Katalog podatności CVE

@pdfme/schemas przed wersją 5.5.9 zawiera podatność na cross-site scripting w pluginie schematu Select, który nie sanityzuje wartości opcji przed interpolacją ich do HTML przez innerHTML. Atakujący mogą dostarczyć złośliwe szablony z spreparowanymi wartościami opcji zawierającymi HTML i JavaScript, aby wykonać dowolny kod w przeglądarkach użytkowników.

@pdfme/common przed wersją 5.5.10 zawiera podatność na server-side request forgery w funkcji getB64BasePdf, która pobiera dowolne URL-e bez walidacji, gdy basePdf jest kontrolowany przez atakującego. Atakujący, którzy kontrolują pole basePdf w szablonie, mogą zmusić serwery lub klientów do wysyłania żądań do wewnętrznych punktów końcowych, umożliwiając eksfiltrację metadanych, rozpoznanie sieci i ataki typu blind request forgery.

pdfme schemas przed wersją 5.5.10 zawiera podatność na cross-site scripting w panelu właściwości multiVariableText, który przypisuje niesanityzowane wartości etykiet i18n do innerHTML. Atakujący, którzy kontrolują nadpisania etykiet przez options.labels, mogą wstrzyknąć dowolny JavaScript, który wykonuje się, gdy użytkownicy otworzą Designer i wybiorą pole multiVariableText bez placeholderów zmiennych.

pdfme pdf-lib przed wersją 5.5.10 zawiera podatność na nieograniczony wzrost bufora w metodzie DecodeStream.ensureBuffer(), która pozwala atakującym na spowodowanie odmowy usługi poprzez dostarczenie spreparowanego PDF z strumieniem FlateDecode zawierającym bombę dekompresyjną. Atakujący mogą przesłać mały skompresowany PDF, który dekompresuje się do setek megabajtów, wyczerpując pamięć i powodując awarię procesu Node.js lub zawieszenie kart przeglądarki podczas parsowania PDF.

Wersje @hulumi/baseline przed 1.3.2 nie w pełni wykrywają zdarzenia manipulacji selektorami CloudTrail, co zmniejsza pokrycie zmian konfiguracji audytu. Atakujący mogą modyfikować selektory zdarzeń CloudTrail bez pełnego wykrycia, potencjalnie unikając monitorowania śladów audytu.

Hulumi przed wersją v1.3.2 rozwiązuje skrypt pomocniczy threat-model z niebezpiecznego katalogu głównego, co pozwala plikom w obszarze roboczym na przesłonięcie zamierzonego skryptu pomocniczego. Atakujący mogą umieścić złośliwe pliki w obszarze roboczym, aby wykonać dowolny kod podczas lokalnego wykonywania umiejętności.

@hulumi/policies przed wersją 1.3.2 zawiera podatność na obejście przez sfałszowanie rodzica, która pozwala atakującym na przesłanie sfałszowanych dowodów SecureBucket podczas oceny polityki. Atakujący mogą obejść kontrole polityki bezpieczeństwa, dostarczając sfałszowane dowody, co powoduje, że walidator nie wykryje niebezpiecznych konfiguracji zasobników.

Biblioteka @hulumi/policies przed wersją 1.3.2 nie w pełni sprawdza dowody polityk IAM (wbudowanych i dołączonych) pod kątem zabezpieczenia administratora. Atakujący mogą tworzyć ścieżki polityk równoważne administratorowi, które omijają kontrolę oceny polityk.

hulumi przed wersją v1.3.2 zawiera szablon SCP wdrożenia, który umożliwia obejście zabezpieczeń tag-on-create dla ochrony hulumi:iac-role. Atakujący mogą ominąć zamierzone ograniczenia granic IAM, wykorzystując osłabiony szablon SCP w późniejszych wdrożeniach.

@hulumi/drift przed wersją 1.3.2 akceptuje zewnętrznie dostarczane plany wykonania bez wystarczającej weryfikacji pochodzenia, co pozwala traktować niezaufane dane wejściowe jako zaufane. Atakujący mogą dostarczyć złośliwe plany wykonania, które omijają zabezpieczenia i wykonują niebezpieczne operacje uzgadniania.

Podatność w hulumi przed wersją 1.3.2 umożliwia eskalację uprawnień przez politykę IAM integracji tygodniowej, która pozwala na operacje na rolach af-e2e-* bez wystarczających ograniczeń granicznych. Atakujący z udokumentowanym podmiotem mogą tworzyć trwałe role o wyższych uprawnieniach w koncie sandbox.

Podatność w @hulumi/policies przed wersją 1.3.2 polega na nieprawidłowej walidacji operatorów warunków IAM z kwalifikatorem set w politykach zaufania OIDC GitHub. Atakujący mogą użyć operatorów ForAnyValue:StringLike, aby ukryć warunki podmiotu OIDC z wildcardami przed zabezpieczeniami.

Podatność w @hulumi/policies przed wersją 1.3.2 umożliwia obejście walidacji dowodów w walidatorach Cloudflare i deployment-governance. Atakujący mogą dostarczyć niezwiązane, zgodne dowody, aby stłumić naruszenia dla niepowiązanych zasobów w tym samym stosie.

Nodemailer przed wersją 8.0.4 jest podatny na wstrzykiwanie komend SMTP przez niesanityzowany parametr envelope.size. Gdy aplikacja przekazuje niestandardowy obiekt envelope z właściwością size zawierającą znaki CRLF do sendMail(), wartość jest konkatenowana do komendy SMTP MAIL FROM (jako SIZE=...) bez sanityzacji, co pozwala na wstrzyknięcie dowolnych komend SMTP, takich jak RCPT TO, w celu cichego dodania adresatów kontrolowanych przez atakującego.

Nodemailer przed wersją 8.0.5 zawiera podatność na wstrzykiwanie komend SMTP w opcji nazwy transportu używanej w komendach EHLO/HELO. Parametr name jest konkatenowany bezpośrednio do komend SMTP bez sanityzacji znaków powrotu karetki i nowej linii, co pozwala atakującym na wstrzyknięcie dowolnych komend SMTP w celu fałszowania e-maili i ataków phishingowych.

Wykryto podatność w klaussilveira GitList 2.0.0. Dotyczy ona funkcji getDefaultBranch w pliku src/SCM/System/Git/CommandLine.php komponentu Git Command Line. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 3.0.0-beta rozwiązuje ten problem. Nazwa łatki to 88cf2866083d5f7c20d9d565c45f828a7ad1516b. Zaleca się aktualizację.

Podatność znaleziona w yaojingang GEOFlow do wersji 2.1.0. Dotyczy funkcji DistributionController.isValidHttpEndpoint w pliku app/Services/GeoFlow/GenericHttpEndpointResolver.php. Manipulacja argumentem endpoint_url prowadzi do server-side request forgery. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Zalecane jest uaktualnienie do wersji 2.1.1. Nazwa poprawki to 67abfd864a15d169a78429f3290c91cb3b93e849.

Wada znaleziona w yaojingang GEOFlow do wersji 2.1.0. Problem dotyczy funkcji preview w pliku app/Http/Controllers/Admin/SiteThemeEditorController.php komponentu Superadmin Theme Editor. Manipulacja argumentem blade powoduje wstrzyknięcie kodu. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty. Uaktualnienie do wersji 2.1.1 rozwiązuje ten problem. Nazwa poprawki: 67abfd864a15d169a78429f3290c91cb3b93e849.

Wykryto podatność w yaojingang GEOFlow do wersji 2.1.0. Funkcja unlink w pliku ImageLibraryController.php komponentu Image Library Cleanup jest podatna na path traversal przez argument file_path. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2.1.1.

Wykryto podatność na cross-site scripting (XSS) w oprogramowaniu yaojingang GEOFlow do wersji 2.1.0. Podatność dotyczy nieznanej części pliku app/Http/Controllers/Site/HomeController.php w komponencie JSON-LD Theme Handler. Manipulacja argumentem Search umożliwia zdalne wykonanie ataku XSS. Publicznie ujawniono exploit, a aktualizacja do wersji 2.1.1 łagodzi problem.