Katalog podatności CVE

W Siglet w wersjach obecnych i przeszłych, procedura obsługi tokena odświeżania nie wymusza dowodu posiadania (proof of possession) identyfikatora DID wydawcy.

Ten numer CVE został odrzucony i nie powinien być używany. Wszystkie informacje zostały usunięte.

Ekia File Manager 1.2.7 udostępnia eksportowany ContentProvider OpenFileProvider bez wymagania uprawnień. Inna lokalna aplikacja może mapować ścieżkę URI na dowolną ścieżkę pliku i wykonywać operacje odczytu, tworzenia, nadpisywania lub usuwania plików w kontekście procesu File Managera.

W bibliotece Yayson do serializacji i odczytu danych JSON API w JavaScript w wersjach przed 4.3.0 komponenty Store i LegacyStore używają kontrolowanych przez atakującego nazw typu, id i relacji JSON:API jako kluczy w tablicach wyszukiwania. Dokument z typem __proto__ powoduje modyfikację Object.prototype, a atakujący kontroluje nazwę zanieczyszczanej właściwości przez id oraz jej wartość przez atrybuty. Może to prowadzić do zanieczyszczenia prototypu w całym procesie, powodując odmowę usługi i korupcję logiki.

W PraisonAI, systemie zespołów wieloagentowych, w wersjach przed 4.6.62 plik src/praisonai/praisonai/tools/multiedit.py przekazuje kontrolowany przez LLM parametr filepath bezpośrednio do funkcji open bez odrzucania przechodzenia ścieżek, rozwiązywania dowiązań symbolicznych, granicy obszaru roboczego ani sprawdzania chronionych ścieżek. Agenci podatni na wpływ promptów mogą odczytywać pliki lub je nadpisywać.

W systemie PraisonAI przed wersją 4.6.62 ustawienie zmiennej PRAISONAI_CALL_AUTH na wartość disabled powoduje, że funkcja verify_token akceptuje żądania do /api/v1/agents/{id}/invoke bez uwierzytelniania CALL_SERVER_TOKEN. Wdrożenia korzystające z reklamowanego wyłączenia uwierzytelniania mogą narazić zarejestrowanych agentów oraz ich narzędzia i prywatny kontekst na nieuwierzytelnione wywołania.

W PraisonAI, systemie zespołów wieloagentowych, w wersjach przed 4.6.58 funkcja praisonai.jobs.server.create_app montuje praisonai.jobs.router.create_router pod /api/v1/runs bez uwierzytelniania i autoryzacji dla poszczególnych zadań. Klienci sieciowi mogą przesyłać kontrolowane przez atakującego prompty i konfigurację agenta, wyświetlać i odczytywać zadania, strumieniować wyniki oraz anulować lub usuwać zadania innych.

W systemie PraisonAI przed wersją 4.6.58 middleware uwierzytelniające (APIKeyAuthMiddleware lub JWTAuthMiddleware) przepuszczają żądania, gdy brakuje klucza PRAISONAI_API_KEY lub PRAISONAI_JWT_SECRET oraz odpowiadającej wartości przepisu. W efekcie nieuwierzytelnieni klienci mogą uzyskać dostęp do wykonywania przepisów oraz powierzchni wejścia i wyjścia, mimo że operator włączył uwierzytelnianie.

W PraisonAI przed wersją 4.6.59 domyślne aplikacje hosta UI udostępniają endpoint POST /api/mcp/connect bez wymaganego uwierzytelnienia i przyjmują kontrolowane przez wywołującego wartości command oraz args przekazywane do StdioMCPClient w celu uruchomienia lokalnego procesu. Ponieważ UI domyślnie nasłuchuje na 0.0.0.0, osiągalny nieuwierzytelniony klient może wykonywać polecenia jako konto usługi UI, nawet jeśli późniejsza faza uzgadniania MCP zakończy się niepowodzeniem.

W systemie PraisonAI przed wersją 4.6.59 procedury obsługi webhooków botów WhatsApp i Linear weryfikują podpisy HMAC tylko wtedy, gdy skonfigurowano WHATSAPP_APP_SECRET lub LINEAR_WEBHOOK_SECRET; w przeciwnym razie przetwarzają i wysyłają niepodpisane treści żądań. Zdalny nieuwierzytelniony klient mogący dotrzeć do trasy webhooka może fałszować wiadomości, komentarze lub zdarzenia sesji agenta, podszywać się pod użytkowników platformy i zakłócać przetwarzanie bota.

W systemie PraisonAI przed wersją 4.6.59 nieuwierzytelnione API Jobs akceptuje bezwzględną lub podatną na traversację ścieżkę agent_file w POST /api/v1/runs i przekazuje ją do wykonawcy zadania bez listy dozwolonych obszarów roboczych ani sprawdzenia granic. Zdalny wywołujący może spowodować otwarcie przez serwer plików dostępnych dla konta usługi, ujawniając poświadczenia, klucze, zmienne środowiskowe i inne lokalne dane.

W systemie PraisonAI przed wersją 4.6.59 wrappery CODE_TOOLS utrzymują _workspace_root jako None i przekazują workspace=None do funkcji pomocniczych read_file, search_replace i apply_diff, które wymuszają ograniczenie ścieżek tylko dla niepustego workspace. Aplikacja udostępniająca code_read_file, code_search_replace lub code_apply_diff przed set_workspace może pozwolić na odczyt i modyfikację plików poza zamierzonym katalogiem projektu.

Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.

langgraph-api implementuje API LangGraph do szybkiego rozwoju i testowania. Przed wersją 0.10.0, ścieżka tworzenia przebiegu (run) autoryzuje asystenta przypisanego do przebiegu, wywołując assistants.search z niekompletną wartością zamiast zdarzenia assistants.read używanego przy bezpośrednich odczytach i tworzeniu cronów. W środowiskach z niestandardowymi handlerami zasobów, które rejestrują tylko assistants.read, pomijają handler assistants.search i nie mają globalnego handlera fallback, żaden odpowiedni handler nie dostarcza filtra właściciela, co pozwala użytkownikowi o niskich uprawnieniach na odwołanie się do prywatnego asystenta innego użytkownika przez POST /runs lub POST /threads/{thread_id}/runs. Odpowiedź tworzenia przebiegu może ujawnić metadane, konfigurację i kontekst prywatnego asystenta, a przebieg może zostać wykonany z użyciem konfiguracji tego asystenta. Środowiska bez niestandardowych handlerów autoryzacji lub z równoważnym filtrem właściciela zastosowanym przez globalny handler lub dla wszystkich zdarzeń asystenta nie są dotknięte. Problem naprawiono w wersji 0.10.0.

langgraph-api implementuje API LangGraph do szybkiego rozwoju i testowania. Przed wersją 0.10.0, langgraph-api pozwala na określenie względnego celu webhooka, który jest dostarczany przez wewnętrzny transport loopback, a middleware autoryzacyjny traktuje ten transport jako wewnętrzny bez stosowania kontekstu autoryzacji używanego dla zewnętrznych żądań. W środowiskach polegających na autoryzacji per użytkownik do oddzielania wątków i przebiegów, uwierzytelniony użytkownik może skierować webhook do własnych tras wątków i przebiegów serwera, co pozwala na utworzenie przebiegu na wątku innego użytkownika lub modyfikację go oraz ograniczone włączenie metadanych docelowego wątku do utworzonego rekordu przebiegu. Dotknięta ścieżka wymaga celów webhooka i granic autoryzacji per użytkownik; środowiska, które celowo ponownie włączają dostarczanie loopback, powinny ograniczyć je do kontrolowanych tras w tym samym procesie, ponieważ te webhooki pozostają nieuwierzytelnione. Problem naprawiono w wersji 0.10.0.

W implementacji protokołu Nimiq (w języku Rust) przed wersją 1.6.0 istnieje podatność, która pozwala złośliwemu węzłowi synchronizacji na spowodowanie awarii synchronizującego węzła przez wysłanie spreparowanego dowodu TrieChunk, co prowadzi do paniki poza zakresem.

W Nimiq (Rust) przed wersją 1.6.0 istnieje podatność umożliwiająca złośliwemu węzłowi synchronizacji spowodowanie awarii węzła przez wysłanie dowodu TrieProof z duplikatami kluczy, co prowadzi do paniki w wyniku niewłaściwego obsłużenia wartości None.

SQLAdmin to elastyczny interfejs administracyjny dla modeli SQLAlchemy. Przed wersją 0.27.1, ModelView.sort_query w sqladmin/models.py akceptuje kontrolowany przez atakującego parametr listy sortBy bez egzekwowania listy dozwolonych kolumn column_sortable_list po stronie serwera w self._sort_fields. Wartość jest rozwiązywana przez getattr i przekazywana do złączeń relacji i order_by, co pozwala na sortowanie według kolumn ukrytych przed column_list oraz według kolumn powiązanych modeli przez ścieżki z kropkami. Wynikowa kolejność wierszy stanowi wyrocznię ujawniania informacji o nieujawnionych wartościach, a odwrócenie kolejności rosnącej i malejącej potwierdza ich względne uporządkowanie. Połączenie sortBy z kolumnami przeszukiwalnymi lub filtrowalnymi oraz paginacją może zawęzić wyrocznię do konkretnych wartości, ale dokładne odzyskanie zależy od dostępnych pól i danych aplikacji. Problem naprawiono w wersji 0.27.1.

ContextForge to brama AI, rejestr i proxy zapewniające scentralizowane odkrywanie, zabezpieczenia i zarządzanie dla API MCP, A2A oraz REST lub gRPC. Przed wersją 1.0.3, miejsce wywołania /admin/gateways/test w mcpgateway/admin.py wywołuje validate_gateway_test_url() w mcpgateway/common/validators.py, aby rozwiązać i odrzucić adresy prywatne, loopback, link-local i cloud-metadata, ale ResilientHttpClient później ponownie rozwiązuje oryginalną nazwę hosta bez wiązania zweryfikowanego adresu. Gdy MCPGATEWAY_ADMIN_API_ENABLED jest włączone, atakujący z rolą w bazie danych zawierającą jawne uprawnienie gateways.read może użyć DNS rebinding, aby zwrócić publiczny adres podczas walidacji i prywatny lub metadata podczas połączenia, omijając ssrf_blocked_networks i ssrf_dns_fail_closed, ponieważ te mechanizmy dotyczą tylko wyniku z czasu walidacji. Ustawienie allow_admin_bypass=False w punkcie końcowym oznacza, że tożsamość wirtualnego administratora tylko z bootstrapem bez roli w bazie danych nie jest wystarczająca. Skuteczna eksploatacja może dotrzeć do wewnętrznych usług i metadanych chmury, ujawnić poświadczenia chmury, uzyskać dostęp do wewnętrznych API lub sondować wewnętrzne porty sieciowe. Problem naprawiono w wersji 1.0.3.

Niewystarczająca sanityzacja HTML w Portalu Wydawcy i Portalu Dewelopera pozwala na renderowanie niezaufanych danych wejściowych użytkownika bez odpowiedniego kodowania lub neutralizacji. Umożliwia to wstrzyknięcie i wykonanie złośliwego JavaScriptu podczas przeglądania dotkniętych dokumentów API.