Katalog podatności CVE

Wtyczka Grav API to RESTful API dla Grav CMS, które umożliwia pełny dostęp do treści, mediów, konfiguracji i zarządzania użytkownikami. W wersjach przed 1.0.0-beta.15 występuje luka związana z niebezpiecznym bezpośrednim odniesieniem do obiektu oraz błędem logicznym, co pozwala uwierzytelnionym użytkownikom na modyfikację swoich uprawnień.

OWASP BLT przed wersją 2.1.2 zawierał podatność, w której plik .github/workflows/pre-commit-fix.yaml używał pull_request_target, co pozwalało na wykonanie kodu z forka atakującego, umożliwiając zdalne wykonanie kodu (RCE) z uprawnieniami do zapisu.

Podatność w Clerk JavaScript pozwala na nieautoryzowany dostęp do zastrzeżonych akcji, gdy funkcje has() i auth.protect() zwracają wartość true w sytuacjach, gdzie powinny zwracać false. Problem ten występuje w różnych SDK związanych z autoryzacją i może być obejściem w określonych warunkach.

W SDK Meari IoT wbudowanym w CloudEdge 5.5.0, Arenti 1.8.1 oraz białych etykietach aplikacji Android w wersji <= 1.8.x, wiele krytycznych sekretów bezpieczeństwa jest zakodowanych na stałe i współdzielonych, w tym materiały do podpisywania API, klucze do transportu haseł oraz klucze dostępu do usług.

W SDK IoT Meari, w obsłudze obrazów (libmrplayer.so), występuje podatność związana z plikami baby monitor '.jpgx3', które wykorzystują odwracalny XOR tylko na pierwszych 1024 bajtach z przewidywalnym modelem generowania kluczy.

W chmurze IoT Meari, obrazy alertów przechowywane w Alibaba OSS mogą być pobierane bez uwierzytelnienia, podpisanych URL-i lub egzekwowania daty ważności. URL-e działają jako bezpośrednie odniesienia do obiektów i pozostają ważne poza oczekiwanymi oknami operacyjnymi.

W aplikacjach klienckich Meari, które wykorzystują 'com.meari.sdk', występuje podatność umożliwiająca uzyskanie danych WAN IP dla dowolnych urządzeń. Problem wynika z błędu autoryzacji po stronie serwera w zapytaniu 'GET /openapi/device/status'.

W wdrożeniach Meari IoT Cloud MQTT Broker działających na EMQX 4.x, każdy uwierzytelniony użytkownik z niskimi uprawnieniami może subskrybować globalne tematy wildcard i otrzymywać dane telemetryczne z urządzeń, których nie posiada. Broker egzekwuje ograniczenia publikacji, ale nie stosuje odpowiednich autoryzacji subskrypcji na poziomie urządzenia.

Projekt flash-attention zawiera podatność na wstrzykiwanie kodu w swoim skrypcie treningowym, która pozwala na wykonanie dowolnego kodu Pythona poprzez złośliwe pliki konfiguracyjne.

Framework do treningu flash-attention zawiera podatność na niebezpieczną deserializację w mechanizmie ładowania punktów kontrolnych. Funkcja load_checkpoint() oraz kod ładowania punktów kontrolnych w eval.py używają torch.load() bez włączenia parametru weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.

CosyVoice zawiera podatność na niebezpieczną deserializację w swoim komponencie serwera gRPC. Problem polega na tym, że serwer ładuje model syntezatora mowy z katalogu określonego przez użytkownika bez włączenia parametru bezpieczeństwa weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.

CosyVoice zawiera podatność na niebezpieczną deserializację w narzędziu do uśredniania modeli average_model.py. Problem polega na tym, że skrypt ładuje pliki kontrolne PyTorch bez włączenia parametru bezpieczeństwa weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.

CosyVoice zawiera podatność na niebezpieczną deserializację w narzędziu do przetwarzania danych make_parquet_list.py. Skrypt ładuje pliki .pt bez włączenia parametru bezpieczeństwa weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.

Backend METS GBS w Docling jest podatny na ataki XML Entity Expansion (XXE) do wersji 2.61.0. Atakujący może stworzyć złośliwy plik XML z zagnieżdżonymi definicjami encji, co prowadzi do nadmiernego zużycia zasobów podczas przetwarzania przez parser Doclinga.

W pgAdmin 4 File Manager występuje podatność na atak typu traversal ścieżki z wykorzystaniem dowiązań symbolicznych. Użytkownik z autoryzacją może stworzyć dowiązanie symboliczne w swoim katalogu, które wskazuje na zewnętrzny zasób, co pozwala na zapis danych w dowolnej lokalizacji dostępnej dla procesu pgAdmin.

W pgAdmin 4 FileBackedSessionManager występuje podatność na deserializację niezaufanych danych, co może prowadzić do zdalnego wykonania kodu na poziomie systemu operacyjnego. Problem ten wynika z braku odpowiednich kontroli integralności przed deserializacją zawartości plików sesji.

W pgAdmin 4 przed wersją 9.15 występuje podatność na wstrzykiwanie poleceń systemowych (CWE-78) w funkcji importu/eksportu zapytań. Użytkownik uwierzytelniony może wstrzyknąć złośliwe polecenia, co prowadzi do wykonania dowolnych komend na serwerze pgAdmin lub zapisu plików w dowolnej lokalizacji.

Podatność typu SQL injection w narzędziu pgAdmin 4 Maintenance Tool pozwala uwierzytelnionemu użytkownikowi z uprawnieniami tools_maintenance na wykonanie dowolnych poleceń SQL na serwerze PostgreSQL. Wykorzystanie tej luki może prowadzić do eskalacji uprawnień i wykonania poleceń systemowych na hoście bazy danych.

Grav to platforma internetowa oparta na plikach. Przed wersją 2.0.0-beta.2 występowała podatność typu Cross-Site Scripting (XSS), która pozwalała kontom na poziomie wydawcy na wykonywanie dowolnego kodu JavaScript.

Grav to platforma internetowa oparta na plikach. Przed wersją 2.0.0-beta.2, użytkownik o niskich uprawnieniach mógł wprowadzić element svg, co prowadziło do ataku XSS, który mógł być eskalowany do zrzutu informacji systemowych dostępnych w /admin/config/info, gdy Super Admin odwiedzał stronę.