Katalog podatności CVE

PocketMine-MP przed wersjami 3.26.5 i 4.0.5 nie waliduje długości pól danych skóry przesyłanych przez graczy, co pozwala na przekroczenie limitu 32767 bajtów dla TAG_String. Atakujący może wysłać zbyt duże pola, takie jak skinID lub geometryName, co powoduje wyjątki podczas serializacji NBT i prowadzi do awarii serwera.

PocketMine-MP 3.x (przed 3.27.0) nie implementuje szyfrowania protokołu Minecraft Bedrock, więc serwer nie może zweryfikować, czy łączący się klient posiada klucz prywatny odpowiadający jego tokenowi logowania. Atakujący, który przechwyci prawidłowy login z sesji innego gracza (na przykład poprzez nakłonienie gracza do połączenia z serwerem kontrolowanym przez atakującego), może powtórzyć ten login, aby podszyć się pod ofiarę i przejść uwierzytelnianie XBOX Live, dopóki token JWT nie wygaśnie (zwykle 2-3 dni). Dotyczy to serwerów bezpośrednio dostępnych w internecie, które nie są za proxy z włączonym szyfrowaniem. Naprawiono w wersji 4.0.0 i wstecznie w 3.27.0.

PocketMine-MP przed wersją 4.0.6 nie waliduje wartości 'facing' w pakietach PlayerActionPacket (dla akcji START_BREAK i CRACK_BREAK) ani w UseItemTransactionData (zazwyczaj w InventoryTransactionPacket). Zdalny uwierzytelniony atakujący może wysyłać spreparowane pakiety z nieprawidłowymi wartościami 'facing' (np. ujemnymi lub spoza zakresu), aby doprowadzić do awarii serwera, co skutkuje odmową usługi.

PocketMine-MP przed wersją 4.0.7 zawiera podatność nieobsłużonego wyjątku w obsłudze pakietu ModalFormResponsePacket podczas przetwarzania nieprawidłowego JSON od klientów. Atakujący mogą wysyłać specjalnie spreparowane pakiety odpowiedzi formularza z nieprawidłowym JSON, aby wywołać nieprzechwycony wyjątek InvalidArgumentException, powodując awarie serwera.

PocketMine-MP przed wersją 4.2.3 nie waliduje wartości metadanych uszkodzeń w danych NBT narzędzi i zbroi otrzymywanych od klientów. Atakujący mogą wysyłać ujemne lub spoza zakresu wartości uszkodzeń w NBT przedmiotów, aby wywołać nieobsłużone wyjątki w klasie Durable, powodując awarie serwera.

PocketMine-MP przed wersją 4.2.9 nie waliduje poprawnie typów danych NBT podczas deserializacji pakietów transakcji ekwipunku od klientów. Atakujący mogą wysyłać spreparowane transakcje ekwipunku z nieprawidłowymi tagami NBT, aby wywołać awarie serwera i spowodować odmowę usługi.

PocketMine-MP przed wersją 4.2.10 nie waliduje całkowitej długości przychodzących wiadomości czatu przed podzieleniem ich na znaki nowej linii, co pozwala atakującym wysyłać duże wiadomości zawierające wiele znaków nowej linii. Złośliwi klienci mogą wysyłać pakiety czatu o rozmiarze megabajtów i bombardować serwer tysiącami takich wiadomości, powodując zawieszenie serwera na sekundy lub minuty.

PocketMine-MP przed wersją 4.4.2 nieprawidłowo waliduje identyfikatory przedmiotów otrzymywane od klientów w danych NBT itemstack. Atakujący mogą wysłać spreparowane identyfikatory przedmiotów spoza dozwolonego zakresu, aby wywołać nieobsłużony wyjątek, który powoduje awarię serwera.

Konfiguracja deserializacji Artemis w EAP domyślnie zezwala na deserializację. Metoda ObjectMessage.getObject() używa ObjectInputStreamWithClassLoader, która implementuje filtrowanie allow-list/block-list przez checkSecurity()/isTrustedType(). Jednak domyślnie zarówno allow-list, jak i block-list są puste. Gdy allow-list jest pusty (rozmiar == 0), isTrustedType() zwraca true dla WSZYSTKICH klas, co oznacza, że wszystkie klasy są domyślnie deserializowalne.

W systemie Hospital Information System 1.0 od code-projects, w pliku /HIS/src/patients/editPatient.php w komponencie Patient Management, manipulacja argumentem ID prowadzi do podatności na cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W Tenda AC9 w wersji 15.03.05.14 znaleziono błąd dotyczący funkcji R7WebsSecurityHandler w komponencie Web Management. Manipulacja ta powoduje nieprawidłowe uwierzytelnienie. Atak może być inicjowany zdalnie. Exploit został opublikowany i może być wykorzystany.

Wykryto podatność w Linksys RE7000 w wersji 2.0.15. Dotyczy ona funkcji platform_event_pingTest w pliku /cgi-bin/json.cgi?PingTest w komponencie PingTest Handler. Manipulacja argumentami pingTestIp/pingTestPktSize/pingTestTimes prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit jest już publiczny i może być wykorzystany.

Cross-site scripting w importerach notatek Evernote i Google Keep w Standard Notes dla Androida do wersji 3.201.24 pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście aplikacji, gdy ofiara importuje spreparowany plik .enex lub HTML z Google Keep, co prowadzi do kradzieży kluczy szyfrowania i danych notatek oraz dowolnego wywoływania natywnych API urządzenia.

Wtyczka Powerkit dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) w module Lazy Load podczas przetwarzania obrazów we wszystkich wersjach do 3.0.4 włącznie. Wynika to z użycia wadliwego parsera atrybutów HTML opartego na wyrażeniach regularnych w funkcji 'content_process_images'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W MISP do wersji 2.5.45 walidacja konfigurowalnej strony głównej sprawdza tylko, czy ścieżka zaczyna się od '/', co jest niewystarczające. Adresy URL względne protokołu, takie jak '//attacker.example', również zaczynają się od '/', ale w przeglądarkach prowadzą do zewnętrznego pochodzenia. Podatna wartość strony głównej może być zapisana jako ustawienie użytkownika i użyta po zalogowaniu w logice przekierowań.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność w nieznanej funkcji pliku /delete_subject.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W produkcie D-Link DIR-605 B1v202WWB03 wykryto podatność w funkcji tunnel_set_params pliku progs.gpl/pppd.alpha/l2tp/tunnel.c komponentu L2TP Control Message Parser. Manipulacja argumentem peer_hostname prowadzi do błędu off-by-one. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania. Exploit jest publicznie dostępny.

W produkcie D-Link DIR-822A w wersji A_101 wykryto podatność w funkcji strcpy pliku udhcpcd/serverpacket.c komponentu udhcpcd. Manipulacja prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W produkcie D-Link DIR-895L A1_102b07 wykryto podatność w funkcji sendACK pliku udhcpcd/serverpacket.c komponentu udhcpcd. Manipulacja argumentem Hostname prowadzi do wstrzyknięcia komend. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W SourceCodester Simple Traffic Offense System 1.0 wykryto podatność w pliku save-settings.php w komponencie Settings Update Endpoint. Manipulacja argumentami site_name/site_desc prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.