Katalog podatności CVE

radare2 przed wersją 6.2.0 zawiera podatność w parserze Unicode plików binarnych property-list, która nie przydziela odpowiedniej ilości pamięci i nie gwarantuje zakończenia NUL. Uruchomienie komend pFB lub pFBj na nietworzonych danych może spowodować odczyt poza pamięcią, co prowadzi do ujawnienia niezainicjalizowanych lub sąsiednich danych w wyjściu JSON lub zakończenia procesu.

radare2 przed wersją 6.2.0 zawiera podatność w parserze metadanych Swift dla plików Mach-O, gdzie względny wskaźnik może być niższy niż baza sekcji, co prowadzi do ujemnego indeksu. Przy parsowaniu metadanych ze spreparowanego pliku, parser odczytuje cztery bajty przed buforem, co może powodować nieprawidłowe przetwarzanie lub zakończenie procesu.

Cloudreve przed wersją 4.18.0 ma brak middleware RequiredScopes(types.ScopeAdminWrite) na trasach narzędzi administracyjnych tool.GET("wopi") i tool.POST("mail"), które dziedziczą ScopeAdminRead. Aplikacja OAuth lub klucz API z uprawnieniami Admin.Read może sondować skonfigurowane usługi WOPI i wysyłać dowolne testowe e-maile przez konfigurację SMTP, przekraczając granice uprawnień tylko do odczytu.

changedetection.io do wersji 0.60.7 zawiera podatność path traversal w funkcji static_content w pliku changedetectionio/flask_app.py w komponencie Screenshot Handler. Manipulacja argumentem filename pozwala na zdalne przeprowadzenie ataku o wysokiej złożoności i trudnej eksploatacji. Exploit został opublikowany, ale producent nie odpowiedział na zgłoszenie.

changedetection.io do wersji 0.60.7 zawiera podatność polegającą na obserwowalnej różnicy czasowej w funkcji check_password w changedetectionio/flask_app.py w komponencie Hash Comparison. Atak może być przeprowadzony zdalnie, wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit został opublikowany, a producent nie odpowiedział.

W xxl-job do wersji 3.5.0 wykryto podatność w nieznanej funkcji pliku /jobgroup/insert. Manipulacja argumentem Name prowadzi do cross-site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.

W Joplin od wersji 1.4.0 do 3.7.2 plik katex.ts włącza opcję trust dla treści notatek, pozwalając autorowi notatki umieścić URL \href w renderowanym wyniku bez przechodzenia przez normalną listę dozwolonych URL. W systemie Windows kliknięcie linku wskazującego na kontrolowaną przez atakującego ścieżkę UNC powoduje, że pathExists() inicjuje uwierzytelnianie SMB i ujawnia odpowiedź NTLMv2 bieżącego użytkownika bez ostrzeżenia. Problem naprawiono w wersji 3.7.2.

W module Redis w Thinkst Canary OpenCanary 0.9.9 występuje podatność typu Denial-of-Service. Nieuwierzytelniony zdalny atakujący może spowodować nieograniczone zużycie pamięci.

W Warpgate ścieżka powrotu SSO response_mode=form_post w sso_provider_list.rs używa serde_json::to_string bez neutralizacji sekwencji zamykającej skrypt. Wartość może trafić do bloku script przez kontrolowany przez atakującego parametr next lub przez komunikaty błędów IdP konkatenowane bez kodowania URL. Ścieżka IdP jest osiągalna, gdy atakujący kontroluje skonfigurowanego dostawcę tożsamości lub kontroluje roszczenie email/username na swoim koncie. Ofiara musi ukończyć przepływ form_post SSO, aby wstrzyknięty znacznik został wyrenderowany. CSP Warpgate blokuje wstrzyknięty JavaScript, więc skutkiem jest podszywanie się pod treść, fałszywy formularz logowania lub meta refresh. Problem naprawiono w wersji 0.27.6.

draw.io przed wersją 30.2.7 w pliku ExportProxyServlet.java używa request.getPathInfo() do budowy proxyPath i dołącza go bezpośrednio do EXPORT_URL bez odrzucania segmentów kropkowych ani weryfikacji, że znormalizowany cel pozostaje w skonfigurowanej ścieżce eksportu. Nieuwierzytelnione żądanie z segmentami traversal może trafić do nieprzewidzianych tras wewnętrznego serwera eksportu, a serwlet przekazuje wszystkie nagłówki i treść żądania, umożliwiając wstrzyknięcie dowolnych nagłówków.

Hatchet przed wersją 0.95.3 w handlerze strumienia V1 DurableTask zapisuje wartości task_external_id dostarczone przez workera w mapie routingu durableInvocations przed weryfikacją własności tenanta, a dostarczanie callbacków rozwiązuje tę mapę po UUID zadania bez tożsamości tenanta. Uwierzytelniony worker jednego tenanta, znający UUID zadania innego tenanta i utrzymujący otwarty strumień na tym samym procesie dyspozytora, może odebrać ładunek wyniku callbacku tego zadania.

Pole emoji w punkcie aktualizacji emoji strony nieprawidłowo waliduje dane wejściowe użytkownika. Poprzez wstrzyknięcie długiego tekstu i znaków nowej linii układ paska bocznego ulega zepsuciu i może ukrywać inne elementy.

GoCD przed wersją 26.1.0 może zwracać niezamaskowane poświadczenia, które administratorzy zapisali w części userinfo adresów URL materiałów kontroli źródła, poprzez kilka API tylko do odczytu dostępnych dla zwykłych uwierzytelnionych użytkowników. Uwierzytelniony użytkownik z dostępem do dotkniętego pipeline'u może uzyskać poświadczenia osadzone w adresie URL materiału, natomiast dedykowane pola haseł pozostają zaszyfrowane i nie są ujawniane przez ten problem. Problem naprawiono w wersji 26.1.0.

GoCD od wersji 13.1.0 do 26.1.0 nie egzekwuje zamierzonej autoryzacji tylko dla administratora w punkcie /go/api/support/process_list. Uwierzytelniony użytkownik wewnętrzny może odpytać ten punkt, gdy działają procesy potomne kontroli źródła, i zobaczyć argumenty wiersza poleceń, nazwy użytkowników, zdalne adresy URL materiałów oraz wewnętrzne ścieżki materiałów, do których normalnie nie ma dostępu. Wykorzystanie zależy od nieprzewidywalnego czasu procesów, a poświadczenia, zmienne środowiskowe i sekrety zdefiniowane przez użytkownika pozostają zamaskowane lub pominięte. Problem naprawiono w wersji 26.1.0.

Podatność w usłudze Redis honeypota Thinkst Canary pozwala nieuwierzytelnionemu zdalnemu atakującemu przeprowadzić atak odmowy usługi (DoS) przeciwko honeypotowi. Podatność występuje tylko wtedy, gdy usługa Redis jest włączona; Canary nie jest dotknięty, jeśli Redis jest wyłączony. Thinkst rozwiązał problem na wszystkich obsługiwanych platformach, udostępniając nowe pliki aktualizacji (z wyjątkiem Docker, dla którego opublikowano nowy obraz) oraz obejścia dla klientów, którzy nie mogą zaktualizować.

Podatność w Hyve5 Leantime do wersji 3.9.8 dotyczy nieznanej funkcjonalności pliku /app/Domain/Dashboard/Templates/show.blade.php w komponencie Project Dashboard. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty. Wymagane jest uprawnienie "EDIT perm" do umieszczenia ładunku; atak działa na wszystkich użytkowników przeglądających pulpit projektu, ponieważ zatruta nazwa etykiety jest wyświetlana bez escapowania. Dostawca został wcześnie powiadomiony, ale nie odpowiedział.

W Hyve5 Leantime do wersji 3.9.8 wykryto lukę w funkcji getAllGrouped w pliku app/Domain/Tickets/Services/Tickets.php w komponencie Kanban Board. Manipulacja powoduje cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty. Nazwa poprawki: a30a6837b4071ac05a4f58d0e1baa2c62aa8695e. Zaleca się wdrożenie poprawki.

W Eclipse iceoryx2 w wersjach nowszych niż v0.8.0 StaticString udostępnia swoją zawartość jako mutowalne bajty poprzez bezpieczne API, podczas gdy String::as_str() konwertuje te bajty na wycinek stringa Rust bez walidacji UTF-8. Aplikacja może zatem utworzyć nieprawidłowy &str i wywołać niezdefiniowane zachowanie przy użyciu w pełni bezpiecznego Rusta.

W produkcie Omega Solution HRM OS w wersji do 20260717 wykryto podatność w nieznanej funkcji pliku /media/view/ w komponencie SVG File Upload. Manipulacja prowadzi do cross site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka WordPress To Do List Member w wersji do 1.6 nie posiada kontroli autoryzacji ani nonce w procedurze importu oraz nie waliduje lokalizacji, z której pobiera importowane dane. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie dowolnych opublikowanych wpisów i terminów taksonomii w witrynie.