Katalog podatności CVE

WWBN AVideo do commita 9c39d8c8 zawiera podatność na cross-site request forgery (CSRF) w funkcjach get_domain() i isSameDomain(), które nieprawidłowo weryfikują pochodzenie nagłówka Referer. Atakujący mogą sfałszować żądania z siostrzanych subdomen lub nieparsowalnych długich domen gTLD, aby wykonywać administracyjne zapisy ObjectYPT, w tym zmiany konfiguracji serwera na żywo.

WWBN AVideo do wersji 30.0 zawiera podatność na ujawnienie informacji w pluginie MobileManager, w punkcie końcowym getConfiguration, który zwraca wrażliwe dane konfiguracyjne nieuwierzytelnionym odwiedzającym. Atakujący mogą wysłać nieuwierzytelnione żądanie GET do plugin/MobileManager/getConfiguration.json.php, aby uzyskać ścieżki plików kluczy prywatnych TLS, szczegóły konfiguracji gniazd, wersję platformy i flagi debugowania, co umożliwia dalsze ataki.

WWBN AVideo nie weryfikuje wygaśnięcia tokenu resetowania hasła w userRecoverPassSave.json.php, co pozwala atakującym używać wygasłych tokenów do resetowania haseł kont bez ograniczeń czasowych. Atakujący, którzy zdobędą token resetujący, mogą go użyć w dowolnym momencie do zmiany hasła konta docelowego i uzyskać pełny dostęp do konta.

WWBN AVideo (do wersji e01e41ecc i wcześniejszych) uzależnia trzy mechanizmy bezpieczeństwa przy logowaniu wyłącznie od nagłówka User-Agent dostarczanego przez klienta. Funkcje isAVideoEncoder()/isAVideoMobileApp() porównują HTTP_USER_AGENT z zakodowanym na stałe literałem ("AVideoEncoder"/"AVideoMobileApp") bez sprawdzania IP lub wspólnego sekretu. Atakujący, który zna prawidłowe dane logowania i ustawi User-Agent: AVideoEncoder, omija uwierzytelnianie dwuskładnikowe, pomija eskalację captcha przy brute-force i unika zapisu w historii logowania/urządzeń. Brak dostępnej poprawki w momencie publikacji.

WWBN AVideo zawiera podatność na path traversal w punkcie API get_api_login_code, która pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików .log poprzez podanie sekwencji przejścia do katalogów w parametrze code. Atakujący mogą wykorzystać to do zniszczenia dzienników audytowych i badania istnienia plików na serwerze, a podatność umożliwia zarówno usuwanie plików, jak i ujawnianie informacji o systemie plików.

AVideo Live_schedule::setTitle() i setDescription() przechowują dane wejściowe POST bez sanityzacji, co pozwala użytkownikom z uprawnieniami do streamowania na wstrzykiwanie złośliwych skryptów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do remindMe.php, aby wykonać trwałe ładunki XSS w przeglądarkach ofiar bez wymaganego uwierzytelnienia.

WWBN AVideo nie weryfikuje zaufanych proxy przed zaakceptowaniem nagłówków X-Real-IP i X-Forwarded-For, co pozwala atakującym na sfałszowanie adresu klienta używanego przez funkcję enforceRateLimit(). Atakujący mogą zmieniać wartość nagłówka przy każdym żądaniu, aby ominąć ograniczenia logowania i przeprowadzać nieograniczone ataki polegające na zgadywaniu haseł.

Podatność w Casdoor do wersji 4.0.0 dotyczy nieznanej funkcji w pliku controllers/resource.go komponentu upload-resource API. Manipulacja prowadzi do braku uwierzytelnienia, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a vendor usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt mailowy.

AVideo do wersji 29.0 zawiera nieuwierzytelnioną podatność na iniekcję SQL w pluginie User_Location, w punktach końcowych regions.json.php i cities.json.php. Parametry GET country i region są przekazywane bezpośrednio do zapytań SQL bez escapowania lub użycia prepared statements, co pozwala nieuwierzytelnionym atakującym na wykonanie iniekcji SQL typu UNION w celu odczytania dowolnych danych z bazy, w tym hashy haseł i wrażliwych danych.

Wartości ustawienia zaawansowanego mail.allowed_attachment_hostnames były używane w wyrażeniu regularnym bez odpowiedniego escapowania. Dla niektórych prawidłowych nazw hostów mogło to pozwolić na dopasowanie niezamierzonych nazw hostów i serwowanie zdalnych załączników. Podatność naprawiono w Thunderbird 155 i 153.2.

Złośliwy serwer IMAP może wywołać użycie po zwolnieniu (use-after-free) i ujawnienie pamięci sterty, wysyłając spreparowaną odpowiedź ID. Zawartość sterty może zostać zapisana do pliku prefs.js. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.

Złośliwie skonstruowany nagłówek wiadomości może prowadzić do odczytu jednego bajtu poza końcem bufora. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.

Wywołanie błędu w niektórych treściach MIME powodowało użycie niezainicjalizowanej pamięci. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.

Złośliwe zaproszenia kalendarza mogą używać załączników URI plików do uruchamiania plików wykonywalnych lokalnie lub w sieci w systemie Windows, omijając normalne zabezpieczenia załączników w Thunderbirdzie. Przy włączonym nowym widoku zaproszeń załącznik może również pojawić się pod mylącą nazwą pliku. Podatność została naprawiona w Thunderbird 154 i Thunderbird 153.2.

js-yaml to parser i dumper YAML w JavaScript. Od wersji 3.0.0 do 3.15.2, 4.3.2 i 5.4.1, maxTotalMergeKeys w lib/js-yaml/loader.js i lib/loader.js nie liczy pustych źródeł map podczas przetwarzania klucza scalania <<. Atakujący może aliasować dużą sekwencję pustych map do wielu celów scalania, powodując przetwarzanie O(N * K), podczas gdy totalMergeKeys pozostaje niezmienione i skonfigurowany limit zasobów nigdy nie jest osiągany. Stosunkowo mały dokument YAML może powodować długotrwałe zużycie CPU w aplikacjach przetwarzających niezaufany YAML, a przetwarzanie scalania jest domyślnie włączone w tych liniach wydań. W wersjach v3 i v4 scalanie jest domyślnie włączone, więc wynik dotkliwości jest wyższy. Problem naprawiono w wersjach 3.15.2, 4.3.2 i 5.4.1.

Laravel Excel od wersji 3.1.8 do 3.1.70 ma podatność w src/Files/Disk.php, gdzie metoda Disk::copy() rozwiązuje kontrolowany przez wywołującego parametr $destination (przekazywany przez Excel::store(), $export->store() lub storeExcel()) względem katalogu roboczego procesu za pomocą realpath() zamiast skonfigurowanego dysku systemu plików. Jeśli ścieżka wskazuje istniejący zapisywalny plik, Disk::copy() otwiera go trybem rb+ i używa stream_copy_to_stream(), omijając ograniczenia Flysystem, co pozwala atakującemu kontrolującemu ścieżkę eksportu na nadpisanie dowolnych istniejących plików zawartością eksportu. Zachowanie rb+ powoduje nadpisanie bez skracania i pozostawia końcowe bajty, a nadpisanie pliku PHP może prowadzić do zdalnego wykonania kodu.

Vitest (framework testowy oparty na Vite) w wersjach od 2.1.0 do 4.1.11 oraz 5.0.0-rc.2 zawiera podatność w publicznych eksportach mockerPlugin i interceptorPlugin, które rejestrują procedurę vitest:interceptor:register na nieuwierzytelnionym WebSocket HMR Vite bez walidacji celów przekierowania względem listy dozwolonych plików. Zdalny klient, który może dotrzeć do wystawionego serwera deweloperskiego, może przesłać adres URL z zachowaniem segmentów .., co powoduje rozwiązanie ścieżki poza katalogiem projektu. Podatność umożliwia ujawnienie lokalnych plików czytelnych przez proces serwera deweloperskiego. Problem naprawiono w wersjach 4.1.11 i 5.0.0-rc.2.

Predis, klient Redis i Valkey dla PHP, w wersjach od 3.0.0-RC1 do 3.3.0, nieprawidłowo przetwarza bufor RESP w połączeniach agregacyjnych, co pozwala atakującemu na wstrzyknięcie dodatkowych komend przez klucze lub wartości zawierające CRLF. Może to prowadzić do usunięcia danych w całym shardzie, modyfikacji danych, odczytu danych lub zakłócenia działania węzłów. Problem dotyczy tylko metody pipeline(), a transakcje nie są podatne. Luka została naprawiona w wersji 3.3.0.

W hermes-agent (NousResearch) do wersji 0.18.2 znaleziono podatność w funkcji list_tools pliku tools/mcp_tool.py komponentu MCP Tool. Manipulacja prowadzi do niekontrolowanej alokacji pamięci. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty. Dostawca został poinformowany, ale nie odpowiedział.

Znaleziono podatność w NousResearch hermes-agent do wersji 0.18.2, dotyczącą funkcji HermesACPAgent.prompt w pliku acp_adapter/session.py komponentu ACP Prompt Workflow. Manipulacja prowadzi do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.