Katalog podatności CVE

W Vitest od wersji 4.1.11 do 4.1.12 i 5.0.3 funkcje isFileLoadingAllowed i odczyt systemu plików interpretują backslashe inaczej w systemie Windows w pliku packages/mocker/src/node/interceptorPlugin.ts. Gdy klient może dotrzeć do serwera deweloperskiego Vite w systemie Windows i zarejestrować mock przekierowania zawierający traversal z backslashem, łączenie POSIX zachowuje traversal z backslashem Windows, który późniejszy odczyt systemu plików interpretuje jako separator ścieżki, więc klient może odczytać plik poza server.fs.allow, do którego proces Vitest ma dostęp.

W Vitest od wersji 2.1.0-beta.7 do 4.1.12 i 5.0.3 nieuwierzytelniony klient WebSocket inny niż przeglądarka, który może dotrzeć do serwera deweloperskiego używającego interceptorPlugin, może zarejestrować ręczny mock, którego kontrolowany przez atakującego adres URL createManualModuleSource wstawia bez escapowania do wygenerowanego źródła modułu. Gdy przeglądarka dewelopera ładuje zaatakowany moduł, kontrolowany przez atakującego JavaScript wykonuje się w origin serwera deweloperskiego.

Vitest w wersjach od 5.0.0-beta.6 do 5.0.5 nieprawidłowo stosuje ustawienie server.fs.deny, ponieważ serwery projektowe zastępują domyślne ustawienia Vite, a serwer główny dodaje plik .vitest-secret-token po skompilowaniu matchera przez Vite. Atakujący z dostępem do interfejsu UI, trybu Browser Mode lub serwera API może odczytać zablokowane pliki projektu lub token API w node_modules/.vitest/.vitest-secret-token, a tryb Browser Mode z test.projects może ujawnić wartości .env przez złośliwą stronę.

Vite w wersjach od 8.2.0 do 8.2.4 oraz 8.3.3 pozwala na zwrócenie do przeglądarki pierwszych 4 bajtów plików spoza ustawienia server.fs poprzez żądanie zawierające parametr ?vite-wasm-instance. Wewnętrzny plugin Wasm usuwa parametr i odczytuje ścieżkę bezpośrednio z dysku, nie stosując kontroli server.fs, a błąd parsowania WebAssembly ujawnia pierwsze 4 bajty pliku.

Vite przed wersjami 6.4.4, 7.3.7, 8.1.6, 8.2.4 i 8.3.3 może zapisać w safeModulePaths adres URL względny wobec katalogu głównego zamiast oczyszczonego identyfikatora modułu. Na dostępnym sieciowo serwerze deweloperskim (nie na Windows) zaimportowany plik projektu, którego URL odpowiada absolutnej ścieżce hosta, może autoryzować późniejsze żądanie odczytu tego pliku hosta, jeśli nie zablokuje go server.fs.deny.

Wtyczka WordPress SureCart w wersjach do 4.9.5 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.

Wtyczka WordPress Booktics w wersjach do 1.0.30 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.

Wtyczka WordPress Bus Ticket Booking with Seat Reservation w wersjach do 5.9.7 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.

Wtyczka WordPress WP User Manager w wersjach do 2.9.25 zawiera podatność polegającą na braku autoryzacji, umożliwiającą manipulowanie stanem użytkownika. Może to pozwolić nieuprawnionym użytkownikom na zmianę stanu kont innych użytkowników.

Wtyczka WordPress Rootblox w wersjach do 1.0.7 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.

A2A Java SDK przed wersją 1.3.0.Final pozwala złośliwemu lub przejętemu zdalnemu agentowi spowodować, że domyślny klient oparty na JDK przekaże skonfigurowany klucz API do serwera strony trzeciej. AuthInterceptor używa nazwy z APIKeySecurityScheme.name() z zdalnego AgentCard jako nazwy nagłówka HTTP bez sprawdzenia, że zadeklarowana lokalizacja to HEADER, a JdkA2AHttpClient stosuje followRedirects(NORMAL), więc przekierowanie cross-origin kontrolowane przez agenta przenosi nagłówek z poświadczeniami.

Wtyczka WordPress Meta Box – WordPress Custom Fields Framework w wersjach do 5.15.2 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić nieuprawnionym użytkownikom na wykonanie zastrzeżonych akcji.

Apache CouchDB w wersji 3.5.2 i starszych nie filtruje wystarczająco danych uwierzytelniających w bazie _replicator. Uwierzytelniony użytkownik może odczytać poświadczenia replikacji należące do innych użytkowników, a nie tylko własnych.

W Eclipse OpenJ9 do wersji 0.63 otwarcie dostarczonego pakietu zrzutu diagnostycznego narzędziem jdmpview lub równoważnym kodem DTFJ może spowodować, że maszyna analityka odczyta dowolny lokalny plik wskazany w pakiecie i wyśle jego zawartość do dowolnego zdalnego hosta.

Złośliwe urządzenie USB MTP/PTP może spowodować, że host USBX odczyta dane poza bufor sterty podczas zwykłej enumeracji obiektów, ujawniając aplikacji sąsiednie zawartości sterty lub powodując błąd na niezmapowanej stronie.

W module ThreadX z ochroną pamięci żądanie kolejki trafia do warstwy dyspozytorskiej Module Managera, która przekazuje liczbę słów zamiast liczby bajtów do sprawdzenia zakresu. Powoduje to odczyt w trybie uprzywilejowanym do 3 * message_size bajtów poza dozwolony obszar pamięci modułu, a odczytane dane trafiają do obszaru komunikatów kolejki.

Dekoder JPEG GUIX odczytuje cztery rodzaje segmentów znaczników bez sprawdzenia, czy każdy z nich jest wystarczająco długi. Obcięty segment powoduje odczyt poza bufor obrazu wywołującego, a zerowy współczynnik próbkowania chrominancji powoduje nieskończoną pętlę dekodowania bloków.

Funkcja _gx_binres_pixelmap_table_load() w loaderze zasobów binarnych GUIX indeksuje tablicę pixelmap wartością odczytaną wprost z pliku zasobu, bez sprawdzenia granic. Spreparowany motyw powoduje zapis do około 256 KB poza koniec tablicy, uszkadzając własny obszar pamięci GUIX.

Funkcje gx_binres_theme_load() i gx_binres_font_load() przyjmują zasób jako wskaźnik GX_UBYTE * bez długości, a struktura GX_BINRES_DATA_INFO nie ma pola na rozmiar. Zasób deklarujący więcej danych niż zawiera jest odczytywany poza swój koniec, a przesunięcie z pliku jest zamieniane na wskaźnik bez sprawdzenia granic.

Dekoder JPEG GUIX nie wymusza kolejności znaczników JPEG. Plik umieszczający drugi nagłówek ramki SOF0 po SOS powoduje ponowne uruchomienie parsera nagłówka po przydzieleniu bufora wyjściowego, a dekoder zwraca GX_SUCCESS i publikuje GX_PIXELMAP o wymiarach i data_size przekraczających alokację.