Katalog podatności CVE

W bibliotece backpack/crud w wersjach przed 4.1.70, 5.6.2, 6.8.13 i 7.0.36 funkcja Backpack\CRUD\Stats::makeCurlRequest buduje polecenie powłoki z adresem URL pochodzącym z nagłówka HTTP Host i przekazuje je do exec() bez odpowiedniej neutralizacji. Nieuwierzytelniony atakujący może wstrzyknąć polecenia systemu operacyjnego, jeśli exec() i curl są dostępne, a losowa bramka 1-na-100 zostanie osiągnięta (powtarzane żądania mogą ją trafić). Udana eksploatacja wykonuje polecenia jako użytkownik serwera WWW.

W backpack/crud od wersji 6.0.0 do 6.8.14 oraz 7.0.38 plik src/resources/views/crud/columns/color.blade.php odwraca gałęzie renderowania escaped i raw kontrolowane przez $column['escaped'], które domyślnie ma wartość true, powodując że $column['text'] jest domyślnie renderowany bez escapowania. Atakujący mogący zapisać nieoczyszczoną wartość w kolumnie koloru może wykonać skrypt w przeglądarce użytkownika przeglądającego listę CRUD, w tym administratora.

W backpack/crud od wersji 6.0.0 do 6.8.14 i 7.0.38 operacje Update, Delete i Reorder pobierają rekordy z niezawężonego zapytania modelu zamiast z zapytania skonfigurowanego przez addClause() lub addBaseClause(). Uwierzytelniony użytkownik znający lub zgadujący klucz główny rekordu poza zakresem może modyfikować, usuwać lub zmieniać kolejność rekordów ukrytych przez zakresy dostępu na poziomie wiersza.

W backpack/crud przed 6.8.12 i 7.0.35 funkcja HasUploadFields::uploadMultipleFilesToDisk ufa ścieżkom względnym dysku z clear_<attribute>[] i przekazuje je do Storage::disk()->delete bez potwierdzenia, że ścieżki są zapisane w bieżącym rekordzie modelu. Uwierzytelniony użytkownik z dostępem Update do CRUD korzystającego z tego mutatora może usunąć załącznik innego rekordu, współdzielony zasób lub inny plik operacyjny na skonfigurowanym dysku.

W backpack/crud od wersji 6.0.0 do 6.8.14 oraz 7.0.38 metody HasUploadFields uploadFileToDisk i uploadMultipleFilesToDisk używane przez CrudTrait oraz ścieżka withFiles() przez FileNameGenerator nie odrzucają wewnętrznie plików wykonywalnych przez serwer. Uwierzytelniony administrator może osiągnąć zdalne wykonanie kodu, używając pola CRUD z obsługą uploadu bez walidacji mimes: i mimetypes:, gdy publiczny dysk jest dostępny przez sieć.

W backpack/crud od wersji 6.0.0 do 6.8.14 oraz 7.0.38 endpoint MyAccountController::postAccountInfoForm pod POST /admin/edit-account-info pozwala AccountInfoRequest na aktualizację backpack_authentication_column() (domyślnie email) bez wymagania current_password ani weryfikacji istniejącego hasła. Atakujący z tymczasową uwierzytelnioną sesją Backpack może zmienić email odzyskiwania konta i później użyć resetu hasła.

W backpack/crud przed 6.8.11 i 7.0.34 funkcja MyAccountController::postAccountInfoForm przekazuje dane żądania z $request->except(['_token']) do modelu użytkownika zamiast ograniczać aktualizacje do pól akceptowanych przez AccountInfoRequest::validationData(). Atakujący z uwierzytelnioną sesją Backpack może masowo przypisać hasło, kolumnę uwierzytelniania lub inne atrybuty fillable.

W next-video przed wersją 2.8.1 endpoint GET eksportowany przez next-video/request-handler, często montowany pod /api/video, przyjmuje nieuwierzytelniony parametr zapytania url, a funkcja isRemote() traktuje każdą wartość bez prefiksu HTTP/HTTPS jako ścieżkę lokalną. Wartość przechodzi przez getAssetPath() do loadAsset(), który dodaje sufiks JSON i używa fs.readFile bez kanonizacji ścieżki ani weryfikacji, że pozostaje w skonfigurowanym folderze wideo.

W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.

W docx4j przed 11.5.14 klasy PropertyResolver i powiązane pomocniki rekurencyjnie podążają za łańcuchem dziedziczenia stylów WordprocessingML w:basedOn bez wykrywania cykli. Poprawnie sformowany plik DOCX z wzajemnie opartymi stylami powoduje nieograniczoną rekurencję w PropertyResolver.fillPPrStack i powiązanych ścieżkach, prowadząc do StackOverflowError.

W http4k przed 4.51.0.0, 5.42.0.0 i 6.49.0.0 filtry ServerFilters.GZip, RequestFilters.GunZip oraz podstawowe funkcje dekompresji treści żądania Gzip nie nakładają limitu na rozmiar po dekompresji. Nieuwierzytelniony klient może wysłać małe ciało żądania zakodowane w gzip, które rozszerza się do gigabajtów, wyczerpując stertę JVM.

W containerd na Linuksie z włączoną wtyczką CRI, przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5, funkcja drainExecSyncIO w internal/cri/server/container_execsync.go może zostać zablokowana na czas nieokreślony, gdy CRI ExecSync jest używane przez sondy exec lub hooki cyklu życia uruchamiające długotrwałe procesy potomne zachowujące potoki stdin/stdout. Faza opróżniania wejścia i wyjścia nie ma domyślnego limitu czasu i nie zatrzymywała się przy anulowaniu kontekstu żądania.

W dd-trace-rb przed 2.32.0 ekstrakcja bagażu W3C nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS (domyślnie 64) ani DD_TRACE_BAGGAGE_MAX_BYTES (domyślnie 8192), choć limity te obowiązują podczas wstrzykiwania bagażu. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek baggage HTTP zawierający wiele par klucz-wartość lub jedną bardzo dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

W dd-trace-java przed 1.62.0 ekstrakcja bagażu W3C nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS (domyślnie 64) ani DD_TRACE_BAGGAGE_MAX_BYTES (domyślnie 8192), choć limity te obowiązują podczas wstrzykiwania bagażu. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek baggage HTTP zawierający wiele par klucz-wartość lub jedną bardzo dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

W Auth0 Symfony od wersji 5.0.0-BETA0 do 5.9.0 ścieżki Authorizer::authenticate() i Authorizer::supports() w autentykatorze bezpieczeństwa Authorizer mogą akceptować tokeny dostępu OAuth 2.0 bearer z parametru zapytania URL tokena, a także z nagłówka Authorization dla chronionych tras HTTP. Tokeny w query stringu mogą być zapisywane w logach serwera, historii przeglądarki lub danych referrer.

October CMS w wersjach przed 3.7.17 i 4.2.21 zawiera podatność na iniekcję obiektów PHP w module systemowym. Backendowy trait `SessionMaker` przechowywał stan sesji widgetów jako `base64(serialize(...))` i odczytywał go przez `unserialize()` bez ograniczenia `allowed_classes`, co umożliwiało atakującemu wstrzyknięcie zserializowanych danych i wywołanie łańcuchów gadżetów PHP. Problem dotyczy tylko instalacji z włączonym trybem Safe Mode, który jest opcjonalny i stosowany głównie w scenariuszach z niezaufanymi użytkownikami.

W bibliotece Conform od wersji 1.8.0 do 1.19.4 przyszłe API parseSubmission w packages/conform-dom/formdata.ts wielokrotnie skanuje wpisy FormData lub URLSearchParams dla każdej unikalnej nazwy pola. Nieuwierzytelniony atakujący może przesłać spreparowany formularz zawierający wiele unikalnych nazw, powodując nadmierne synchroniczne obciążenie CPU i odmowę usługi.

W OpenTelemetry przed wersją 0.154.0 eksporter Sentry odczytuje kontrolowany przez zdalnego nadawcę OTLP atrybut zasobu service.name w exporter/sentryexporter/sentry_exporter.go przez extractProjectSlug i getOrCreateProjectEndpoint, przekazuje surowy slug projektu do GetOTLPEndpoints i GetProjectKeys, i interpoluje go do URL API Sentry bez zastosowania projectSlugRegexp przez validateRoutingConfig w czasie działania. Znaki specjalne mogą zmienić oczekiwany sufiks ścieżki w dane zapytania lub wprowadzić segmenty slash i kropka umożliwiające przejście ścieżki.

Podatność w module systemu October CMS dotyczy polityki bezpieczeństwa sandboxa Twig, gdy włączony jest tryb cms.safe_mode. Poprzez łańcuch obejść można było uzyskać dostęp do magazynu sesji Laravel oraz surowych metod SQL, co pozwalało użytkownikowi backendu z uprawnieniami do edycji znaczników CMS odczytywać dowolne dane z bazy i podszyć się pod sesję innego użytkownika. Luka została naprawiona w wersjach 3.7.17 i 4.2.21.

fluent-plugin-s3 od wersji 0.7.0 do 1.8.4 w pluginie wejściowym in_s3 wczytuje cały zdekompresowany ładunek obiektów gzip, lzma2 i lzop do pamięci bez limitu decompression_size_limit. Atakujący z uprawnieniem do wysyłania obiektów do monitorowanego zasobu S3 może dostarczyć wysoce skompresowany obiekt, który nadmiernie się rozszerza.