Katalog podatności CVE

Yamcs to framework do kontroli misji. Przed wersjami 5.12.8 i 5.13.2, Yamcs przetwarza dane kontrolowane przez atakującego z trasy /ext bez sprawdzania zarejestrowanych identyfikatorów wtyczek przed renderowaniem DOM przez innerHTML. Specjalnie spreparowany URL może wykonać JavaScript po otwarciu przez użytkownika. Skrypt może odczytać dane dostępne dla aplikacji webowej Yamcs i wykonywać działania w kontekście użytkownika. Problem naprawiono w wersjach 5.12.8 i 5.13.2.

Yamcs przed wersjami 5.12.8 i 5.13.2 ma podatność w LikeExpression.fillCode_getValueReturn, gdzie wzorzec LIKE nie jest poprawnie escapowany i jest wstawiany do kodu Java kompilowanego przez SimpleCompiler.cook. Wzorzec może pochodzić z różnych punktów końcowych API, a cudzysłów we wzorcu może wstrzyknąć kod Java wykonywany jako proces serwera Yamcs.

Yamcs przed wersjami 5.12.8 i 5.13.2 wstawia templateArgs z POST /api/instances i PATCH /api/instances/{instance} do YAML bez escapowania w kontekście YAML. Renderowana konfiguracja jest analizowana przez YamcsServer.createInstance i ładowana przez YamcsServerInstance, co pozwala atakującemu na wstrzyknięcie wpisu usługi dla org.yamcs.ProcessRunner. Udane wykorzystanie wykonuje polecenia jako konto usługi Yamcs.

Yamcs przed wersją 5.11.13 zawiera podatność w StaticFileHandler.locateFile, która rozwiązuje nieuwierzytelnioną ścieżkę żądania bez użycia Path.normalize i Path.toAbsolutePath, aby potwierdzić, że ścieżka bezwzględna pozostaje w skonfigurowanych staticRoots. Ścieżka zawierająca segmenty traversal może opuścić zamierzony katalog główny i zwrócić dowolny czytelny plik hosta. Wada znajduje się w yamcs-core/src/main/java/org/yamcs/http/StaticFileHandler.java i może ujawnić wrażliwe dane systemu operacyjnego i aplikacji. Problem jest naprawiony w wersji 5.11.13, a linia 5.12 jest naprawiona od wersji 5.12.0.

Yamcs przed wersją 5.9.4 odzwierciedla parametr redirect_uri z GET /auth/authorize do szablonu authorize.html bez odpowiedniego escapowania HTML. Specjalnie spreparowany adres URL autoryzacji może wykonać JavaScript u użytkownika Yamcs, co umożliwia kradzież danych uwierzytelniających i przejęcie konta.

Yamcs przed wersjami 5.12.8 i 5.13.2 nie sprawdza uprawnień SystemPrivilege.ControlAccess w metodach IamApi.listRoles, IamApi.getRole i IamApi.listPrivileges. Każde uwierzytelnione konto może wywołać GET /api/roles, GET /api/roles/{name} i GET /api/privileges, aby wyliczyć dostępne uprawnienia systemowe i mapowania ról.

Yamcs przed wersjami 5.12.8 i 5.13.2 nie egzekwuje uprawnień wymaganych przez równoważne endpointy REST w handlerach subskrypcji WebSocket. Konkretnie, subskrypcje pakietów, statusu algorytmów i zmian bazy misji są dostępne bez wymaganych uprawnień, co pozwala użytkownikowi z niskimi uprawnieniami na otrzymywanie wrażliwych danych.

Yamcs przed wersjami 5.12.8 i 5.13.2 pomija kontrolę autoryzacji w kilku interfejsach API, takich jak IndexesApi, Cop1Api i TimeApi. Uwierzytelniony użytkownik z niskimi uprawnieniami może odczytywać metadane pakietów i zdarzeń, zmieniać stan łącza COP-1 oraz manipulować czasem symulacji.

Protego przed wersją 0.6.2 zamienia każdą gwiazdkę w dyrektywach Allow lub Disallow na leniwy symbol wieloznaczny, co przy wielu gwiazdkach prowadzi do wykładniczego cofania się. Przetworzenie złośliwego pliku robots.txt może spowodować długotrwałe dopasowywanie adresów URL i odmowę usługi.

Yamcs przed wersjami 5.12.8 i 5.13.2 pozwala użytkownikowi z uprawnieniem SystemPrivilege.ControlArchiving na utworzenie nazwy kolumny StreamSQL z podwójnym cudzysłowem, która jest interpolowana do generowanego kodu Java. Poprzez endpoint POST /api/archive/{instance}:executeSql możliwe jest wykonanie dowolnego kodu Java w procesie serwera Yamcs, co może ujawnić dane misji i poświadczenia oraz umożliwić manipulację telemetrią lub odmowę usługi. Problem został naprawiony w wersjach 5.12.8 i 5.13.2.

WsgiDAV przed wersją 4.3.5 zawiera przykładowy provider MySQLBrowserProvider, który łączy klucz rekordu z adresu URL bezpośrednio z klauzulami SQL WHERE. Atakujący mający dostęp do udziału skonfigurowanego z tym nie-domyślnym providerem może wstrzyknąć SQL przez zwykłe żądanie GET.

Piccolo Admin przed wersją 1.14.0 zezwala nie-superużytkownikom na żądania GET do tabel użytkowników i sesji, a token sesji nie jest ukryty. Administrator bez uprawnień superużytkownika może uzyskać token sesji innego użytkownika i podszyć się pod superużytkownika.

ALOS HTTP przed wersją 0.0.0-20260617230736-314b6783e196 ma błąd w funkcji sanitizeRequestPath, która nie sprawdza, czy ścieżka po podziale jest pusta. Wysyłając żądanie ze ścieżką składającą się tylko z znaku zapytania, nieuwierzytelniony klient może wywołać panikę i zatrzymać proces serwera.

Graylog od wersji 7.1.0 do 7.1.4 oraz 7.2.0-alpha.2 pozwala uwierzytelnionemu użytkownikowi na żądanie złożonych pól wyświetlania w endpointcie tytułów encji System Catalog bez weryfikacji, czy każde wybrane pole jest czytelne. Użytkownik może pobrać chronione wartości, w tym hash hasła z czytelnego rekordu użytkownika; zwykli użytkownicy są ograniczeni do własnych rekordów, a administratorzy mogą pobrać hashe wszystkich użytkowników.

JS Recon od wersji 1.2.1-beta.1 do 1.3.1-beta.2 zawiera podatność w workflow PR Branch Checker, gdzie wartości github.head_ref i github.event.pull_request.head.repo.full_name są interpolowane do polecenia powłoki gh pr comment. Zdalny użytkownik otwierający pull request może użyć metaznaków powłoki w nazwie gałęzi lub forka, aby wykonać polecenia w runnerze GitHub Actions z tokenem GITHUB_TOKEN mającym uprawnienia zapisu do pull-requests. Problem został naprawiony w wersji 1.3.1-beta.2.

plone.app.portlets przed wersjami 5.0.8, 6.0.4 i 7.0.2 pozwala członkowi z możliwością dodania portletu RSS na ustawienie adresu URL kanału na bardzo dużą odpowiedź, co powoduje nadmierne pobieranie danych do pamięci i odmowę usługi. Obsługa adresów URL RSS akceptuje wewnętrzne hosty, adresy IP, domeny jednowyrazowe i jawne porty, umożliwiając żądania po stronie serwera do wewnętrznych usług. Złośliwy element kanału może również dostarczyć adres URL JavaScript, który jest przechowywany jako link i może wykonać skrypt u ofiary. Problem naprawiono w wersjach 5.0.8, 6.0.4 i 7.0.2.

plone.app.event przed wersjami 5.2.4 i 6.0.1 zawiera podatność w imporcie iCalendar, który akceptuje niedostatecznie ograniczone adresy URL kalendarza i zdarzeń, nie ogranicza pobieranych bajtów ani liczby importowanych zdarzeń oraz zatwierdza pracę per zdarzenie. Zalogowany edytor może zmusić serwer do żądania wewnętrznych zasobów sieciowych lub lokalnych plików kalendarza, wyczerpać zasoby i przechowywać złośliwy adres URL zdarzenia, który wykonuje skrypt w przeglądarce innego użytkownika. Problem naprawiono w wersjach 5.2.4 i 6.0.1.

Bifrost przed wersją 1.5.17 błędnie klasyfikuje adresy z zakresów CGNAT, 6to4, NAT64 i fec0::/10 jako publiczne. Atakujący kontrolujący adres URL multimodalnego żądania może sprawić, że brama pobierze zasoby z wewnętrznych usług, w tym metadane instancji chmury.

Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.

MariaDB Connector/Node.js przed wersjami 3.3.3, 3.4.6 i 3.5.3, gdy SSL jest włączony bez przypiętego certyfikatu CA lub serwera, wysyła poświadczenia przed zakończeniem weryfikacji odcisku certyfikatu. Aktywny atakujący typu man-in-the-middle może przechwycić hasło bazy danych.