Katalog podatności CVE

Niespójna interpretacja żądań HTTP/2 w AWS Application Load Balancer z włączonym AWS WAF może umożliwić zdalnym atakującym ominięcie inspekcji treści reguł zarządzanych AWS WAF poprzez spreparowane żądania HTTP/2, które fragmentują treść żądania między ramkami, co powoduje inspekcję tylko częściowej treści. Problem dotyczy tylko grup docelowych ALB dla HTTP/2.

Niespójna interpretacja żądań HTTP/2 w Amazon CloudFront z włączoną usługą AWS WAF może umożliwić zdalnym atakującym ominięcie inspekcji treści zarządzanych reguł AWS WAF poprzez wysyłanie spreparowanych żądań HTTP/2, które fragmentują treść żądania między ramkami, tak że inspekcja obejmuje tylko jej część.

Podatność w systemie Gorse przed wersją 0.5.10 umożliwia ominięcie uwierzytelnienia w endpointach /api/dump i /api/restore. Gdy klucz API administratora (admin_api_key) jest pusty (domyślna konfiguracja), nieuwierzytelniony atakujący może uzyskać dostęp do chronionych funkcji.

W narzędziu HTTP tool URL builder biblioteki googleapis/mcp-toolbox wykryto podatność na path traversal. Podczas konstruowania zapytań API, atakujący może dostarczyć parametry ścieżki zawierające sekwencje przejścia do katalogu nadrzędnego (../), co pozwala na ominięcie ograniczeń ścieżki i dostęp do nieautoryzowanych zasobów na tym samym hoście docelowym.

Podatność w skrypcie Performer Arbitrary File Deletion w Paid Videochat Turnkey Site w wersjach do 7.4.8 umożliwia usunięcie dowolnego pliku na serwerze. Atakujący może wykorzystać tę lukę do usunięcia krytycznych plików systemowych lub aplikacji.

Rozszerzenie JoomCCK dla Joomla udostępnia zadanie kontrolera front-end, które tworzy dwa zapytania SQL poprzez bezpośrednie konkatenowanie parametru żądania dostarczonego przez użytkownika do ciągu zapytania bez odpowiedniego escapowania lub parametryzacji.

Podatność w Gitea act_runner z backendem Docker (do wersji act 0.262.0) pozwala na ominięcie ograniczeń trybu uprzywilejowanego. Poprzez przekazanie parametrów kontenera, takich jak --pid=host, --cap-add i --security-opt, użytkownik może uzyskać dostęp do przestrzeni nazw hosta i eskalować uprawnienia do roota.

Wtyczka Invoice Generator dla WordPressa do wersji 1.0.0 włącznie zawiera lukę umożliwiającą eskalację uprawnień. Brak weryfikacji uprawnień w akcji AJAX pravel_invoice_edit_account() pozwala nieuwierzytelnionym atakującym na zmianę adresu e-mail dowolnego użytkownika, w tym administratora, a następnie wykorzystanie mechanizmu resetowania hasła do przejęcia konta.

Podatność w oprogramowaniu układowym sterowników Daktronics umożliwia zdalnym użytkownikom (zarówno uwierzytelnionym, jak i nieuwierzytelnionym) opuszczenie zamierzonego katalogu i wyliczanie dowolnych ścieżek systemu plików.

W Kestra przed wersjami 1.0.45 i 1.3.21 filtr uwierzytelniania REST API pomija sprawdzanie poświadczeń dla żądań kończących się na '/configs'. Niezalogowany atakujący może wykorzystać to do tworzenia przepływów z zadaniami Shell lub Process, które wykonują się jako root w kontenerze, a przez zamontowany /var/run/docker.sock uzyskują dostęp do demona Dockera na hoście.

W Kestra OSS przed wersjami 1.0.45 i 1.3.21, filtr AuthenticationFilter używa metody endsWith("/configs") do sprawdzenia, czy żądanie dotyczy publicznego endpointu konfiguracji. Ponieważ jest to dopasowanie sufiksu, a nie dokładnej ścieżki, każdy interfejs API, którego ostatni segment to "configs", omija uwierzytelnianie. Niezautoryzowany atakujący może wykorzystać tę lukę do tworzenia i wykonywania dowolnych przepływów pracy bez poświadczeń.

Budibase przed wersją 3.39.9 zawiera podatność polegającą na nieprawidłowej walidacji dowiązań symbolicznych podczas przetwarzania plików ZIP. Atakujący na poziomie builder może wstrzyknąć dowiązanie symboliczne wskazujące na dowolny plik w systemie, który zostanie odczytany i przesłany do MinIO, a następnie udostępniony przez API.

Budibase przed wersją 3.39.12 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na odczytanie wszystkich dokumentów z kolekcji MongoDB, CouchDB, Elasticsearch, DynamoDB-PartiQL lub REST-with-JSON-body, a w przypadku publicznych zapytań typu write również na modyfikację wszystkich dokumentów za pomocą jednego żądania HTTP. Problem wynika z nieprawidłowego walidowania danych wejściowych w funkcji validateQueryInputs, która odrzuca tylko znaczniki Handlebars, ale nie escapuje metaznaków JSON, co umożliwia wstrzyknięcie dodatkowych pól do obiektu filtra.

Budibase przed wersją 3.39.0 zawiera podatność, która pozwala anonimowemu atakującemu na uzyskanie podpisanej URL do zapisu do dowolnego zasobnika S3, do którego ofiara ma dostęp. Atak wymaga znajomości identyfikatora przestrzeni roboczej i źródła danych S3, ale nie wymaga uwierzytelnienia.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na błędzie off-by-one w funkcji dlm_match_regions(). Pętla porównująca regiony lokalne i zdalne używa operatora '<=' zamiast '<', co powoduje odczyt danych poza dozwolonym zakresem tablicy qr_regions. Pozostałe pętle w tej samej funkcji poprawnie używają operatora '<'.

OpenProject przed wersjami 17.3.3 i 17.4.1 zawiera podatność na wstrzyknięcie SQL w funkcji znaczników czasu. Atakujący może wykorzystać parametr timestamps do wykonania nieautoryzowanych zapytań do bazy danych.

W OpenProject przed wersjami 17.3.3 i 17.4.1 wykryto podatność IDOR w endpointcie /projects/<A>/settings/project_storages/<A_ps_id> przez parametr PATCH "storages_project_storage[project_folder_id]". Administrator projektu może przejąć zarządzany folder Nextcloud lub OneDrive innego projektu na tym samym magazynie, co prowadzi do nieautoryzowanego dostępu do zasobów.

OpenProject to otwartoźródłowe oprogramowanie do zarządzania projektami oparte na sieci Web. Przed wersjami 17.3.3 i 17.4.1 zatrucie pamięci podręcznej prowadziło do zdalnego wykonania kodu (RCE).

Oficjalny obraz Dockera OpenProject zawiera domyślny klucz SECRET_KEY_BASE=OVERWRITE_ME, co w połączeniu z serializatorem cookies :marshal umożliwia każdemu zalogowanemu użytkownikowi deterministyczną deserializację Marshal przez czytnik ciasteczek /my/two_factor_devices. Podatność została naprawiona w nowszej wersji.