Katalog podatności CVE

Netgate pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem IPsec Mobile wykonywać polecenia jako root poprzez pole login_banner. Atakujący może przesłać jednoliniowy banner zawierający '}', aby wydostać się z niecytowanej wartości atrybutu strongswan.conf i zdefiniować wpisy charon.start-scripts, które charon wykonuje jako root przy restarcie.

pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia do crontab w interfaces_ppps_edit.php, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia jako root poprzez wstrzyknięcie znaków nowej linii do pól ptpid lub reset hour/minute. Atakujący posiadający uprawnienie 'WebCfg - Interfaces: PPPs: Edit' mogą przesłać spreparowane wartości POST, które configure_cron() zapisuje bez escapowania do /etc/crontab, uruchamiając dowolne polecenia root według harmonogramu.

Netgate pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem Traffic Shaper Limiters wykonywać polecenia root poprzez manipulację polem numeru limitera. Atakujący może przesłać złośliwą ukrytą wartość 'number' podczas edycji limitera, a następnie go usunąć, aby delete_queue() przekazało niecytowaną wartość do dnctl przez /bin/sh jako root.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem edycji Virtual IP wykonywać polecenia jako root poprzez zapisanie niezwalidowanego CARP VHID. Atakujący może podać VHID zawierający metaznaki powłoki, które wykonują się przez wywołania ifconfig w interface_ipalias_configure() lub get_carp_interface_status() podczas renderowania statusu CARP.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem edycji gateway wykonywać polecenia jako root poprzez wstrzyknięcie metaznaków powłoki do indeksu strefy link-local IPv6. Atakujący może ustawić Monitor IP bramy, którego niezwalidowana strefa zawiera ładunek, który start_dpinger() przekazuje bez escapowania do polecenia powłoki dpinger podczas stosowania monitoringu.

pfSense CE do wersji 2.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Wireless Edit lub Interface Assignments może podać spreparowaną nazwę interfejsu nadrzędnego (np. ath0;<polecenie>), która jest wstawiana bez escapowania do polecenia powłoki ifconfig, co pozwala na wykonanie poleceń jako root.

pfSense CE w wersjach 2.7.0 do 2.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony użytkownik z uprawnieniem QinQ edit może zapisać niezwalidowaną nazwę interfejsu nadrzędnego, która następnie jest wstawiana do poleceń powłoki ifconfig, umożliwiając wykonanie poleceń jako root.

LightLLM do wersji 1.2.0 zawiera podatność typu denial of service. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do endpointu /generate z wewnętrznym polem pd_kv_trans_params, co powoduje błąd pickle.loads w InferSamplingParams i zabija wątek inferencji, podczas gdy /health pozostaje dostępny, a kolejne żądania zawieszają się do restartu.

undici, biblioteka klienta HTTP dla Node.js, w wersjach 6.23.0-6.29.0, 7.18.0-7.30.0 i 8.0.0-8.12.1 ulega awarii procesu Node.js, gdy złośliwy serwer zwróci odpowiedź z więcej niż pięcioma kodowaniami treści i zamknie połączenie przed wysłaniem ciała. undici odrzuca taką odpowiedź z powodu limitu kodowań, ale utworzony wcześniej strumień wewnętrzny nie ma podpiętego listenera błędów ani przerwania żądania, więc wczesne zamknięcie powoduje niezobsłużony błąd i zakończenie procesu.

undici w wersjach 7.0.0-7.30.0 i 8.0.0-8.12.1, gdy originless Agent łączy interceptory redirect i cache w tej kolejności ze wspólnym store'em cache, buduje klucz cache z oryginalnego URL przed zmianą origin przez redirect. Odpowiedź po przekierowaniu cross-origin jest zapisywana pod oryginalnym kluczem, co umożliwia trwałe zatrucie cache oraz ujawnienie prywatnych danych nieuwierzytelnionemu wywołującemu.

undici w wersjach 4.0.0-6.29.0, 7.0.0-7.30.0 i 8.0.0-8.12.1 przekazuje opcje konstruktora Agent przez głębokie klonowanie oparte na JSON przed przekazaniem do puli per-origin. Ponieważ JSON nie reprezentuje funkcji, opcja tls z callbackiem checkServerIdentity jest po cichu usuwana, przez co peer TLS, którego certyfikat miał być odrzucony przez niestandardowy callback, ale przechodzi domyślne sprawdzenia Node, jest akceptowany.

Wada w wewnętrznym shimie WebAssembly (WASM) używanym przez operator Kuadrant. Podczas generowania predykatu CEL decydującego o uruchomieniu uwierzytelniania i rate limitingu na poziomie Gateway, shim nie escapuje poprawnie wartości z pól dopasowania HTTPRoute. Użytkownik mogący tworzyć lub modyfikować HTTPRoute podłączony do współdzielonego Gateway może podać spreparowaną wartość path, header lub query, powodując pominięcie tych sprawdzeń, a żądanie jest nadal przekazywane do backendu trasy.

HtmlUnit Neko to adaptacja NekoHTML dla HtmlUnit. Przed wersją 5.4.0 HTMLWriterFilter zapisuje zdekodowaną treść TEXTAREA i TITLE bez kodowania encji, ponieważ oba elementy są traktowane jako specjalna treść. W cyklu parsowania i serializacji odwołania do encji wewnątrz tych elementów są dekodowane przez parser, a następnie emitowane jako surowy znacznik, zmieniając semantykę dokumentu.

react/http to sterowana zdarzeniami, strumieniowa implementacja klienta i serwera HTTP dla ReactPHP. Od wersji 1.0.0 do 1.11.1 React\Http\Browser używa ClientRequestStream::handleData() do dopisywania bajtów nagłówków odpowiedzi do wewnętrznego bufora bez limitu rozmiaru. Zdalny serwer może wysłać poprawną linię statusu i częściowy nagłówek, wstrzymać terminator \r\n\r\n lub \n\n i kontynuować strumieniowanie danych, przez co bufor rośnie przez cały czas trwania połączenia.

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.

Biblioteka bincookie (parser plików binarycookies) przed wersją 0.1.9 zawiera błąd przepełnienia bufora w funkcji bincookie_init_file(). Funkcja alokuje bufor na podstawie rzeczywistego rozmiaru pliku, ale jako granicę pętli przy zamianie bajtów w page_sizes używa pola num_pages kontrolowanego przez plik, co pozwala na odczyt i zapis poza zaalokowaną pamięcią. Dodatkowo niezwalidowane rozmiary stron i cookie_offsets mogą powodować dalsze dostępy poza zakresem.

Wtyczka Discourse ActivityPub przed commitem 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5 nie weryfikuje wystarczająco, czy aktor uwierzytelniony podpisanym żądaniem jest tożsamy z aktorem Activity oraz czy jest właścicielem wskazywanego postu federacyjnego. Brak tych kontroli tożsamości i własności pozwala zdalnemu atakującemu edytować, usuwać lub odpowiadać na posty federacyjne bez wymaganych uprawnień.

Podatność zdalnego wykonania kodu w bibliotece rlottie używanej przez Telegram, wynikająca z braku właściwej walidacji danych dostarczonych przez użytkownika. Może prowadzić do zapisu przed początkiem zaalokowanego bufora. Wykorzystanie wymaga interakcji użytkownika — odwiedzenia złośliwej strony lub otwarcia złośliwego pliku.

W bibliotece @libp2p/webrtc przed wersją 6.0.28 listener webRTCDirect() w Node.js przetwarza nieuwierzytelnione żądania STUN Binding przed uwierzytelnieniem PeerId, Noise, multipleksowaniem i negocjacją protokołu. Kontrolowane przez pakiet pole request.ufrag jest przekazywane do DirectRTCPeerConnection.setLocalDescription i używane jako hasło ICE bez walidacji długości i zestawu znaków, co powoduje nieobsłużony wyjątek native invalid_argument i przerwanie procesu sygnałem SIGABRT.

W bibliotece wildfly-core, używanej przez WildFly i JBoss EAP do zarządzania wdrożeniami, występuje luka w funkcji ContentRepositoryImpl.copyExplodedContent. Atakujący z rolą Deployer RBAC może użyć sekwencji przejścia ścieżki (path traversal) do dostępu do plików poza katalogiem wdrożeń, co umożliwia usunięcie dowolnych katalogów lub utworzenie plików o dowolnej treści i pełną eskalację uprawnień do roli SuperUser.