Katalog podatności CVE

W FreeIPA wykryto wadę: polecenie trust-fetch-domains jest chronione jedynie uprawnieniem tylko do odczytu na obiekcie trust, zamiast uprawnieniem administracji trustem. Umożliwia to uwierzytelnionemu, nieuprzywilejowanemu użytkownikowi IPA wywołanie uprzywilejowanego odświeżenia zaufania Active Directory przy użyciu danych dostarczonych przez atakującego, co prowadzi do nieautoryzowanej modyfikacji danych domen zaufanych i zakresów ID w katalogu IPA LDAP.

W aplikacji GMS w wersji 9.5.1 (Build 9510.1044) i wcześniejszych wykryto podatność związaną z niebezpiecznym przetwarzaniem serializowanych obiektów w jednej z usług. Lokalny atakujący, mający możliwość interakcji z tą usługą, może wykorzystać tę podatność do wykonania nieautoryzowanych działań w ramach dotkniętego komponentu.

Wtyczka Frontend Admin by DynamiApps dla WordPressa, we wszystkich wersjach do 3.29.9 włącznie, zawiera podatność na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą zresetować hasło dowolnego użytkownika, w tym administratora, co prowadzi do pełnego przejęcia konta i kompromitacji strony.

FileRun do wersji 2026.2.0 włącznie zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala uwierzytelnionym atakującym na zdalne wykonanie kodu poprzez przesłanie pliku z złośliwą nazwą zawierającą sekwencje podstawiania poleceń. System generowania miniatur przekazuje nazwy plików w podwójnych cudzysłowach do exec() bez sanityzacji escapeshellarg(), co pozwala na wykonanie poleceń powłoki.

FreeRDP, implementacja protokołu Remote Desktop Protocol, przed wersją 3.30.0 zawiera podatność w funkcji kerberos_DecryptMessage, która nie ogranicza kontrolowanego przez peera pola EC w tokenie GSS Wrap przed użyciem go w offsetach wskaźników IOV. Złośliwy peer RDP może wywołać odczyty poza zakresem i zapisy w miejscu podczas deszyfrowania Kerberos w CredSSP/NLA.

FreeRDP przed wersją 3.30.0 zawiera podatność w serwerowej części RDSTLS, która akceptuje PDU RDSTLS_TYPE_CAPABILITIES dostarczone przez atakującego, podczas gdy rdstls_server_authenticate oczekuje na RDSTLS_TYPE_AUTHREQ. Pozwala to zdalnemu nieuwierzytelnionemu klientowi ominąć sprawdzanie RedirectionGuid, nazwy użytkownika, domeny lub hasła.

FreeCAD przed wersją 1.1.2 zawiera podatność w funkcji PropertyFileIncluded::Restore(), która łączy kontrolowany przez atakującego atrybut pliku lub danych z Document.xml ze ścieżką tymczasową dokumentu bez odrzucania komponentów katalogów, ścieżek bezwzględnych lub przejść nadrzędnych. Złośliwy archiwum .FCStd może zapisać dowolną treść w dowolnej lokalizacji dostępnej dla użytkownika FreeCAD.

FreeCAD przed wersją 1.1.2 zawiera podatność w oknie dialogowym zadania ograniczenia przemieszczenia FEM, która przekazuje pola xDisplacementFormula, yDisplacementFormula i zDisplacementFormula obiektu Fem::ConstraintDisplacement do Gui::Command::doCommand. Pomocnicza funkcja neutralizuje cudzysłowy, ale nie backslashe, co pozwala na wykonanie dowolnego kodu Python z uprawnieniami procesu FreeCAD.

ffuf, szybki fuzzer webowy napisany w Go, przed wersją 2.2.0 pozwala złośliwemu serwerowi docelowemu na wywołanie odmowy usługi przez brak limitu rozmiaru zdekompresowanych odpowiedzi. Ochrona sprawdza tylko skompresowaną długość Content-Length, podczas gdy io.ReadAll czyta odpowiedzi gzip, brotli, deflate, transparentnie zdekompresowane lub chunked bez ograniczenia rozmiaru.

Faker, narzędzie do generowania ogromnych ilości fałszywych danych w przeglądarce i Node.js, przed wersją 10.5.0 zawiera podatność w metodzie faker.helpers.fake, która pozwala kontrolowanym przez atakującego szablonom na dostęp do konstruktora Function przez fakeEval.resolveProperty, gdy funkcja zwraca inną funkcję, umożliwiając wykonanie dowolnego kodu JavaScript.

telegram-search zawiera podatność na trwały atak XSS, która pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach ofiar poprzez wysyłanie spreparowanych wiadomości z nieprzesanizowanym HTML do wspólnej grupy Telegram. Funkcja highlightKeyword w MessageList.vue przekazuje surową treść wiadomości bezpośrednio do v-html bez escapowania HTML ani sanityzacji, co umożliwia trwałe, międzyużytkownikowe, zero-kliknięciowe wykonanie wstrzykniętych payloadów, takich jak procedury obsługi błędów obrazów, gdy ofiary przeglądają lub wyszukują wiadomości.

W search-v2-api stwierdzono błąd polegający na tym, że oprogramowanie pośredniczące uwierzytelniania bezwarunkowo pomija uwierzytelnianie, gdy żądanie zawiera nagłówek `Upgrade: websocket`. Nieuwierzytelniony atakujący może to wykorzystać, wysyłając specjalnie spreparowane żądanie HTTP POST do punktu końcowego `/federated` z nagłówkiem `Upgrade: websocket`, co pozwala na ominięcie uwierzytelniania i dostęp do sfederowanych wyników wyszukiwania we wszystkich skonfigurowanych zdalnych hubach, prowadząc do ujawnienia informacji.

Flawfinder to narzędzie do statycznej analizy kodu C/C++. Wersje przed 2.0.20 mają problem z niewłaściwą neutralizacją danych wejściowych, co prowadzi do manipulacji wyjściem, w tym wstrzykiwania sekwencji escape ANSI i wstrzykiwania XML. Złośliwa nazwa pliku zawierająca sekwencje escape ANSI może zostać uwzględniona w standardowym wyjściu terminala flawfindera, a niezaufane pola (takie jak nazwy plików, kategorie lub kontekst kodu) nie były odpowiednio sanityzowane podczas generowania raportów strukturalnych. Atakujący może to wykorzystać do uszkodzenia formatów CSV lub wstrzyknięcia dowolnych atrybutów XML do wyjść SonarQube przez output_sonar(). Problem został w pełni naprawiony w wersji 2.0.20.

python-socketio to implementacja klienta i serwera Socket.IO w Pythonie. Serwer python-socketio przechowuje binarne wiadomości `EVENT` i `ACK` w pamięci, czekając na ich binarne załączniki. Przed wersją 5.16.4 atakujący może przesłać binarną wiadomość i celowo pominąć wysłanie jednego lub więcej załączników, co powoduje, że wiadomość wraz z częściową listą otrzymanych załączników pozostaje w pamięci przez długi czas. Wersja 5.16.4 wprowadza środki zaradcze: pakiety binarne są akceptowane tylko od uwierzytelnionych klientów, a po rozłączeniu klienta serwer sprawdza, czy istnieje częściowa wiadomość binarna i usuwa ją.

Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.

Oprogramowanie układowe urządzenia Pulsetto Vagus Nerve Stimulator akceptuje kilka nieujawnionych poleceń przez interfejs Bluetooth Low Energy (BLE). Polecenia te są wysyłane bez uwierzytelniania i szyfrowania, nigdy nie są wydawane przez towarzyszącą aplikację mobilną, ale są w pełni przetwarzane przez urządzenie, gdy jest włączone.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.1.3.6 włącznie. Wtyczka przechowuje zaszyfrowany plik opcji jako options-{migrate_key}.txt w katalogu wp-content/instawpbackups/ bez zabezpieczenia przed listowaniem katalogów, co ujawnia 40-znakowy migrate_key na serwerach Apache z włączonym indeksowaniem katalogów. Atakujący może wyprowadzić hasło AES-256-CBC przez SHA256(migrate_key), odszyfrować plik opcji i odzyskać api_signature, co umożliwia nieuwierzytelnionym atakującym uzyskanie danych dostępowych do bazy danych i api_signature. Eksploatacja wymaga hostingu na Apache z włączonym listowaniem katalogów i jest ograniczona czasowo do okresu migracji.

electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.120 electerm pozwala złośliwemu serwerowi RDP na zapisywanie treści kontrolowanych przez atakującego poza wybranym katalogiem zapisu, ponieważ ścieżka pobierania schowka RDP w src/client/components/rdp/file-transfer.js przekazuje kontrolowaną przez serwer nazwę pliku CLIPRDR fileInfo.name do osResolve bez sanityzacji. Problem został naprawiony w wersji 3.15.120.

electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.186 electerm pozwala uwierzytelnionemu klientowi WebSocket na wywoływanie niezamierzonych funkcji wewnętrznych poprzez kontrolowane przez klienta wartości func w upgrade-func w src/app/server/dispatch-center.js i handleFs w src/app/server/fs.js, ujawniając metody Upgrade i fsExport, które mogą wykonywać polecenia, otwierać pliki, modyfikować system plików lub kończyć proces. Problem został naprawiony w wersji 3.15.186.

electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.120 electerm pozwala złośliwemu serwerowi FTP lub SFTP na zapisywanie treści kontrolowanych przez atakującego poza wybranym katalogiem pobierania, ponieważ transfery rekurencyjne w src/client/components/file-transfer/transfer.jsx przekazują dostarczone przez serwer wartości file.name i folder.name do resolve bez sanityzacji. Problem został naprawiony w wersji 3.15.120.