Katalog podatności CVE

W systemie PraisonAI przed wersją 4.6.59 nieuwierzytelnione API Jobs akceptuje bezwzględną lub podatną na traversację ścieżkę agent_file w POST /api/v1/runs i przekazuje ją do wykonawcy zadania bez listy dozwolonych obszarów roboczych ani sprawdzenia granic. Zdalny wywołujący może spowodować otwarcie przez serwer plików dostępnych dla konta usługi, ujawniając poświadczenia, klucze, zmienne środowiskowe i inne lokalne dane.

W systemie PraisonAI przed wersją 4.6.59 wrappery CODE_TOOLS utrzymują _workspace_root jako None i przekazują workspace=None do funkcji pomocniczych read_file, search_replace i apply_diff, które wymuszają ograniczenie ścieżek tylko dla niepustego workspace. Aplikacja udostępniająca code_read_file, code_search_replace lub code_apply_diff przed set_workspace może pozwolić na odczyt i modyfikację plików poza zamierzonym katalogiem projektu.

Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.

langgraph-api implementuje API LangGraph do szybkiego rozwoju i testowania. Przed wersją 0.10.0, ścieżka tworzenia przebiegu (run) autoryzuje asystenta przypisanego do przebiegu, wywołując assistants.search z niekompletną wartością zamiast zdarzenia assistants.read używanego przy bezpośrednich odczytach i tworzeniu cronów. W środowiskach z niestandardowymi handlerami zasobów, które rejestrują tylko assistants.read, pomijają handler assistants.search i nie mają globalnego handlera fallback, żaden odpowiedni handler nie dostarcza filtra właściciela, co pozwala użytkownikowi o niskich uprawnieniach na odwołanie się do prywatnego asystenta innego użytkownika przez POST /runs lub POST /threads/{thread_id}/runs. Odpowiedź tworzenia przebiegu może ujawnić metadane, konfigurację i kontekst prywatnego asystenta, a przebieg może zostać wykonany z użyciem konfiguracji tego asystenta. Środowiska bez niestandardowych handlerów autoryzacji lub z równoważnym filtrem właściciela zastosowanym przez globalny handler lub dla wszystkich zdarzeń asystenta nie są dotknięte. Problem naprawiono w wersji 0.10.0.

langgraph-api implementuje API LangGraph do szybkiego rozwoju i testowania. Przed wersją 0.10.0, langgraph-api pozwala na określenie względnego celu webhooka, który jest dostarczany przez wewnętrzny transport loopback, a middleware autoryzacyjny traktuje ten transport jako wewnętrzny bez stosowania kontekstu autoryzacji używanego dla zewnętrznych żądań. W środowiskach polegających na autoryzacji per użytkownik do oddzielania wątków i przebiegów, uwierzytelniony użytkownik może skierować webhook do własnych tras wątków i przebiegów serwera, co pozwala na utworzenie przebiegu na wątku innego użytkownika lub modyfikację go oraz ograniczone włączenie metadanych docelowego wątku do utworzonego rekordu przebiegu. Dotknięta ścieżka wymaga celów webhooka i granic autoryzacji per użytkownik; środowiska, które celowo ponownie włączają dostarczanie loopback, powinny ograniczyć je do kontrolowanych tras w tym samym procesie, ponieważ te webhooki pozostają nieuwierzytelnione. Problem naprawiono w wersji 0.10.0.

W implementacji protokołu Nimiq (w języku Rust) przed wersją 1.6.0 istnieje podatność, która pozwala złośliwemu węzłowi synchronizacji na spowodowanie awarii synchronizującego węzła przez wysłanie spreparowanego dowodu TrieChunk, co prowadzi do paniki poza zakresem.

W Nimiq (Rust) przed wersją 1.6.0 istnieje podatność umożliwiająca złośliwemu węzłowi synchronizacji spowodowanie awarii węzła przez wysłanie dowodu TrieProof z duplikatami kluczy, co prowadzi do paniki w wyniku niewłaściwego obsłużenia wartości None.

SQLAdmin to elastyczny interfejs administracyjny dla modeli SQLAlchemy. Przed wersją 0.27.1, ModelView.sort_query w sqladmin/models.py akceptuje kontrolowany przez atakującego parametr listy sortBy bez egzekwowania listy dozwolonych kolumn column_sortable_list po stronie serwera w self._sort_fields. Wartość jest rozwiązywana przez getattr i przekazywana do złączeń relacji i order_by, co pozwala na sortowanie według kolumn ukrytych przed column_list oraz według kolumn powiązanych modeli przez ścieżki z kropkami. Wynikowa kolejność wierszy stanowi wyrocznię ujawniania informacji o nieujawnionych wartościach, a odwrócenie kolejności rosnącej i malejącej potwierdza ich względne uporządkowanie. Połączenie sortBy z kolumnami przeszukiwalnymi lub filtrowalnymi oraz paginacją może zawęzić wyrocznię do konkretnych wartości, ale dokładne odzyskanie zależy od dostępnych pól i danych aplikacji. Problem naprawiono w wersji 0.27.1.

ContextForge to brama AI, rejestr i proxy zapewniające scentralizowane odkrywanie, zabezpieczenia i zarządzanie dla API MCP, A2A oraz REST lub gRPC. Przed wersją 1.0.3, miejsce wywołania /admin/gateways/test w mcpgateway/admin.py wywołuje validate_gateway_test_url() w mcpgateway/common/validators.py, aby rozwiązać i odrzucić adresy prywatne, loopback, link-local i cloud-metadata, ale ResilientHttpClient później ponownie rozwiązuje oryginalną nazwę hosta bez wiązania zweryfikowanego adresu. Gdy MCPGATEWAY_ADMIN_API_ENABLED jest włączone, atakujący z rolą w bazie danych zawierającą jawne uprawnienie gateways.read może użyć DNS rebinding, aby zwrócić publiczny adres podczas walidacji i prywatny lub metadata podczas połączenia, omijając ssrf_blocked_networks i ssrf_dns_fail_closed, ponieważ te mechanizmy dotyczą tylko wyniku z czasu walidacji. Ustawienie allow_admin_bypass=False w punkcie końcowym oznacza, że tożsamość wirtualnego administratora tylko z bootstrapem bez roli w bazie danych nie jest wystarczająca. Skuteczna eksploatacja może dotrzeć do wewnętrznych usług i metadanych chmury, ujawnić poświadczenia chmury, uzyskać dostęp do wewnętrznych API lub sondować wewnętrzne porty sieciowe. Problem naprawiono w wersji 1.0.3.

Niewystarczająca sanityzacja HTML w Portalu Wydawcy i Portalu Dewelopera pozwala na renderowanie niezaufanych danych wejściowych użytkownika bez odpowiedniego kodowania lub neutralizacji. Umożliwia to wstrzyknięcie i wykonanie złośliwego JavaScriptu podczas przeglądania dotkniętych dokumentów API.

W OpenTelemetry Operator przed wersją 0.152.0 instancje TargetAllocator z targetAllocator.prometheusCR.enabled ustawionym na true zachowują wartość bearerTokenFile wybranego punktu końcowego ServiceMonitor jako HTTPClientConfig.Authorization.CredentialsFile. Najemca mogący tworzyć lub aktualizować ServiceMonitor dopasowany przez selektory może wskazać bearerTokenFile na plik w podzie Collectora, w tym token konta usługi, i przekierować scraping do kontrolowanego punktu końcowego, ujawniając token JWT konta usługi Collectora lub inne zamontowane pliki.

gitoxide to implementacja gita napisana w Rust. Przed wersją 0.13.3, crate gix-sec na Windowsie błędnie traktuje repozytoria kontrolowane przez innego użytkownika jako zaufane, gdy administrator uruchamia zależny program z nieprzefiltrowanym tokenem podniesionym. W gix-sec/src/identity.rs, gix_sec::identity::is_path_owned_by_current_user uzyskuje folder_owner i token_owner, ale jego specyficzne dla administratora sprawdzenia IsWellKnownSid i CheckTokenMembership badają bieżący token, a nie potwierdzają właściciela katalogu. To omija ochronę safe.directory dla repozytoriów należących i skonfigurowanych przez ograniczonego użytkownika, pozwalając konfiguracji repozytorium lub hakom na wykonanie poleceń z uprawnieniami administratora, gdy wykonywana jest dotknięta operacja. Eksploatacja wymaga systemu Windows, podniesionego administratora, programu polegającego na wynikach zaufania gix-sec oraz interakcji z repozytorium kontrolowanym przez innego użytkownika. Niepodniesiony proces UAC nie jest dotknięty, a klonowanie nie jest dotknięte, ponieważ konfiguracja repozytorium i haki nie są kopiowane. Problem naprawiono w wersji 0.13.3.

Wykryto podatność w GPAC do wersji f1219cde. Podatność dotyczy funkcji gf_node_unregister w pliku scenegraph/base_scenegraph.c komponentu MP4Box. Manipulacja prowadzi do użycia po zwolnieniu (use after free). Atak może być wykonany zdalnie. Exploit jest już publiczny i może być użyty. Aktualizacja do wersji abi-16.23 rozwiązuje ten problem. Łatka jest zidentyfikowana jako 9eb40df4448b88d6a6ce3454657c06f47eff0b24. Zaleca się aktualizację dotkniętego komponentu.

Wykryto podatność bezpieczeństwa w a2aproject a2a-python do wersji 1.1.3. Dotyczy ona funkcji _dispatch_notification w pliku src/a2a/server/tasks/base_push_notification_sender.py komponentu Push Notification Sender. Manipulacja argumentem push_info.url prowadzi do podrobienia żądania po stronie serwera (SSRF). Zdalna eksploatacja ataku jest możliwa. Aktualizacja do wersji 1.1.4 może złagodzić ten problem. Zaleca się aktualizację dotkniętego komponentu.

W systemie itsourcecode Leave Management System 1.0 wykryto słabość w nieznanej funkcjonalności pliku /login.php. Manipulacja argumentem user_email może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony i może być wykorzystany do ataków.

W komponentach HTTP Apache Storm wykryto trzy niezależne mechanizmy, które pozwalały stronie internetowej z niezwiązanego originu odczytywać odpowiedzi serwowane uwierzytelnionemu użytkownikowi. Logviewer odbijał nagłówek Origin w Access-Control-Allow-Origin wraz z Access-Control-Allow-Credentials: true, wspólny filtr CORS był błędnie skonfigurowany (podano nazwę nagłówka odpowiedzi zamiast parametru inicjalizacyjnego, przez co kontener stosował własne domyślne ustawienia zezwalające na poświadczenia), a UI i Logviewer opakowywały odpowiedzi API w JSONP dla każdego żądania GET. W każdym przypadku strona odwiedzona przez uwierzytelnionego operatora może w jego imieniu odczytać dane klastra, topologii i logi.

W Logviewerze Apache Storm ustawienia kontroli dostępu `logs.users` i `logs.groups` nie były stosowane do logów demonów — decyzja autoryzacyjna była nadpisywana flagą „to jest log demona”, a strony i endpointy pobierania logów demonów w ogóle nie sprawdzały uprawnień. Dodatkowo endpointy `/listLogs` i `/searchLogs` ignorowały argument użytkownika i zwracały nazwy plików logów wszystkich tenantów. Luka została naprawiona w wersji 3.1.0.

W Apache Storm przed wersją 3.1.0 istnieje podatność: dekoder Netty jest instalowany przed uwierzytelnianiem i przetwarza ramki bez weryfikacji, co pozwala nieuwierzytelnionemu atakującemu na alokację dużych buforów i potencjalne przeciążenie pamięci roboczych.

Gdy skonfigurowane jest uwierzytelnianie ZooKeeper, Storm celowo zachowuje storm.zookeeper.topology.auth.payload w konfiguracji topologii, a Nimbus udostępnia tę konfigurację każdemu użytkownikowi z uprawnieniami tylko do odczytu topologii. Użytkownik z uprawnieniami wyłącznie do przeglądania topologii otrzymuje poświadczenie ZooKeeper, które ma uprawnienia zapisu i pozwala fałszować lub usuwać stan topologii. Poświadczenie trafia także do logów (INFO w kliencie zgłoszeń, DEBUG w handlerach SASL), a poprawka w wersji 3.1.0 usuwa je z konfiguracji i logów.

W Apache Storm przed wersją 3.1.0 funkcja getNimbusConf zwraca pełną konfigurację bez maskowania poufnych danych, a endpoint UI /api/v1/cluster/configuration nie wymaga odpowiedniej autoryzacji, co może ujawnić hasła i klucze.