Katalog podatności CVE

auth-fetch-mcp to serwer MCP, który pozwala asystentom AI pobierać treści z uwierzytelnionych stron internetowych. Wersja 3.0.1 implementuje ochronę SSRF w `assertSafeUrl()` (`src/security.ts`), aby blokować żądania do prywatnych adresów i adresów pętli zwrotnej. Jednak funkcja `isPrivateV6()` nie wykrywa adresów IPv4-mapped IPv6 loopback w ich znormalizowanej formie szesnastkowej. Gdy atakujący dostarczy URL taki jak `http://[::ffff:127.0.0.1]:PORT/`, parser URL WHATWG w Node.js po cichu normalizuje hosta do `[::ffff:7f00:1]`. Ponieważ `net.isIPv4('7f00:1')` zwraca `false`, kontrola adresów prywatnych jest pomijana i URL jest przekazywany do przeglądarki lub klienta HTTP, umożliwiając narzędziu MCP dotarcie do usług pętli zwrotnej, które powinny być zablokowane. Problem jest wykorzystywalny w domyślnej konfiguracji bez żadnych specjalnych zmiennych środowiskowych. Wersja 3.0.1 łata ten problem.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w motywach WordPress Samex - Clean, Minimal Shop WooCommerce oraz M.Anh - Fashion WooCommerce pozwala na odbity XSS. Problem dotyczy motywu Samex w wersjach do 2.5 włącznie oraz motywu M.Anh w wersjach do 1.7 włącznie.

Brak autoryzacji i obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie zarządzania produktami w Roskus Prospero Flow CRM przed wersją 5.4.7. Uwierzytelnieni użytkownicy dowolnej firmy mogą odczytać pełne wrażliwe dane (cenę, koszt, stan magazynowy, SKU i kod kreskowy) produktu innej firmy oraz przejąć ten produkt, przypisując mu własne company_id, poprzez numeryczny identyfikator produktu, ponieważ ProductUpdateController nie rozszerzał MainController i dlatego nie wymagał sprawdzenia uwierzytelnienia na punkcie końcowym odczytu, a ProductRepository::save() pobierał rekord przez Product::find($data['id']) bez ograniczania zapytania do firmy uwierzytelnionego użytkownika przed nadpisaniem jego company_id.

Żądanie bezpieczeństwa SMP (od urządzenia peryferyjnego) nie zawiera maksymalnego rozmiaru klucza szyfrowania obsługiwanego przez urządzenie. Użycie klucza o mniejszym rozmiarze niż maksymalny ułatwia złamanie klucza metodą brute-force. Patrz V6 w pracy BLERP, do której link znajduje się poniżej.

Ponowne parowanie z legalnym urządzeniem może używać niższego poziomu bezpieczeństwa niż poprzednio, co ułatwia złamanie LTK (długoterminowego klucza) metodą brute-force. Patrz V4 w pracy BLERP, do której link znajduje się poniżej.

Ponowne parowanie Bluetooth z istniejącym urządzeniem może używać niższego poziomu bezpieczeństwa. Dotyczy układów RS9116W i SiWx91x. Patrz V3 w pracy BLERP, do której link znajduje się poniżej.

Spoofing (podszywanie się) pod już sparowane urządzenie może zmusić układ RS9116W lub SiWx917 do ponownego parowania/wiązania z nieuczciwym urządzeniem. Patrz V1 w pracy BLERP, do której link znajduje się poniżej.

Podczas wewnętrznej oceny bezpieczeństwa zidentyfikowano podatność polegającą na niewłaściwym podążaniu za linkiem (improper link following) w Lenovo Vantage i Lenovo Commercial Vantage, która może pozwolić lokalnemu uwierzytelnionemu użytkownikowi na wykonanie kodu z podwyższonymi uprawnieniami.

Podatność w implementacji QUIC serwera OpenSSL pozwala zdalnemu atakującemu na nieograniczone przydzielanie pamięci przez wysyłanie pakietów Initial z nieznanymi identyfikatorami połączeń. Brak limitu oczekujących połączeń może doprowadzić do wyczerpania pamięci i odmowy usługi (DoS). Problem występuje od wersji OpenSSL 3.5.

Zgłoszono podatność polegającą na niewłaściwym podążaniu za linkiem (improper link following) w dodatku VantageCoreAddin dla Lenovo Vantage i Lenovo Commercial Vantage, która może pozwolić lokalnemu uwierzytelnionemu użytkownikowi na wykonanie dowolnego usunięcia pliku z podwyższonymi uprawnieniami.

Podatność na wstrzyknięcie SQL z uprawnieniami administratora w MailChimp For WooCommerce w wersjach starszych niż 6.2.

crmne/ruby_llm w commitcie fa6f279847d6d7027814539d9c0dfc3bbdfd2a83 zawiera warunek typu polynomial-time regular expression denial-of-service w RubyLLM::Utils.underscore na Ruby 3.1.x. Bardzo długa spreparowana nazwa klasy, agenta lub narzędzia może powodować nadmierne zużycie CPU i odmowę usługi.

Biblioteka amazing_print (commit dc890df) zawiera podatność na wstrzyknięcie kodu Ruby w metodzie AwesomeMethodArray#grep. Specjalnie nazwana metoda zawierająca składnię interpolacji Ruby może zostać wstawiona do dynamicznie konstruowanego stringa eval, gdy grep jest wywoływany z blokiem, co prowadzi do wykonania kodu Ruby w procesie hosta. Eksploatacja wymaga ścieżki aplikacji, która pozwala atakującemu wpływać na dynamiczne nazwy metod.

Wtyczka Gutenverse Companion w wersji 2.5.1 i wcześniejszych zawiera podatność na nieuwierzytelnione podrabianie żądań po stronie serwera (SSRF). Podatność ta pozwala atakującemu bez uwierzytelnienia wysyłać żądania z serwera do wewnętrznych zasobów.

Wtyczka Smart Online Order for Clover w wersji 1.6.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Wtyczka SureDash w wersji 1.10.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Wtyczka Colissimo Officiel : Méthodes de livraison pour WooCommerce w wersji 2.10.0 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Wtyczka Directories Pro w wersji 2.0.5 i wcześniejszych zawiera podatność na eskalację uprawnień użytkownika z rolą subskrybenta. Użytkownik o niskich uprawnieniach może podnieść swoje uprawnienia do wyższego poziomu.

Wtyczka Reviewer w wersji 3.14.2 i wcześniejszych zawiera podatność na wstrzyknięcie SQL (SQL Injection) dla użytkowników z rolą subskrybenta. Użytkownik o niskich uprawnieniach może wykonać złośliwe zapytania SQL do bazy danych.

Wtyczka Biagiotti Core w wersji 2.1.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Local File Inclusion (LFI). Atakujący bez logowania może odczytać dowolne pliki z serwera, takie jak pliki konfiguracyjne lub dane użytkowników.