Katalog podatności CVE

Interfejs przyjmujący przesyłanie plików od uwierzytelnionych użytkowników rozpakowuje zawartość przesłanych archiwów bez sprawdzenia, czy wyodrębnione ścieżki plików pozostają w docelowym katalogu. Umożliwia to uwierzytelnionemu atakującemu przygotowanie archiwum, którego wpisy wychodzą poza katalog docelowy, powodując zapis plików w dowolnych lokalizacjach z uprawnieniami tego procesu.

Interfejs transferu plików wymagający prawidłowych poświadczeń przyjmuje nazwy plików kontrolowane przez atakującego bez ograniczania metaznaków powłoki. Zautomatyzowany proces później konstruuje i uruchamia polecenie systemowe używając nazwy przesłanego pliku, co pozwala uwierzytelnionemu atakującemu osadzić i wykonać dowolne polecenia systemu operacyjnego z uprawnieniami tego procesu.

Interfejs webowy odzwierciedla część adresu URL żądania w kontekście skryptu oraz w atrybucie hiperłącza bez odpowiedniego kodowania, a dostęp do niego nie wymaga uwierzytelnienia. Umożliwia to nieuwierzytelnionemu atakującemu sieciowemu utworzenie linku, który po odwiedzeniu przez użytkownika wykonuje dowolny skrypt w kontekście aplikacji i może przekierować przeglądarkę na dowolną zewnętrzną stronę.

ZoneMinder w wersjach przed 1.36.39, 1.38.4 i 1.39.11 pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach z gruboziarnistymi uprawnieniami Events=View i/lub Snapshots=View na bezpośrednie pobieranie mediów zdarzeń należących do monitorów, do których nie ma dostępu. Normalny interfejs ukrywa zastrzeżony monitor, ale bezpośrednie widoki mediów zdarzeń akceptują dowolny eid i strumieniują media bez egzekwowania ACL na poziomie zdarzenia/monitora.

Doco-CD to narzędzie GitOps do automatycznego wdrażania projektów Docker Compose i stosów Swarm. W wersjach przed 0.90.1 występuje błąd granicy zaufania w weryfikacji artefaktów OCI — konfiguracja wdrożenia zawarta w artefakcie (plik `.doco-cd.yml` z `oci.verify: false`) mogła wpływać na politykę weryfikacji tego samego artefaktu. Przy włączonej globalnej weryfikacji podpisów OCI (`OCI_TRUST_POLICY` z `enabled: true`) atakujący z prawem zapisu do tagu OCI mógł opublikować niepodpisany lub niepoprawnie podpisany artefakt, co prowadziło do obejścia weryfikacji podpisu i wdrożenia niezaufanej treści.

libde265 to otwartoźródłowa implementacja kodeka wideo H.265. Wersje przed 1.1.1 używają arytmetyki 32-bitowej ze znakiem do obliczania rozmiaru bufora wejściowego sample adaptive offset, co pozwala spreparowanemu strumieniowi HEVC o dużych wymiarach i 16-bitowych próbkach luma wywołać przepełnienie liczbowe, zbyt małą alokację i odczyt poza granicami sterty.

libde265 to otwartoźródłowa implementacja kodeka wideo H.265. Wersje przed 1.1.1 używają arytmetyki 32-bitowej ze znakiem do obliczania przesunięć pikseli, co pozwala spreparowanemu strumieniowi HEVC o dużych wymiarach obrazu wywołać przepełnienie liczbowe i odczyty lub zapisy poza granicami sterty.

Hoverfly w wersjach przed 1.12.8 używa http.DefaultClient bez konfiguracji limitu czasu dla zdalnych akcji post-serve. Gdy zdalny punkt końcowy jest nieosiągalny lub celowo powolny, każde wywołane żądanie proxy tworzy goroutine, która blokuje się na czas nieokreślony na http.DefaultClient.Do().

Hoverfly to otwartoźródłowe narzędzie do symulacji API. W wersjach przed 1.12.8, gdy Hoverfly działa w trybie Diff, funkcja AddDiff() zapisuje do współdzielonej mapy responsesDiff bez żadnej synchronizacji (brak mutexa). Przy równoczesnym przetwarzaniu wielu żądań proxy równoczesne zapisy do mapy wywołują wbudowany detektor wyścigów Go, powodując błąd fatal error: concurrent map read and map write i natychmiastowe zabicie całego procesu Hoverfly.

Kimai w wersjach przed 2.58.0 zawiera uwierzytelnione problemy z cross-site request forgery w domyślnych skrótach tworzenia zespołów dla projektów, klientów i działań. Punkty końcowe są dostępne przez trasy GET i bezpośrednio tworzą lub ponownie wykorzystują zespół, dodają bieżącego użytkownika jako lidera zespołu i wiążą obiekt docelowy z tym zespołem.

libks zapewnia podstawowe wsparcie dla produktów signalwire C. W wersjach przed 2.0.11 funkcja clean_uri() w parserze żądań HTTP libks nie odrzuca URI, których ścieżka ma więcej segmentów niż może pomieścić wewnętrzny bufor kanonizacji. Krok kanonizacji po cichu przepuszcza takie URI z osadzonymi sekwencjami "..", umożliwiając path traversal u każdego konsumenta, który później łączy URI ze ścieżką systemu plików.

OpenTelemetry eBPF Profiler w wersjach od 0.0.202527 do przed 0.0.202622 pozwala nieuprzywilejowanemu procesowi spowodować, że profiler otworzy nieregularny plik mapowania, taki jak FIFO, i zablokuje się na czas nieokreślony, uniemożliwiając dalszą analizę ELF i powodując odmowę usługi.

matrix-sdk-crypto w wersjach od 0.12.0 do przed 0.17.0 pomijał sprawdzenie identyfikatora użytkownika podczas odszyfrowywania zdarzenia zaszyfrowanego Olm zawierającego właściwość sender_device_keys. Może to być wykorzystane do sfałszowania zaszyfrowanego zdarzenia to-device, ale tylko jeśli atakujący współpracuje z operatorem homeservera.

OpenMRS to otwartoźródłowa platforma elektronicznej dokumentacji medycznej. W wersjach przed 1.23.0 i 2.10.0 uwierzytelniony użytkownik może wywołać administracyjne usługi DWR. W szczególności dostępna jest metoda startHl7ArchiveMigration, która powinna być ograniczona do kont o uprawnieniach administratora.

Concrete CMS w wersjach poniżej 9.5.3 jest podatny na trwały XSS poprzez pole Date Format w bloku Page Attribute Display. Użytkownik z uprawnieniem edit_page_contents może zapisać złośliwy kod, który wykona się w przeglądarce każdego odwiedzającego stronę, na której blok wyświetla atrybut typu data.

Concrete CMS w wersjach poniżej 9.5.3 nie stosuje escapowania HTML dla pól opisu pliku i tagów podczas renderowania bloku Document Library. Użytkownik mogący edytować właściwości plików może zapisać złośliwy skrypt, który wykona się w przeglądarce każdego odwiedzającego stronę z włączoną kolumną opisu lub tagów, w tym niezalogowanych.

Concrete CMS w wersjach 9.5.2 i poniżej jest podatny na CSRF w funkcji Express "Clear Entries" (POST /index.php/dashboard/system/express/entities/delete_entries), ponieważ kontroler rejestruje, ale nie egzekwuje nieudanej weryfikacji tokenu CSRF. Zdalny niezalogowany atakujący może zmusić zalogowanego administratora odwiedzającego stronę kontrolowaną przez atakującego do trwałego usunięcia wszystkich wpisów wybranej encji Express.

API bloków Concrete CMS w wersjach 9.2.0 do 9.5.2 nie wywoływało metody validate() kontrolera typu bloku dla przesłanych danych, co dla bloków odwołujących się do plików (np. hero_image, gallery) pozwalało na zapisanie i wyświetlenie odwołania do pliku, który normalnie zostałby odrzucony przez politykę autoryzacji menedżera plików. Ujawnia to URL i podgląd pliku edytorowi oraz odwiedzającym stronę.

Narzędzia Apko i melange weryfikowały jedynie hash sekcji kontrolnej (np. .PKGINFO) względem podpisanego APKINDEX, ale nie sprawdzały hasha sekcji danych, czyli właściwych plików pakietu. Atakujący mogący przejąć mirror, zatruć cache lub przeprowadzić atak MITM mógł podmienić dowolną zawartość plików, podczas gdy kontrola hasha sekcji kontrolnej nadal przechodziła pomyślnie.

W Shelf uwierzytelnieni użytkownicy z uprawnieniem asset:import mogą wywoływać po stronie serwera żądania HTTP do adresów kontrolowanych przez atakującego poprzez funkcję importu zawartości CSV. Logikę walidacji imageUrl można obejść m.in. przez rozszerzenia obrazów, słowa kluczowe ścieżek, dopasowanie podciągów domeny i łańcuchy przekierowań, co prowadzi do podatności SSRF. Dodatkowo treści odpowiedzi są buforowane w całości przed sprawdzeniem rozmiaru, co stwarza wektor wyczerpania pamięci.