Katalog podatności CVE

W ApostropheCMS przed wersją 4.33.0 viewRole nie jest stosowana do anonimowych odwiedzających, gdy deweloper udostępnia obiekty użytkowników przez publicznie renderowaną relację lub jawnie włączone publiczne API. Niewystarczająco ograniczone szablony, w tym serializacja całego powiązanego obiektu użytkownika, mogą warunkowo ujawnić pola użytkownika, ale hasła są przechowywane osobno i nie są objęte problemem.

W uploadfs od wersji 1.25.0 do 1.28.0 backend Azure ujawnia token SAS na poziomie konta w każdym publicznym adresie URL załącznika. Gdy uploadfs jest skonfigurowany z backendem Azure i sas: true, createContainer() buduje BlobServiceClient z adresu URL zawierającego pełny ciąg zapytania SAS, a klienci pochodni Azure SDK v12 dziedziczą ten ciąg.

W sanitize-html 2.18.0, gdy element <iframe> nie jest dozwolony, a disallowedTagsMode ma wartość 'discard' (wartości domyślne), jego zawartość surowego tekstu jest ponownie sanityzowana przez rekurencyjne wywołanie sanitizeHtml(text, options). Rekurencja nie ma ograniczenia i rozpoczyna każde zagnieżdżone wywołanie z nowym stanem.

W module import-export przed wersją 3.7.1 oraz w rdzeniu ApostropheCMS przed wersją 4.34.0 redaktor, który może importować włączony typ treści, ale nie ma silniejszej roli publikacji, może spowodować, że pomocniki zapisu importu utworzą, zastąpią lub usuną opublikowane warianty bez normalnych uprawnień do publikacji i kontroli cyklu życia.

W aaPanel do wersji 8.25.0 funkcja send_file w pliku BTPanel/routes/v2.py komponentu Download Endpoint pozwala na manipulację argumentem filename prowadzącą do path traversal. Atak można wykonać zdalnie, a exploit został opublikowany i może być użyty; według dostawcy zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.

W ApostropheCMS przed wersją 4.34.0 zdefiniowane w projekcie pole stylu widgetu o dowolnej formie może przenieść kontrolowany przez redaktora cudzysłów do atrybutu stylu inline, ponieważ serializator opakowania nie stosuje kodowania atrybutów HTML. Cudzysłów może zakończyć atrybut stylu i wstrzyknąć wykonywalne atrybuty podczas renderowania opublikowanej treści lub szkicu wyświetlanego przez użytkownika o wyższych uprawnieniach.

ApostropheCMS w wersji przed 4.34.0 ma endpoint REST getOne dla stron, który nie stosuje ograniczeń typu viewRole ani redakcji pól viewPermission. Użytkownik na poziomie edytora, znający _id dokumentu, może odczytać pełną treść stron dostępnych tylko dla administratorów wraz z uprzywilejowanymi polami, podczas gdy endpoint getAll poprawnie egzekwuje oba ograniczenia.

W ThreadX menedżer modułów przy usuwaniu wątku zwalniał tylko pierwszą z dwóch alokacji (blok kontrolny TX_THREAD i stos jądra TXM_MODULE_KERNEL_STACK_SIZE). Stos jądra pozostawał zajęty do zatrzymania całego modułu, więc moduł tworzący i usuwający wątki w pętli wyczerpywał współdzieloną pulę obiektów, uniemożliwiając tworzenie nowych obiektów jądra i wątków modułów w całym systemie.

Dyspozytor tworzenia puli bloków w menedżerze modułów ThreadX weryfikował tylko dwa słowa ALIGN_TYPE tablicy parametrów dostarczonej przez moduł chroniony pamięciowo, a następnie używał indeksów 0–3. Jedno z niezweryfikowanych słów jest odczytywane przez samą kontrolę zakresu (indeks 1 jako początek puli, indeks 2 jako długość), co powoduje odczyt poza granicami wykonywany przez kod walidacji przed dotarciem do usługi jądra.

W menedżerze modułów ThreadX wyszukiwanie obiektów walidowało tylko jeden bajt nazwy wyszukiwania modułu chronionego pamięciowo, a następnie przeglądało ją w trybie uprzywilejowanym z podniesionym licznikiem wywłaszczania. Funkcja txm_module_object_pointer_get_extended otrzymuje długość, ale jej nie używa do ograniczenia bufora, a przestarzała txm_module_object_pointer_get przekazuje maksymalną wartość UINT, usuwając ograniczenie.

Warstwa dyspozytora menedżera modułów ThreadX przy usuwaniu obiektu jądra sprawdzała jedynie, czy wskaźnik wskazuje poza kod i dane modułu — co jest polityką używania, a nie niszczenia obiektów. Moduł mógł wskazać dowolny obiekt, do którego miał wskaźnik (w tym obiekty utworzone przez aplikację lub inne moduły), i zlecić uprzywilejowanemu dyspozytorowi jego usunięcie.

Serwer HTTP dodatku Web przeszukuje cały pakiet żądania w poszukiwaniu pól nagłówka, zamiast zatrzymać się na końcu sekcji nagłówków. Nazwa pola nagłówka umieszczona w treści żądania jest zgłaszana serwerowi jako nagłówek, co pozwala klientowi kontrolować decyzje o ramowaniu żądania, do których nie powinien mieć dostępu.

Funkcja _gx_multi_line_text_view_display_info_get() odczytuje jeden bajt poza końcem bufora tekstu aplikacji, gdy podany ciąg kończy się znakiem powrotu karetki (\r). Nadmiarowy odczyt może też spowodować przesunięcie indeksu wywołującego poza koniec ciągu, co prowadzi do drugiego nadmiarowego odczytu w _gx_multi_line_text_view_string_total_rows_compute() i wiersza tekstu, którego nie ma w źródle.

VPL (Virtual Programming Lab) dla Moodle w wersji przed 5.0.0 zawiera podatność na odbity cross-site scripting, pozwalającą zdalnym atakującym wstrzyknąć skrypt przez niezakodowane parametry filename1/filename2 w similarity/diff.php. Atakujący może utworzyć link do diff.php z ładunkiem JavaScript, który wykona się, gdy użytkownik z uprawnieniem mod/vpl:similarity go otworzy.

OpenImageIO w wersjach przed 3.0.20.0, 3.1.x przed 3.1.15.0 i 3.2.x przed 3.2.0.3-beta1 zawiera przepełnienie liczb całkowitych w cineon::Codec::Read, które zaniża rozmiar bufora linii skanowania, powodując odczyt poza granicami sterty. Atakujący może dostarczyć spreparowany plik Cineon z ogromną zadeklarowaną szerokością, która zawija obliczenie rozmiaru do zera, przez co UnPackPacked czyta poza 4-bajtowym buforem i powoduje awarię aplikacji.

HarfBuzz od wersji 8.0.0 do 14.6.0 zawiera podatność na dereferencję wskaźnika NULL w eksperymentalnych importach hosta shapera WebAssembly: buffer_set_contents, face_create i font_set_coords. Atakujący może dostarczyć spreparowaną czcionkę, której osadzony moduł wasm przekazuje adresy poza zakresem z niezerowymi długościami, powodując awarię każdej aplikacji kształtującej tekst tą czcionką.

Froxlor w wersjach od 0.10.0 przed 2.3.15 zawiera podatność braku autoryzacji w komendzie API SubDomains.delete, która pozwala uwierzytelnionym klientom usuwać główne domeny przydzielone przez resellera poprzez podanie identyfikatora domeny głównej. Atakujący mogą obejść ograniczenia interfejsu webowego, usunąć domeny, osierocić rekordy vhost, DNS i subdomen oraz doprowadzić licznik subdomains_used poniżej zera, aby uzyskać dodatkowy limit subdomen.

Froxlor w wersjach od 0.10.0 przed 2.3.15 zawiera podatność obejścia autoryzacji w komendzie API Admins.get, która pozwala resellerom odczytać dowolny rekord administratora poprzez pomieszanie identyfikatorów. Atakujący mogą wysłać własną nazwę logowania z numerycznym identyfikatorem innego administratora, aby uzyskać adres e-mail kontaktowy, listy dozwolonych adresów IP, limity zasobów, notatki i historię logowania.

SparkyFitness przed 0.17.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać warianty żywności innych użytkowników poprzez endpoint DELETE /api/foods/food-variants/:id. Atakujący mogą użyć identyfikatorów wariantów z publicznych endpointów odczytu żywności, aby usunąć warianty porcji i wartości odżywczych publicznie udostępnionej żywności, niszcząc dane ofiar.

Outline przed 1.8.0 zawiera podatność nieprawidłowego odbierania dostępu, która pozwala usuniętym administratorom nadal otrzymywać treści dokumentów, ponieważ UserDeletedProcessor nigdy nie wyłącza ich rekordów WebhookSubscription. Byli administratorzy, którzy zarejestrowali webhooki przed usunięciem, nadal otrzymują pełne treści dokumentów, w tym dane Markdown i Yjs, poprzez DeliverWebhookTask dla każdego pasującego zdarzenia w przestrzeni roboczej.