Katalog podatności CVE

Wtyczka Bootstrap Shortcodes dla WordPressa przed wersją 3.4.6 jest podatna na przechowywany XSS poprzez atrybut id shortcode'u [bs_tcontent]. Handler shortcode'u w inc/bs_tabs.php umieszcza wartość atrybutu id w niecytowanym atrybucie HTML; esc_attr() nie koduje spacji, co pozwala na wstrzyknięcie dodatkowych atrybutów HTML, w tym obsługi zdarzeń JavaScript. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolny skrypt, który wykona się w przeglądarce użytkownika przeglądającego stronę.

W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) wykryto podatność w pliku App/Home/Controller/VoteController.class.php komponentu Vote Handler. Manipulacja argumentem X-Requested-With powoduje błędy logiki biznesowej. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.

W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) wykryto podatność w funkcji file_exists pliku Public/Home/js/uploadify/check-exists.php komponentu Uploadify. Manipulacja argumentem filename prowadzi do ujawnienia informacji o plikach i katalogach. Atak można przeprowadzić zdalnie, a exploit jest publiczny i może być wykorzystany.

W Gitea siedem tras API pod /api/v1/users/{username} (followers, following, following/{target}, starred, subscriptions, keys i gpg_keys) zostało zarejestrowanych bez middleware individualPermsChecker, które wymusza widoczność docelowego użytkownika. Uwierzytelniony użytkownik mógł odczytać listy obserwujących, obserwowanych, oznaczone gwiazdką i obserwowane repozytoria oraz publiczne klucze SSH i GPG użytkownika o ograniczonej lub prywatnej widoczności. Problem naprawiono w wersjach 1.27.3 i 28.0.0, a ujawniono w 28.2.0.

Podczas dodawania załączników do wydania sprawdzano repozytorium i wydanie załącznika, ale nie sprawdzano, czy załącznik jest już powiązany ze zgłoszeniem lub komentarzem. Użytkownik z prawem zapisu do wydań repozytorium, znający UUID załącznika w tym repozytorium, mógł powiązać go z wydaniem. Ujawniało to nazwę pliku, rozmiar i liczbę pobrań załącznika oraz pozwalało na jego zmianę nazwy lub usunięcie.

Sprawdzenie widoczności profili użytkowników w Gitea było stosowane tylko do żądań GET, podczas gdy POST /{username} (obserwowanie i przestawanie obserwować) wymagał jedynie zalogowanego użytkownika. Każdy uwierzytelniony użytkownik mógł więc uzyskać imię i nazwisko, lokalizację, stronę internetową oraz opis użytkownika z prywatnym profilem z odpowiedzi. Problem naprawiono w wersji 28.1.0 i ujawniono w 28.2.0.

Utworzenie wersji roboczej wydania przez API zwracało listę `assets` zbudowaną z wydania bez identyfikatora, która pasowała do każdego załącznika niepowiązanego z wydaniem. Użytkownik mogący tworzyć wersję roboczą wydania w repozytorium otrzymywał więc metadane (nazwa pliku, UUID, czas przesłania, rozmiar i liczba pobrań) załączników zgłoszeń i komentarzy z repozytoriów, których nie mógł czytać, oraz porzuconych przesłań.

GET /api/v1/user/subscriptions zwracał metadane każdego repozytorium obserwowanego przez użytkownika bez sprawdzenia, czy użytkownik nadal ma do niego dostęp. Użytkownik, który obserwował prywatne repozytorium mając dostęp, a następnie go utracił (np. przez obniżenie uprawnień zespołu), nadal mógł odczytać jego nazwę, opis, adresy klonowania, właściciela i liczniki. Problem naprawiono w wersjach 1.27.0 i 28.0.0 i ujawniono w 28.2.0.

Handlery sieciowe Gitea do dodawania i usuwania reakcji na zgłoszeniach i komentarzach nie odrzucały zablokowanych zgłoszeń dla użytkowników bez uprawnień do zapisu, choć API to robiło. Zalogowany użytkownik mogący czytać zgłoszenie mógł więc dodawać lub usuwać reakcje na zablokowanym zgłoszeniu i jego komentarzach, omijając ograniczenie interakcji wynikające z blokady. Dotyczyło to tylko reakcji; żadna treść nie mogła zostać zmieniona.

Handlery artefaktów Gitea Actions v4 (Twirp) wczytywały całe ciało żądania do pamięci bez limitu rozmiaru. Użytkownik mogący uruchomić workflow i uzyskać token runnera tego uruchomienia mógł wysłać zbyt duże żądanie do usługi artefaktów i wyczerpać pamięć serwera, co kończy proces Gitea. Ciało żądania jest teraz ograniczone do 1 MiB.

Żądanie /{username}/-/repositories dla użytkownika indywidualnego zamiast organizacji powodowało, że handler strony głównej organizacji dereferencjonował nil organizację i panikował. Żądanie nie wymaga uwierzytelnienia ani specjalnej konfiguracji. Serwer odpowiadał błędem HTTP 500 i logował panikę dla każdego żądania; poprawka zwraca 404 dla użytkowników indywidualnych.

Callback powiązania OpenID w ustawieniach bezpieczeństwa Gitea akceptował pozytywną asercję OpenID 2.0 bez sprawdzenia, czy zalogowany użytkownik rozpoczął proces łączenia. Ponieważ OpenID 2.0 pozwala na asercje nieżądane, kontrolowany przez atakującego dostawca OpenID mógł przypiąć tożsamość atakującego do konta zalogowanej ofiary, która otworzyła spreparowany link, a następnie atakujący mógł zalogować się jako ofiara przez OpenID, co nie stosuje lokalnych kontroli TOTP ani WebAuthn. Callback wymaga teraz ograniczonego czasowo parametru `state` powiązanego z użytkownikiem.

Wykryto podatność w itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449. Problem dotyczy funkcji Exam::startExam w pliku exam.php w module Exam Module, gdzie manipulacja argumentem topicid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w WongKinYiu yolov9 0.1 w funkcji DetectMultiBackend.__init__ w pliku models/common.py, związanej z obsługą metadanych ONNX. Manipulacja argumentami names/stride prowadzi do wstrzyknięcia kodu, a exploit został publicznie ujawniony.

W dyad-sh dyad do wersji 1.16.0 wykryto podatność w komponencie OAuth Callback Handler, umożliwiającą atak cross-site request forgery. Problem naprawiono w wersji 1.17.0-beta.1.

W @fastify/jwt w wersjach przed 10.2.5 metody sign i verify zastępują globalne ustawienia domyślne opcjami przekazanymi w wywołaniu, zamiast je scalać. Powoduje to pominięcie zabezpieczeń czasowych, takich jak wygaśnięcie tokenu i maksymalny wiek tokenu, przez co tokeny nigdy nie wygasają.

W AUTOMATIC1111 stable-diffusion-webui do wersji 1.10.1 wykryto podatność w funkcji read_metadata_from_safetensors w pliku modules/sd_models.py, związanej z komponentem Extra-Networks Card Builder. Manipulacja argumentem __metadata__.sshs_model_hash prowadzi do cross site scripting, a exploit jest publicznie dostępny.

libstrophe do wersji 0.14.0 zawiera przepełnienie bufora na stosie w funkcji SCRAM_Hi, które pozwala złośliwym serwerom XMPP na przepełnienie 128-bajtowego bufora poprzez wysłanie zbyt dużego salt SCRAM. Atakujący może wysłać server-first-message, którego atrybut s= dekoduje się do ponad 124 bajtów.

lwIP do wersji 2.2.1 zawiera podatność polegającą na zapisie poza zakresem stosu w funkcji mdns_handle_response, umożliwiającą sąsiadującym atakującym uszkodzenie pamięci stosu poprzez wysłanie odpowiedzi mDNS z nieprawidłowymi nazwami domen. Atakujący może wysłać odpowiedzi multicast PTR z nadmiernym RDLENGTH lub odpowiedzi SRV z RDLENGTH poniżej 6.

librtmp (RTMPDump) do wersji 2.6 zawiera podatność polegającą na odczycie poza zakresem sterty w funkcji AMFProp_Decode, która odczytuje liczbę elementów tablicy AMF0 strict-array przed sprawdzeniem, czy pozostały cztery bajty. Złośliwy serwer RTMP lub man-in-the-middle może wysłać ciało AMF0 kończące się bajtem typu strict-array z mniej niż czterema bajtami.