Katalog podatności CVE

Problem bezpieczeństwa w generowaniu kluczy indeksu 2dsphere w MongoDB może powodować awarię serwera z powodu wyłuskania pustego wskaźnika. Gdy specjalnie spreparowany dokument GeoJSON jest wstawiany do kolekcji z indeksem 2dsphere, niespójność w parsowaniu geometrii może pozostawić wewnętrzny obiekt w nieprawidłowym, częściowo zainicjalizowanym stanie. Podczas późniejszego generowania klucza indeksu, dostęp do tego nieprawidłowo zainicjalizowanego obiektu powoduje wyłuskanie pustego wskaźnika, co kończy proces mongod. Uwierzytelniony użytkownik z prawem zapisu może to wykorzystać do spowodowania denial of service.

Problem bezpieczeństwa istnieje w parserze JSON Pointer serwera MongoDB używanym podczas przetwarzania filtrów zapytań $jsonSchema. Gdy polecenie find zawiera specjalnie spreparowane pole filtra $jsonSchema, parser przetwarza dane wejściowe bez egzekwowania odpowiednich limitów liczby iteracji lub całkowitego rozmiaru alokacji, co powoduje znaczną amplifikację pamięci. Pod współbieżnym obciążeniem żądaniami, skumulowane zużycie pamięci może wyczerpać dostępną pamięć sterty, powodując, że mechanizm obsługi braku pamięci serwera kończy proces mongod i odmawia usługi wszystkim podłączonym klientom.

W integracji autoryzacji LDAP w MongoDB, w pewnych konfiguracjach, połączone połączenia LDAP mogą zachowywać nieaktualne tożsamości uwierzytelniające po uwierzytelnieniu użytkownika. Kolejne zapytania autoryzacyjne mogą być wykonywane pod niezamierzoną tożsamością LDAP, co może prowadzić do nieprawidłowych przypisań ról i potencjalnie umożliwić uwierzytelnionemu użytkownikowi uzyskanie podwyższonych uprawnień niezgodnych z polityką autoryzacji wdrożenia.

Wyrażenie $regexFindAll może być użyte przez uwierzytelnionego użytkownika, który może uruchamiać etapy potoku agregacji, do spowodowania awarii serwera MongoDB (mongod). W określonych warunkach dopasowanie regex może rozpocząć się w środku znaku składającego się z wielu jednostek kodowych, co wywołuje asercję podczas wykonywania zapytania.

Wykryto podatność na ujawnienie informacji w Omada Controller. Endpoint API przeznaczony do inicjalizacji kontrolera pozostaje dostępny po zakończeniu inicjalizacji i może ujawniać informacje związane z kontem nieuwierzytelnionym zdalnym użytkownikom. Skuteczne wykorzystanie może pozwolić atakującemu na zdalne zapytanie do podatnego endpointu, co może ułatwić enumerację użytkowników i późniejsze ataki na konta administracyjne.

mfish-nocode-pro v1.0.0 zawiera podatność na iniekcję SQL w parametrze tableName w ścieżce /sys/dbConnect/data. Podatność umożliwia atakującym dostęp do wrażliwych informacji w bazie danych poprzez spreparowane zapytanie SQL.

Movie_Recommend v1.0.0 zawiera podatność na iniekcję SQL w parametrze sort w ścieżce /loadingmore. Podatność umożliwia atakującym dostęp do wrażliwych informacji w bazie danych poprzez spreparowane zapytanie SQL.

Przeglądarka UC Browser dla systemu Android (pakiet com.UCMobile.intl, wersja 13.7.8.1314) zawiera podatność typu Universal Cross-Site Scripting, która umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście dowolnego origin. Atakujący umieszcza specjalnie spreparowany URL na domenie należącej do UC (poprzez odbity XSS), wykorzystuje wewnętrzny mostek JavaScript przeglądarki do zarejestrowania opóźnionego wywołania zwrotnego, nawiguje do witryny ofiary, a następnie wykonuje kod na tej witrynie po odrzuceniu okna logowania.

AshAi udostępnia operacje odczytu Ash dla wywołań narzędzi modeli językowych. Narzędzie odczytu akceptuje typ wyniku agregacji (min, max, sum, avg), który buduje tymczasową agregację Ash.Query.Aggregate na nazwanym polu i zwraca jego surową wartość. Polityki pól Ash usuwają zabronione pola z zwracanych rekordów (zastępując je %Ash.ForbiddenField{}), ale to usuwanie nie dotyczy wartości agregatów. Osoba wywołująca narzędzie może zatem odczytać pole, którego zabraniają polityki pól dla wywołującego aktora, żądając go jako agregatu; w szczególności min/max zwracają rzeczywistą wartość pola. Obejmuje to pola, które są public? true, ale ograniczone per-aktor przez politykę pól, takie jak wrażliwe dane PII. Istniejąca kontrola narzędzia wymagała tylko, aby pole było publiczne, co jest oddzielną osią od autoryzacji polityki pól per-aktor. Poprawka autoryzuje zagregowane pole względem polityk pól zasobu, więc agregowanie po polu, którego aktor nie może widzieć, jest odrzucane lub ograniczane do wierszy, gdzie jest widoczne. Problem dotyczy ash_ai: od 0.1.0 przed 1.0.3.

AshLua udostępnia operacje odczytu Ash dla skryptów Lua uruchamianych przez akcję eval. Wywołanie odczytu akceptuje operację (list, min, max, first, sum, avg), która buduje tymczasową agregację Ash.Query.Aggregate na nazwanym polu i zwraca jego surową wartość. Polityki pól Ash usuwają zabronione pola z zwracanych rekordów (zastępując je %Ash.ForbiddenField{}), ale to usuwanie nie dotyczy wartości agregatów. Skrypt może zatem odczytać pole, którego zabraniają polityki pól dla wywołującego aktora, żądając go jako agregatu zamiast jako pola. Obejmuje to pola, które są public? true, ale ograniczone per-aktor przez politykę pól, takie jak wrażliwe dane PII. Wcześniejsze zabezpieczenie egzekwowało tylko listę dozwolonych pól (widoczność pól), co jest oddzielną osią od autoryzacji polityki pól per-aktor. Poprawka autoryzuje zagregowane pole względem polityk pól zasobu, więc agregowanie po polu, którego aktor nie może widzieć, jest odrzucane lub ograniczane do wierszy, gdzie jest widoczne. Problem dotyczy ash_lua: od 0.1.0 przed 0.2.2.

Dostawca Apache Airflow FAB w wersjach od 3.7.3 do 3.8.0 nie weryfikuje wystawcy ani odbiorcy tokenów `id_token` Azure AD podczas logowania OAuth. Wdrożenia są zagrożone tylko wtedy, gdy menedżer uwierzytelniania FAB jest skonfigurowany z Azure AD jako dostawcą OAuth. Ponieważ klucze podpisujące są pobierane z wielodostępowego punktu końcowego JWKS Microsoftu, token `id_token` wybity w dowolnej dzierżawie Azure — w tym takiej, którą atakujący sam utworzy — przechodzi weryfikację podpisu, a nazwa użytkownika i przypisane role są następnie odczytywane z tego tokena kontrolowanego przez atakującego. Każdy, kto może zarejestrować dzierżawę Azure, może więc uwierzytelnić się w interfejsie Airflow bez wcześniejszego dostępu do wdrożenia.

W komponencie Column Management systemu ClassCMS 1CMS v5.6 występuje uwierzytelniona podatność na trwały cross-site scripting (XSS), która umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola tytułu.

NVIDIA Triton Inference Server dla systemu Linux zawiera podatność polegającą na braku autoryzacji, którą atakujący może wykorzystać. Udane wykorzystanie tej podatności może prowadzić do ujawnienia informacji, manipulacji danymi oraz odmowy usługi.

W Fortinet FortiSandbox (w tym FortiSandbox Cloud i PaaS) w wielu wersjach występuje nieprawidłowa kontrola dostępu. Atakujący może uzyskać dostęp do poufnych informacji poprzez spreparowane żądania HTTP.

Podatność na nieprawidłową kontrolę dostępu w Fortinet FortiManager (wersje 7.6.0-7.6.4, 7.4.0-7.4.10, 7.2 wszystkie) oraz FortiManager Cloud (wersje 7.6.2-7.6.4, 7.4.1-7.4.10, 7.2 wszystkie) może pozwolić administratorowi na ominięcie procesu zatwierdzania dla sesji przepływu pracy poprzez spreparowane żądania HTTP lub HTTPS.

Podatność w implementacji powłoki UEFI (Unified Extensible Firmware Interface) w serwerach Cisco UCS i urządzeniach opartych na UCS może pozwolić uwierzytelnionemu atakującemu z kontem użytkownika lub administratora albo nieuwierzytelnionemu atakującemu z fizycznym dostępem na obejście walidacji UEFI Secure Boot i wykonanie nieautoryzowanego oprogramowania. Podatność wynika z dostępności poleceń zapisu do pamięci w powłoce UEFI podczas włączonego Secure Boot. Atakujący może wybrać opcję UEFI Shell przy starcie i użyć poleceń do modyfikacji zmiennych pamięci UEFI, co pozwala na manipulację środowiskiem przed uruchomieniem systemu i wykonanie nieautoryzowanego oprogramowania.

NVIDIA Triton Inference Server dla systemu Linux zawiera podatność, która pozwala atakującemu na wywołanie nadmiernej iteracji. Udane wykorzystanie tej podatności może prowadzić do odmowy usługi.

Złośliwa strona internetowa może wielokrotnie wywoływać zewnętrzne schematy URL, powodując wyświetlanie monitów systemowych lub uruchamianie zewnętrznych aplikacji. Może to sprawić, że Firefox dla iOS będzie tymczasowo bezużyteczny, dopóki strona nie zostanie zamknięta. Luka została naprawiona w Firefox dla iOS 155.1.

Palety `vtoken-minting` i `slpx` w Bifrost zawierają podatność na nieprawidłową autoryzację w przypisywaniu prowizji kanałowych. Podpisane konto może podać dowolny zarejestrowany `channel_id` podczas mintowania tokenów bez weryfikacji, czy wywołujący jest uprawniony do mintowania w imieniu tego kanału. Umożliwia to atakującemu zawyżenie zarejestrowanego wolumenu mintowania kanału i spowodowanie nieproporcjonalnego rozdzielenia płatności prowizyjnych na rzecz tego kanału podczas rozliczania prowizji.

Snipe-IT przed wersją 8.7.0 zawiera podatność na wstrzykiwanie CSS w polu Custom CSS z powodu niepełnej sanityzacji, która odwraca kodowanie HTML dla znaków większości i cudzysłowu. Superużytkownicy mogą umieścić złośliwe ładunki CSS używając @import i url() w celu eksfiltracji tokenów CSRF innych superużytkowników poprzez reguły selektorów atrybutów, co umożliwia przejęcie konta.