Katalog podatności CVE

W frameworku DIRAC w wersjach przed 8.0.79, 9.0.22 i 9.1.10 funkcja checkDataset w FileCatalogHandler.py przekazuje kontrolowaną przez uwierzytelnionego użytkownika wartość datasets do __checkDataset w DatasetManager.py, gdzie datasetName jest wstawiany do zapytania SQL FC_MetaDatasets bez parametryzacji. Wstrzyknięta kwerenda może kontrolować wartość MetaQuery, która jest przekazywana do eval w Pythonie, co umożliwia wykonanie poleceń.

W repozytorium githubtoplanguages workflow .github/workflows/discord-issue.yml interpoluje tytuł zgłoszenia (github.event.issue.title) bezpośrednio do przypisania zmiennej Bash ISSUE_TITLE przed parsowaniem przez powłokę. Tytuł zawierający składnię podstawiania poleceń powłoki może wykonać polecenia na runnerze GitHub Actions, co może pozwolić na manipulację powiadomieniami bota lub ujawnienie sekretu webhooka Discord. Problem naprawiono w commicie 6bf9c3a9cb66c937b9047ca266b3d02f2bb11027.

W mcp-searxng przed wersją 1.7.1 funkcja web_url_read przyjmuje kontrolowany przez wywołującego URL i waliduje jedynie literalną nazwę hosta w assertUrlAllowed() przed wykonaniem rozwiązywania DNS przez undiciFetch(). Publicznie wyglądająca nazwa hosta kontrolowana przez atakującego, która rozwiązuje się do adresu prywatnego, loopback, link-local lub cloud-metadata, przechodzi kontrolę leksykalną i powoduje połączenie serwera MCP z wewnętrznym celem. W domyślnej konfiguracji HTTP nieuwierzytelniony klient sieciowy może odczytywać wewnętrzne usługi, ujawniać poświadczenia lub tokeny oraz enumerować osiągalne hosty wewnętrzne. Problem naprawiono w wersji 1.7.1.

W mcp-searxng przed wersją 1.7.1 funkcja web_url_read przekazuje URL dostarczony przez wywołującego do readUrlContent(), gdzie checkContentLength() traktuje brak nagłówka Content-Length jako niekonkluzyjny preflight, a następnie ścieżki normalna i błędów pobierają całe ciało odpowiedzi przez response.text(). Serwer pomijający Content-Length może obejść limit URL_READ_MAX_CONTENT_LENGTH_BYTES i wymusić nieograniczone zużycie pamięci, a wynikowy ciąg jest przetwarzany przez NodeHtmlMarkdown.translate(), zwiększając zużycie CPU. Nieuwierzytelniony klient HTTP może wywołać odmowę usługi. Problem naprawiono w wersji 1.7.1.

MCPVault to lekki serwer Model Context Protocol do bezpiecznego dostępu do plików w skarbcu Obsidian. W wersjach przed 0.11.5 PathFilter w src/pathfilter.ts używa wzorców deny-list zakotwiczonych w katalogu głównym, przez co zagnieżdżone segmenty ścieżek .git, .obsidian i node_modules nie pasują do ograniczeń i przechodzą przez isAllowed() oraz isAllowedForListing(). Atakujący mogący wpłynąć na ścieżkę wybraną przez agenta AI może odczytać zdalne adresy URL lub osadzone tokeny albo zanieczyścić indeks listAllTags.

W MCPVault przed wersją 0.11.4 PathFilter w src/pathfilter.ts kompiluje wzorce katalogów zastrzeżonych z uwzględnieniem wielkości liter i porównuje ścieżki bez kanonizacji równoważnych nazw segmentów. W systemach plików macOS i Windows niewrażliwych na wielkość liter warianty wielkości liter .git, .obsidian lub node_modules przechodzą zarówno isAllowed(), jak i isAllowedForListing(), mimo że system operacyjny otwiera zastrzeżony katalog; końcowe kropki lub spacje w Windows dają ten sam obejście. Atakujący mogący wpłynąć na ścieżkę wybraną przez agenta AI może ujawnić lub zmodyfikować wrażliwe metadane repozytorium i Obsidian. Problem naprawiono w wersji 0.11.4.

Shopper to headlessowy panel administracyjny e-commerce. W wersjach przed 2.9.0 interfejs administracyjny /cpanel/discounts akceptuje ujemne wartości rabatu fixed_amount, zapisuje je w sh_discounts i przekazuje przez DiscountCalculator.php oraz Calculate.php bez wymuszenia dodatniej wartości. Ponieważ obliczenia odejmują discountTotal od sumy częściowej, ujemny rabat zwiększa końcową wartość zamówienia zamiast ją zmniejszać.

Shopper to headlessowy panel administracyjny e-commerce. W wersjach przed 2.9.2 wcześniejsza zmiana wzmacniająca podformularz produktu pozostawiła metodę store() w Media.php bez sprawdzenia autoryzacji edit_products używanego przez inne podformularze. Uwierzytelniony pracownik z uprawnieniem browse_products może wywołać akcję Livewire store i zastąpić miniaturę oraz obrazy galerii produktu, którego komponent Media został zainicjowany, nawet bez uprawnienia do edycji produktu.

W Shopper przed wersją 2.9.2 plik packages/admin/src/Livewire/Components/Products/VariantStock.php udostępnia stockAction() bez autoryzacji edit_product_variants i pozostawia public $variant mutowalnym po stronie klienta, ponieważ brakuje atrybutu Livewire Locked. Każdy uwierzytelniony użytkownik panelu administracyjnego, w tym personel z uprawnieniem tylko browse_products, może wybrać dowolny wariant produktu i lokalizację magazynu poprzez stan komponentu, a następnie przesłać dodatnią lub ujemną korektę ilości. Pozwala to personelowi z uprawnieniem tylko przeglądania zawyżać stany magazynowe, zmniejszać je lub wymuszać stany wyprzedania dla wariantów spoza bieżącej strony. Problem naprawiono w wersji 2.9.2.

W Shopper przed wersją 2.9.2 akcje grupowe groupedBulkActions w plikach packages/admin/src/Livewire/Pages/Attribute/Browse.php, Tag/Index.php, Brand/Index.php, Category/Index.php i Supplier/Index.php pomijają autoryzację po stronie serwera, podczas gdy strony wymagają jedynie uprawnień browse_attributes, browse_tags, browse_brands, browse_categories lub browse_suppliers. Użytkownik personelu z uprawnieniem tylko przeglądania może wywołać DeleteBulkAction, aby masowo usuwać atrybuty lub tagi, oraz BulkAction::make('enabled') lub BulkAction::make('disabled'), aby zmieniać widoczność atrybutów, marek, kategorii lub dostawców. Operacje te mogą zepsuć warianty produktów i poważnie zakłócić widoczność katalogu sklepu. Problem naprawiono w wersji 2.9.2.

W Shopper przed wersją 2.9.2 plik packages/admin/src/Livewire/Components/Collection/CollectionProducts.php udostępnia Action::make('delete') i DeleteBulkAction::make() bez autoryzacji delete_collections, a public Collection $collection pozostaje mutowalny po stronie klienta, ponieważ brakuje atrybutu Livewire Locked. Uwierzytelniony użytkownik personelu z uprawnieniem tylko browse_collections może wywołać akcję usuwania Livewire, podstawić dowolny identyfikator kolekcji i odłączyć wybrane produkty lub opróżnić kolekcję. Może to zakłócić działanie stron docelowych katalogu i promocji powiązanych z docelową kolekcją. Problem naprawiono w wersji 2.9.2.

canto-saas-api to biblioteka PHP do komunikacji z API Canto SaaS. W wersjach przed 3.0.0 metoda OAuth2Request::getQueryParams() umieszcza app_id, app_secret, refresh_token i code w ciągu zapytania URL żądań POST tokenu, co pozwala logom dostępu, logom proxy i śladom APM przechowywać poświadczenia w postaci jawnej. Gdy żądanie tokenu zawiedzie, OAuth2::obtainAccessToken() przekazuje URI żądania Guzzle zawierające poświadczenia do AuthorizationFailedException, więc logi aplikacji i trackery błędów mogą zapisać te same sekrety.

canto-saas-api to biblioteka PHP do komunikacji z API Canto SaaS. W wersjach przed 3.0.0 metoda Request::buildRequestUrl() łączy wartości zwracane przez Request::getPathVariables() bez kodowania poszczególnych segmentów ścieżki, w tym wartości scheme i contentId używanych przez GetContentDetailsRequest. Gdy aplikacja używająca biblioteki dostarczy niezaufaną wartość zmiennej ścieżki, sekwencje przejścia ścieżki, separatory zapytania lub fragmentu mogą zmienić docelowy punkt końcowy przed dołączeniem tokenu uwierzytelniającego przez AbstractEndpoint::sendRequest().

Strimzi umożliwia uruchamianie klastra Apache Kafka na Kubernetes lub OpenShift w różnych konfiguracjach. W Strimzi 1.0.0 i wcześniejszych wdrożenie tylko Topic Operator lub tylko User Operator przez zasób niestandardowy Kafka pozostawia konto usługi Entity Operator z uprawnieniami RBAC dla obu komponentów. Nadmiarowe uprawnienia mogą pozwolić na dostęp do zasobów niestandardowych KafkaUser i Sekretów, gdy User Operator jest nieobecny, lub do zasobów niestandardowych KafkaTopic, gdy Topic Operator jest nieobecny.

W Strimzi w wersji 1.0.0 i wcześniejszych atakujący mogący utworzyć zasób niestandardowy Kafka może ustawić Kafka.spec.entityOperator watchedNamespace na docelową przestrzeń nazw, powodując utworzenie przez Cluster Operator roli z pełnymi uprawnieniami CRUD do Secret w tej przestrzeni i powiązanie jej z kontem usługi Entity Operator w przestrzeni nazw atakującego. Atakujący może wygenerować token dla tego konta usługi i odczytywać lub zapisywać sekrety w dowolnej docelowej przestrzeni nazw, w której Cluster Operator ma przyznane uprawnienia, niezależnie od STRIMZI_NAMESPACE. Problem naprawiono w wersjach 1.0.1 i 1.1.0.

mcp-searxng przed wersją 1.2.0 zawiera podatność w polityce URL web_url_read, która może zostać ominięta, gdy włączony jest MCP_HTTP_HARDEN, a MCP_HTTP_ALLOW_PRIVATE_URLS nie jest włączony. Obejście wynika z braku ponownej walidacji celów przekierowań, nieklasyfikowania adresu 0.0.0.0 jako wewnętrznego oraz nierozpoznawania adresów IPv4-mapped IPv6 w formie szesnastkowej. Atakujący może wpłynąć na wywołanie narzędzia, aby serwer MCP pobrał zasoby z pętli zwrotnej lub wewnętrznych adresów HTTP i zwrócił ich zawartość.

mcp-searxng przed wersją 1.2.0 zawiera podatność, w której funkcja web_url_read przekazuje URL dostarczony przez wywołującego do ścieżki pobierania po stronie serwera, a walidacja assertUrlAllowed() jest wykonywana tylko wtedy, gdy włączony jest MCP_HTTP_HARDEN, który domyślnie jest wyłączony. W domyślnej konfiguracji atakujący, który wpływa na URL wybrany przez użytkownika lub agenta AI, może sprawić, że serwer pobierze zasoby z pętli zwrotnej, sieci prywatnej lub punktów końcowych metadanych chmury i zwróci ich zawartość do kontekstu modelu.

W Meta Ads MCP przed wersją 1.0.115 narzędzie upload_ad_image w meta_ads_mcp/core/ads.py przekazuje kontrolowany przez atakującego image_url do try_multiple_download_methods() w meta_ads_mcp/core/utils.py, gdzie httpx.AsyncClient używa follow_redirects=True i wykonuje żądania HTTP bez walidacji schematu, hosta lub rozwiązanego adresu IP. W wdrożeniu streamable-http wywołujący sieciowy może użyć dowolnej niepustej wartości autoryzacji, ponieważ walidacja poświadczeń Meta następuje po pobraniu obrazu, a następnie skierować serwer do usług loopback, adresów sieci prywatnej, punktów końcowych metadanych chmury lub łańcuchów przekierowań do celów wewnętrznych. Wynikające z tego SSRF może ujawnić dane wewnętrzne, wywołać usługi wewnętrzne zmieniające stan lub zakłócić osiągalne usługi. Problem naprawiono w wersji 1.0.115.

Serwer Meta Ads MCP w wersjach przed 1.0.115 zawiera błąd w mechanizmie uwierzytelniania AuthInjectionMiddleware, który odrzuca żądania HTTP tylko gdy brakuje obu tokenów, a funkcja extract_token_from_headers() nie rozpoznaje nagłówka X-Pipeboard-Token jako głównego poświadczenia. Zdalny atakujący przez transport streamable-http może wysłać dowolną wartość tego nagłówka, ominąć zabezpieczenie i spowodować użycie przez serwer tokenu META_ACCESS_TOKEN operatora.

Biblioteka netty-incubator-codec-ohttp w wersjach przed 0.0.23.Final przydziela bufor ByteBuf dla odszyfrowanego tekstu jawnego przed weryfikacją znacznika AEAD. Gdy nieprawidłowy znacznik powoduje wyjątek CryptoException, bufor nie jest zwalniany, co prowadzi do wycieku pamięci natywnej przy powtarzanych żądaniach.