Katalog podatności CVE

MISP zawiera niebezpieczną domyślną konfigurację, w której kontrola Security.check_sec_fetch_site_header jest wyłączona. To umożliwia atakującym zdalnym, nieautoryzowanym użytkownikom wysyłanie złośliwych żądań do punktów końcowych automatyzacji MISP w imieniu uwierzytelnionych użytkowników.

W MISP występuje podatność związana z nieprawidłową autoryzacją, która pozwala administratorowi organizacji na celowanie w konta administratorów serwisu w tej samej organizacji za pomocą funkcji e-mailowej. Kod ograniczał administratorów organizacji do użytkowników w ich własnej organizacji, ale nie wykluczał kont z rolą administratora serwisu z zapytań do odbiorców.

AgenticMail przed wersją 0.9.27 udostępniał transport HTTP bez warstwy uwierzytelniania, co pozwalało na bezpośrednie wywoływanie narzędzi przez zdalnego klienta. Problem ten został naprawiony w wersji 0.9.27.

Koel to darmowe, otwarte rozwiązanie do strumieniowania muzyki. W wersjach przed 9.3.5, Koel nie weryfikował poprawnie adresów URL odcinków podcastów, co umożliwiało ataki SSRF na wewnętrzne usługi.

Kitty to wieloplatformowy terminal oparty na GPU. W wersjach przed 0.47.0, program mogący zapisywać bajty do terminala kitty może spowodować wykonanie dostarczonego przez atakującego kodu Python w działającym procesie kitty z pełnymi uprawnieniami użytkownika.

W wersjach przed 0.47.0 terminala Kitty istnieje możliwość wstrzykiwania poleceń do subshella poprzez błąd Kitty. Specjalny kod ucieczki powoduje, że Kitty zwraca błąd, który nie jest odpowiednio zabezpieczony i jest poprawnie wyświetlany w terminalu, co pozwala na jego wykonanie przez używaną powłokę.

W aplikacji Zoom Workplace przed wersją 7.0.4 dla Androida i przed 7.0.3 dla iOS występuje niewłaściwa autoryzacja w obsłudze niestandardowego schematu URL, co może pozwolić nieautoryzowanemu użytkownikowi na eskalację uprawnień poprzez dostęp do sieci.

Podatność w aplikacji Zoom Workplace dla systemów Android (przed wersją 7.0.4) i iOS (przed wersją 7.0.3) wynika z nieprawidłowej autoryzacji w obsłudze niestandardowego schematu URL. Umożliwia ona nieuwierzytelnionemu atakującemu eskalację uprawnień poprzez dostęp sieciowy.

API platformy Naxclow, które zwraca szczegóły rejestracji przekaźników urządzeń, ujawnia trwałe poświadczenia bez weryfikacji, czy żądający jest rzeczywistym urządzeniem lub właścicielem. Osoba mogąca przedstawić ważny podpis żądania platformy może uzyskać poświadczenia dla dowolnych urządzeń i zarejestrować się na przekaźniku jako to urządzenie.

Urządzenia Naxclow wykorzystują stałe poświadczenie relacyjne, które nie jest rotowane i jest ponownie wydawane urządzeniu przy każdym uruchomieniu. Poświadczenie to pozostaje ważne na zawsze i nie może być zresetowane ani unieważnione przez prawowitego właściciela.

Parse Server przed wersjami 8.6.77 i 9.9.1-alpha.1 jest podatny na atak, w którym nieautoryzowany użytkownik może wysłać złośliwe żądanie HTTP, co prowadzi do nadmiernego zużycia CPU na serwerze.

W platformie Naxclow występuje luka w procesie onboardingu, która pozwala atakującemu na powtórzenie sekwencji potwierdzenia i przypisania, co umożliwia cichą zmianę przypisania urządzenia do dowolnego konta.

W Moby, w wersjach przed 2.0.0-beta.14 oraz w Docker Engine przed 29.5.1, występuje warunkowa rywalizacja podczas konfiguracji montowania, co pozwala złośliwemu kontenerowi na przekierowanie celu montowania do dowolnej ścieżki na hoście. Może to prowadzić do nadpisania plików na hoście lub do odmowy usługi.

Biblioteka form-data przed wersjami 2.5.6, 3.0.5 i 4.0.6 nie koduje znaków CR, LF i cudzysłowu w nazwach pól i opcjach filename, co pozwala na wstrzyknięcie nagłówków lub przemycenie dodatkowych części multipart. Atak wymaga, aby aplikacja przekazywała niezaufane dane jako nazwę pola.

Nieprawidłowe zarządzanie aktualizacjami rozmiaru dynamicznej tabeli HPACK w bibliotece AWS Common Runtime aws-c-http może umożliwić zdalnemu atakującemu działającemu na serwerze spowodowanie uszkodzenia pamięci w aplikacji klienckiej, co potencjalnie prowadzi do wykonania dowolnego kodu.

W aplikacji Zoom Contact Center dla systemu Windows przed wersją 7.0.0 stwierdzono niewystarczającą weryfikację autentyczności danych w funkcji zdalnego sterowania. Może to pozwolić uwierzytelnionemu użytkownikowi na eskalację uprawnień poprzez lokalny dostęp.

Podatność w serwerze MariaDB pozwala użytkownikowi z wysokimi uprawnieniami na wykonanie poleceń powłoki poprzez zmienne systemowe wsrep_sst_receive_address lub wsrep_sst_donor. Problem dotyczy wersji od 10.6.1 do 10.6.27, 10.11.1 do 10.11.18, 11.4.1 do 11.4.12, 11.8.1 do 11.8.8 oraz 12.3.1.

Podatność w MariaDB pozwala złośliwemu węzłowi dołączającemu (joiner) na wykonanie dowolnych poleceń powłoki na węźle źródłowym (donor) podczas procesu SST (State Snapshot Transfer) z użyciem metody rsync. Problem wynika z braku odpowiedniej walidacji parametrów przesyłanych przez joiner, które są interpolowane do linii poleceń po stronie donora.

Wersje Acrobat Reader 24.001.30365, 26.001.21651 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Typesense, silnik wyszukiwania tolerujący błędy, ma podatność na nieautoryzowany atak typu denial-of-service w punkcie końcowym /multi_search przed wersjami 29.1 i 30.2. Specjalnie przygotowane żądanie może spowodować nieobsługiwaną wyjątek, co prowadzi do zakończenia procesu serwera.