Katalog podatności CVE

fastify-cli uruchamia Node.js Inspector, gdy używana jest flaga debugowania, ale ignoruje jawny adres bind podany przez użytkownika i wiąże Inspector z szeroko dostępnym adresem zamiast z loopbackiem. Może to wystawić interfejs debugowania poza maszynę lokalną, a ponieważ protokół Inspector pozwala na dowolną ocenę kodu, zdalny atakujący może uzyskać zdalne wykonanie kodu na maszynie dewelopera. Dotyczy fastify-cli od 1.5.0 do 8.0.1. Użytkownicy powinni zaktualizować do fastify-cli 8.0.1, który respektuje skonfigurowany adres bind Inspectora.

Podczas kończenia działania gości, proces czyszczenia urządzeń PCI przypisanych do gości oraz usuwania struktur śledzących dla IRQ używanych przez te urządzenia następuje stosunkowo wcześnie. Po tym punkcie gość, który ma być zakończony, może spowodować, że jego model urządzenia (DM) ponownie utworzy takie struktury śledzące, wiążąc jeden lub więcej IRQ na nowo. Niektóre z tych struktur zostaną później wyczyszczone, ale co najmniej jedna nie.

Klient może wysyłać specjalnie spreparowane żądania HTTP/1.1 chunked do serwera Jetty, które powodują, że Jetty i pośredniczący proxy interpretują różne granice żądań, co może prowadzić do przemycania żądań HTTP (HTTP request smuggling). Jest to spowodowane akceptowaniem przez Jetty pojedynczego znaku LF jako terminatora w częściach parsowania żądań chunked. W zależności od wersji Jetty i skonfigurowanego trybu zgodności HTTP może to wystąpić w rozszerzeniach chunk, terminacji danych chunk lub terminacji nagłówków trailer.

Klient może wysyłać żądania HTTP/2 do serwera Jetty, które powodują blokowanie zapisów, które nigdy nie są odblokowywane, co ostatecznie prowadzi do zablokowania wszystkich wątków i całkowitej niedostępności serwera. Jest to spowodowane warunkiem wyścigu w serwerze podczas obsługi ramek RST_STREAM i GOAWAY wysyłanych przez klienta. Warunek wyścigu "resetuje" HTTP2Flusher.terminated, wcześniej ustawiony na nie-null, do wartości null, co pozwala na enqueuing wpisów w flusher, które jednak nigdy nie zostaną przetworzone. Te nieprzetworzone wpisy to te, które miałyby odblokować zablokowane wątki.

Nieograniczona rekurencja (CWE-674) w ścieżce serializacji QDomDocument/QDomNode modułu Qt XML (QtXml, qtbase). Metody QDomElementPrivate::save() i QDomNodePrivate::save() wywołują się wzajemnie, zużywając jedną ramkę stosu na każdy poziom zagnieżdżenia elementów bez limitu głębokości, konfigurowalnego ograniczenia ani zwracania błędu. Dokument z głęboko zagnieżdżonymi elementami parsuje się poprawnie, ale wyczerpuje stos wywołań i kończy proces podczas serializacji.

PX4 Autopilot do wersji 1.17.0 zawiera podatność na odczyt poza zakresem bufora stosu w poleceniu systemowym netman, które nie sprawdza długości nazwy interfejsu. Atakujący mogą podać nazwy interfejsów o długości 74 bajtów lub więcej przez opcję -i, aby odczytać dane poza granicami bufora, wyciekając pamięć stosu do wyjścia konsoli lub zapisując ją do trwałych plików konfiguracyjnych sieci.

PX4 Autopilot do wersji 1.17.0 zawiera podatność use-after-free w module load_mon w ścieżce zatrzymania, gdzie exit_and_cleanup() usuwa obiekt LoadMon i zwalnia licznik wydajności przed tym, jak perf_end() próbuje uzyskać do niego dostęp. Atakujący mogą wywołać tę podatność, wydając polecenie zatrzymania load_mon z dowolnej powłoki PXH lub MAVLink, co powoduje odczyty i zapisy przez zwolnioną pamięć, które uszkadzają obiekty sterty i destabilizują stos lotu.

SiYuan przed wersją 3.8.2 ufa typowi MIME text/siyuan w schowku, który może być modyfikowany przez atakującego, i pomija sanityzację w obsłudze wklejania, co pozwala na wykonanie kodu w rendererze z włączonym Node.js. Atakujący mogą tworzyć złośliwe strony internetowe, które zapisują do schowka, a po wklejeniu do SiYuan, wstrzyknięte skrypty wykonują się z pełnym dostępem do Node.js przez proces główny Electrona.

electerm przed wersją 5.3.15 udostępnia ponad 40 funkcji procesu głównego przez niewalidowany handler IPC Electrona, bez listy dozwolonych nazw funkcji ani walidacji nadawcy. Wykonanie skryptu po stronie renderera może wywołać openFileWithEditor i inne funkcje z dowolnymi argumentami, aby wykonać polecenia systemowe w procesie głównym.

CVE zostało odrzucone. Red Hat Product Security uznało, że to CVE nie jest potrzebne.

W hawtio-operator znaleziono błąd: operator odczytuje prywatny klucz podpisujący Service CA z przestrzeni nazw openshift-service-ca i używa go do tworzenia certyfikatów klienckich z CN dostarczonym przez autora zasobu Hawtio. Operator dostarcza ClusterRole, która agreguje uprawnienia do zasobów Hawtio do ról edit i admin, więc każdy użytkownik z prawem edycji w dowolnej przestrzeni nazw może uzyskać certyfikat podpisany przez Service CA z dowolnym podmiotem. Certyfikat może być użyty do podszywania się pod dowolną tożsamość usługi w klastrze dla elementów ufających Service CA, w tym agentów Jolokia.

W hawtio-operator ClusterRole przyznaje uprawnienia secrets: [create, get, list, update, watch] we wszystkich przestrzeniach nazw. Mimo że operator używa cache z selektorem etykiet jako optymalizacji pamięci, token ServiceAccount autoryzuje dostęp do odczytu wszystkich sekretów w klastrze. Operator omija cache poprzez bezpośrednie wywołania API. Kompromitacja poda operatora umożliwiłaby odczyt wszystkich sekretów w klastrze, w tym tokenów bootstrap, poświadczeń chmurowych i sekretów innych operatorów.

Wtyczka Zephyr Project Manager dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'message' we wszystkich wersjach do 3.3.205 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony, ale tylko gdy wyłączona jest opcja 'Directly link to project'.

W libxml2 z włączonymi powiązaniami Pythona wykryto podatność. Zdalny atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowany dokument XML zawierający definicję typu dokumentu (DTD) z wyliczonymi wartościami atrybutów. Powoduje to podwójne zwolnienie pamięci w handlerze wywołania zwrotnego SAX attributeDecl, gdzie ciąg znaków jest zwalniany dwukrotnie. Ta wada może prowadzić do odmowy usługi (DoS) z powodu powtarzalnego awarii w aplikacjach Pythona używających powiązań SAX libxml2.

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie zwrotnym OAuth Stripe we wszystkich wersjach do 5.27.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym nadpisanie poświadczeń Stripe sklepu (tokeny dostępu, klucze publikowalne i identyfikator konta), przekierowując całe przetwarzanie płatności na konto Stripe atakującego.

Wtyczka Bookly dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'updateAddon' we wszystkich wersjach do 27.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym aktualizację dowolnej wtyczki z głównym plikiem 'main.php' do najnowszej wersji.

Wtyczka Beaver Builder dla WordPressa jest podatna na wykonanie dowolnych shortcode'ów we wszystkich wersjach do 2.10.3.1 włącznie. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.

Wtyczka WPML Multilingual CMS dla WordPressa jest podatna na czasową iniekcję SQL przez parametr 'elementIds' we wszystkich wersjach do 4.9.5 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych. Podatność jest wykorzystywana z powodu obejścia autoryzacji, gdzie zarejestrowany callback autoryzacji nie wykonuje się, pozwalając każdemu uwierzytelnionemu użytkownikowi na dostęp do administracyjnych funkcji tłumaczenia.

Wtyczka Live Composer – Free WordPress Website Builder dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 2.1.18 włącznie poprzez deserializację niezaufanych danych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie obiektu PHP. Brak znanego łańcucha POP w podatnym oprogramowaniu oznacza, że podatność nie ma wpływu, chyba że zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP. Jeśli łańcuch POP jest obecny, może pozwolić atakującemu na usunięcie plików, pobranie wrażliwych danych lub wykonanie kodu.

Wtyczka LearnPress dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'layout_custom_css' we wszystkich wersjach do 4.3.9.1 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.