Katalog podatności CVE

W systemie Industrial Application Software IAS Canias ERP 8.03 stwierdzono podatność w funkcji iasServerRemoteInterface.doAction komponentu Java RMI Session Management. Manipulacja ta prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie. Producent został wcześnie poinformowany o ujawnieniu, ale nie odpowiedział.

AzuraCast przed wersją 0.23.6 zawiera podatność w middleware ApplyXForwarded, który bezwarunkowo ufa nagłówkowi X-Forwarded-Host bez listy dozwolonych proxy. Nieuwierzytelniony atakujący może zatruć URL resetowania hasła, wysyłając spreparowany nagłówek podczas żądania resetu. Gdy ofiara kliknie link, token resetu jest przechwytywany przez atakującego, który może przejąć konto i zniszczyć konfigurację 2FA.

Podatność w AzuraCast przed wersją 0.23.6 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania mediami zapisanie dowolnych plików poza katalogiem magazynu stacji poprzez niesanitizowany parametr currentDirectory w punkcie końcowym przesyłania plików Flow.js. Może to prowadzić do zdalnego wykonania kodu przez zapisanie webshella PHP.

apko, narzędzie do budowania obrazów kontenerów OCI z pakietów apk, w wersjach przed 1.2.7 weryfikuje podpis na APKINDEX.tar.gz, ale nie porównuje indywidualnie pobranych pakietów .apk z sumą kontrolną zapisaną w podpisanym indeksie. Atakujący, który może podmienić odpowiedzi pobierania (np. skompromitowane mirror, repozytorium HTTP, zatruta pamięć podręczna CDN), może zainstalować dowolne pakiety w budowanych obrazach.

Podatność w apko (wersje od 0.14.8 do przed 1.2.5) umożliwia spreparowanemu pakietowi .apk zainstalowanie dowiązania symbolicznego typu TypeSymlink wskazującego poza katalog budowania. Kolejne wpisy w archiwum mogą podążać za tym dowiązaniem, uzyskując dostęp do ścieżek systemu hosta, do których użytkownik budujący ma prawo zapisu.

Plainpad, samodzielnie hostowana aplikacja do notatek, przed wersją 1.1.1 pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na samodzielną eskalację do administratora poprzez przesłanie admin=true w żądaniu PUT /api.php/v1/users/{id}. Punkt końcowy bezpośrednio zapisuje atrybut admin z danych wejściowych użytkownika, a eskalowane konto natychmiast uzyskuje dostęp do tras tylko dla administratora.

W bibliotece Net::IMAP dla Ruby przed wersjami 0.3.10, 0.4.24, 0.5.14 i 0.6.4 atakujący typu man-in-the-middle może sprawić, że metoda starttls zwróci 'sukces' bez faktycznego uruchomienia TLS.

Net::IMAP w Ruby ma problem z kwadratową złożonością czasową podczas odczytu dużych odpowiedzi zawierających wiele literałów łańcuchowych. Wrogi serwer może wysłać spreparowane odpowiedzi, które przeciążą procesor klienta, prowadząc do ataku typu odmowa usługi (DoS).

Signal K Server przed wersją 2.25.0 chroni punkty końcowe logowania HTTP (POST /login i POST /signalk/v1/auth/login) za pomocą express-rate-limit (domyślnie 100 prób na 10 minut). Jednak ścieżka logowania przez WebSocket — wysyłanie wiadomości {login: {username, password}} przez ustanowione połączenie WebSocket — wywołuje app.securityStrategy.login() bezpośrednio bez żadnego ograniczania szybkości. Atakujący może całkowicie ominąć ograniczenia HTTP, otwierając połączenie WebSocket i próbując nieograniczonej liczby haseł z szybkością, na jaką pozwala bcrypt (~20 prób/s przy 10 rundach soli). Problem został naprawiony w wersji 2.25.0.

Podatność w wycofanych przełącznikach Hikvision (wycofane od grudnia 2023) umożliwia uwierzytelnionym atakującym zdalne wykonanie poleceń z powodu niewystarczającej walidacji danych wejściowych.

Pillow to biblioteka obrazowania dla Pythona. Od wersji 10.3.0 do przed 12.2.0 przetwarzanie złośliwego pliku PSD może prowadzić do uszkodzenia pamięci, potencjalnie powodując awarię lub wykonanie dowolnego kodu. Problem został naprawiony w wersji 12.2.0.

Wersje Gibbon przed v30.0.01 są podatne na lokalne dołączanie plików prowadzące do zdalnego wykonania kodu (RCE) poprzez zmianę katalogu archiwum raportów i wymuszenie interpretacji dostarczonego przez użytkownika pliku .zip jako PHP. Do udanego wykorzystania wymagane są uprawnienia nauczyciela lub wyższe.

W Arcane przed wersją 1.18.0 cztery endpointy GET pod /api/templates* nie wymagają uwierzytelnienia, umożliwiając nieuwierzytelnionym klientom odczyt pełnej treści Compose YAML i .env każdego szablonu, w tym poufnych danych jak hasła do baz danych czy klucze API.

Narzędzie pyp2spec generuje pliki spec RPM dla Fedory dla projektów Python. Przed wersją 0.14.1 pyp2spec zapisywał metadane pakietu PyPI (np. pole summary) do pliku spec bez escapowania dyrektyw makr RPM. Podczas uruchamiania rpmbuild dyrektywy te są interpretowane, co pozwala złośliwemu pakietowi na wykonanie dowolnych poleceń na maszynie budującej.

Argo Workflows w wersjach od 4.0.0 do przed 4.0.5 zawiera podatność w Sync Service, gdzie dostawca oparty na ConfigMap (server/sync/sync_cm.go) nie przeprowadza żadnych kontroli autoryzacji dla operacji CRUD. Każdy uwierzytelniony użytkownik, w tym używający fałszywych tokenów Bearer, może tworzyć, odczytywać, aktualizować i usuwać ConfigMapy Kubernetes zawierające limity synchronizacji.

Argo Workflows przed wersjami 3.7.14 i 4.0.5 umożliwia użytkownikowi z uprawnieniami do tworzenia Workflow ominięcie trybu Strict templateReferencing. Pozwala to na uzyskanie dostępu do sieci hosta, zmianę konta serwisowego, nadpisanie kontekstu bezpieczeństwa poda, dodanie toleracji do planowania na węzłach kontrolnych lub włączenie montowania tokena SA.

Argo Workflows przed wersjami 3.7.14 i 4.0.5 ładuje całe ciało żądania do pamięci przed uwierzytelnieniem lub weryfikacją podpisu na publicznie dostępnym endpointcie /api/v1/events/. Atakujący może wysłać bardzo duże żądanie, powodując nadmierne zużycie pamięci i awarię OOM.

LiquidJS przed wersją 10.25.7 zawiera podatność na atak DoS poprzez cykliczne odwołania bloków w {% layout %} / {% block %}, co powoduje wyczerpanie pamięci i awarię procesu Node.js.

bubblewrap to narzędzie do niskopoziomowego uruchamiania w piaskownicy bez przywilejów. W wersjach od 0.11.0 do 0.11.1, jeśli bubblewrap jest zainstalowany w trybie setuid, użytkownik może użyć ptrace, aby dołączyć do procesu bubblewrap i kontrolować nieuprzywilejowaną część fazy konfiguracji piaskownicy. Pozwala to atakującemu na dowolne korzystanie z operacji uprzywilejowanych, w szczególności operacji montowania nakładek (overlay mount), co normalnie nie jest dozwolone w wersji setuid bubblewrap. Problem został naprawiony w wersji 0.11.2.

Gibbon przed wersją v30.0.01 zawiera podatność SQL Injection w funkcji Tracking/graphing. Uwierzytelniony użytkownik z uprawnieniami nauczyciela lub wyższymi może wstrzykiwać zapytania SQL, co prowadzi do nieautoryzowanego odczytu i zapisu w bazie danych.