Katalog podatności CVE

Biblioteka dataclasses-avroschema w wersjach 0.44.0–0.70.5 nie ogranicza bezpiecznie wartości pydantic-class w adnotacjach pól, co pozwala na wykonanie dowolnego kodu Pythona podczas importu wygenerowanego modułu. Dotyczy generatorów modeli Pydantic i AvroDantic.

Biblioteka dataclasses-avroschema w wersjach 0.65.9–0.70.5 nie escapuje wartości doc wstawianej do argumentu description w pydantic.Field, co pozwala na wstrzyknięcie wyrażenia i wykonanie dowolnego kodu Pythona podczas definicji klasy. Dotyczy generowania modeli Pydantic i AvroDantic.

Biblioteka dataclasses-avroschema w wersjach 0.38.0–0.70.5 nie escapuje ani nie waliduje wartości namespace typu fixed, wstawiając ją w cudzysłowach do adnotacji types.confixed. Pozwala to na wykonanie dowolnego kodu Pythona podczas definicji wygenerowanej klasy.

Biblioteka dataclasses-avroschema w wersjach 0.40.0–0.70.5 nie escapuje cudzysłowów ani ukośników podczas kopiowania wartości doc z rekordu schematu do generowanego docstringa klasy. Spreparowana sekwencja potrójnego cudzysłowu może zamknąć docstring i wstrzyknąć kod do treści generowanej klasy, co prowadzi do wykonania kodu Pythona przy imporcie modułu.

Biblioteka dataclasses-avroschema w wersjach 0.62.3–0.70.5 wstawia kontrolowaną przez schemat nazwę rekordu Avro do pola Meta.schema_name w generowanym kodzie Pythona bez escapowania. Spreparowana nazwa może zamknąć literał tekstowy i wstrzyknąć instrukcje do treści generowanej klasy, które wykonają się przy imporcie modułu.

Biblioteka dataclasses-avroschema w wersjach 0.47.3–0.70.5 wstawia kontrolowaną przez schemat nazwę referencyjnego rekordu do pozycji wywoływalnej lambdy default_factory bez walidacji zgodności z gramatyką nazw Avro. Spreparowana nazwa rekordu może stać się dowolnym wyrażeniem Pythona, które wykona się, gdy instancja wygenerowanego modelu użyje domyślnej wartości pola.

Biblioteka dataclasses-avroschema w wersjach 0.38.0–0.70.5 wstawia kontrolowane przez schemat wartości domyślne pól typu string, UUID, bytes i fixed do literałów tekstowych w generowanym kodzie Pythona bez escapowania. Spreparowana wartość domyślna może zamknąć literał i wstrzyknąć instrukcje do generowanego modułu, które wykonają się przy jego imporcie.

Wtyczka odt2spip dla SPIP w wersjach przed 4.4.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, pozwalającą uwierzytelnionym autorom na wykonanie dowolnych poleceń poprzez przesłanie dokumentu o spreparowanej nazwie pliku w formularzu importu. Metaznaki powłoki, takie jak $(id), w nazwie pliku innej niż .odt przechodzą przez niewystarczającą sanityzację w funkcjach odt2spip_deplacer_fichier_upload() i LibreOffice::createCommand(), umożliwiając zdalne wykonanie kodu jako użytkownik serwera WWW podczas konwersji przez LibreOffice.

Podatność typu SQL Injection (CWE-89) w Fortinet FortiMail w wersjach 7.6.0–7.6.3, 7.4.0–7.4.5 oraz 7.2.0–7.2.8 pozwala uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane żądania HTTP lub HTTPS.

Podatność typu SQL Injection (CWE-89) w Fortinet FortiAnalyzer w wersjach 7.6.0–7.6.4, 7.4.0–7.4.7, 7.2 (wszystkie wersje) oraz FortiAnalyzer Cloud 7.6.2–7.6.4, 7.4.1–7.4.7, 7.2.1–7.2.11 może pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.

Leantime to otwartoźródłowy system zarządzania projektami. Przed wersją 3.10.0, w powierzchniach API JSON-RPC brakuje autoryzacji per-metoda, co pozwala niskouprzywilejowanemu uwierzytelnionemu użytkownikowi na utworzenie konta administratora oraz zarządzanie wtyczkami bez odpowiednich uprawnień.

FrankenPHP to nowoczesny serwer aplikacji dla PHP. Przed wersją 1.12.5, w trybie worker, gdy rozszerzenie sesji jest ładowane jako moduł współdzielony, stan sesji PHP może być zachowany między żądaniami, co prowadzi do ujawnienia sesji między użytkownikami i możliwego przejęcia sesji.

Squid to serwer buforujący (cache) dla sieci Web. Od wersji 3.3.0.1 do przed 7.6, z powodu nieprawidłowego egzekwowania przepływu pracy, Squid jest podatny na atak Request Smuggling przeciwko HTTP/1.1 Transfer-Encoding, akceptując niedozwoloną formę 'Transfer-Encoding: identity'.

Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.23.0, metoda get_count() w reportview składa operację zliczania wokół wygenerowanego SQL przez surową ścieżkę wykonania bazy danych, co pozwala na modyfikację wykonywanego SQL przez spreparowane dane wejściowe raportu.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metody get, getUserClientRoles i getUserRealmRoles autoryzują wywołujących z rolą read:admin bez potwierdzenia, że docelowe UUID należy do żądanego i uwierzytelnionego realm. Administrator realm może pobrać dane użytkownika z innej dzierżawy lub realm master, łamiąc izolację dzierżaw.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metoda KNXProtocol.startAssetImport przetwarza plik 0.xml z przesłanego projektu ETS ZIP z parserami XML, które pozwalają na rozwiązywanie encji zewnętrznych, co umożliwia odczyt plików dostępnych dla procesu JVM lub wykonywanie żądań po stronie serwera.

Citrix UniconOS zawiera podatność związaną z nieprawidłowym rozwiązywaniem linków przed dostępem do plików (podążanie za linkami). Problem dotyczy wersji przed 2607 CR i przed 2603 LTSR CU2.

fuint do commit 4c4bc8a zawiera podatność braku uwierzytelnienia, która pozwala nieuwierzytelnionym atakującym na pobranie szczegółów zamówień dowolnego członka przez endpoint /clientApi/order/detail. Atakujący mogą enumerować sekwencyjne wartości orderId bez tokena dostępu, ujawniając dane osobowe kupujących.

FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.

Makunet maku-boot od wersji 4.3.0 do 5.0.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na odczyt konfiguracji mail i SMS przez wywołanie /sys/mail/config/list i /sys/sms/config/list bez wymaganych kontroli uprawnień.