawdzania, czy docelowy adres jest wewnętrzny dla połączonego serwera. Atakujący z pozycji sieciowej może załadować okno wyskakujące wtyczki przez niezabezpieczone połączenie za pomocą linku z obniżonym schematem URL. Identyfikator poradnika: MMSA-2026-00717.

W bibliotece Steeltoe przed wersją 4.3.0 endpoint /actuator/httpexchanges maskuje jedynie informacje o użytkowniku w URI, ale nie sprawdza ciągów zapytań. Gdy włączona jest opcja IncludeQueryString, odpowiedź może ujawnić tokeny OAuth, tokeny resetowania hasła, sygnatury URL, klucze API i inne sekrety z wcześniejszego ruchu. Dodatkowo logger DEBUG tego endpointu również zapisuje te URI, tworząc drugi kanał wycieku.

Umbraco przed wersjami 13.15.1, 17.5.3 i 18.0.2 w Content Delivery API stosuje sprawdzenia członkostwa i Public Access tylko do bezpośrednio żądanego węzła, a nie do węzłów referencyjnych serializowanych przez właściwości Content Picker lub Multi-Node Tree Picker, w tym zagnieżdżonych w Block List, Block Grid lub Rich Text Editor. Gdy DeliveryApi:PublicAccess jest włączone, anonimowy wywołujący może uzyskać nazwę, trasę i identyfikator chronionego węzła przez niezabezpieczony węzeł referencyjny i użyć ?expand, aby pobrać pełne wartości właściwości.

Konektor MariaDB Connector/J w wersjach przed 2.7.14, 3.3.5, 3.4.3 i 3.5.9 nie wymusza opcji allowLocalInfile=false podczas przetwarzania pakietu LOCAL INFILE. Złośliwy lub man-in-the-middle serwer może spowodować przesłanie pliku wybranego przez aplikację, mimo wyłączonej opcji. Luka została naprawiona w wersjach 2.7.14, 3.3.5, 3.4.3 i 3.5.9.

Dell Server Update Utility w wersjach przed 26.07.01 zawiera podatność typu Uncontrolled Search Path Element. Nisko uprzywilejowany atakujący z dostępem lokalnym może potencjalnie wykorzystać tę podatność, prowadząc do wykonania kodu.

Aplikacja Mattermost Desktop w wersjach <=6.2 6.2.2.0 nie waliduje nadawcy IPC w obsłudze leaveCall, co pozwala złośliwemu lub skompromitowanemu serwerowi Mattermost (lub użytkownikowi z dostępem do skryptu w widoku połączonego serwera) na rozłączenie aktywnego połączenia należącego do innego serwera poprzez komunikat IPC desktopAPI.leaveCall. Identyfikator poradnika: MMSA-2026-00699.

Biblioteka roxmltree do wersji 0.21.1 wykonuje walidację atrybutów i przestrzeni nazw w czasie kwadratowym podczas parsowania XML, bez limitu liczby atrybutów. Atakujący może przygotować dokument XML z dziesiątkami tysięcy atrybutów w jednym elemencie, aby zużyć nadmierny czas procesora i spowodować odmowę usługi.

SiYuan przed wersją 3.8.4 renderuje tytuły dokumentów jako HTML w drzewie backlinków bez escapowania znaków znaczników. Atakujący może ustawić złośliwe tytuły przez API zmiany nazwy lub spreparowane notatniki, aby wykonać skrypty w rendererze Electron z dostępem do child_process i wykonaniem poleceń.

SiYuan w wersjach przed 3.8.4 nie escapuje etykiet zakładek importowanych z plików notatnika podczas renderowania ich w drzewie dock. Atakujący może przygotować złośliwe pliki .sy z nieescapowanym HTML w atrybutach zakładek, co prowadzi do wykonania skryptów w rendererze Electron z dostępem do child_process.

HUBzero CMS do wersji 2.2.32 przyjmuje identyfikatory sesji z ciągów zapytań i zmiennych żądania zamiast wyłącznie z ciasteczek, co pozwala nieuwierzytelnionym atakującym na utrwalenie sesji ofiary. Atakujący może uzyskać prawidłowy identyfikator sesji, wysłać ofierze spreparowany link i użyć go po zalogowaniu się ofiary, przejmując jej konto.

InternLM LMDeploy do wersji 0.17.0 w trybie rozdzielenia prefill/decode DistServe nie zwalnia sesji schedulera, ponieważ proxy używa identyfikatorów sesji widocznych dla użytkownika zamiast wewnętrznych kluczy schedulera. Nieuwierzytelnieni atakujący mogą wysyłać żądania ukończenia do endpointu proxy, co kumuluje niezwolnione metadane i pamięć aż do zabicia workera prefill przez brak pamięci.