Katalog podatności CVE

NLTK 3.9.4 do 3.10.2 zawiera podatność na path traversal w CrubadanCorpusReader. _load_lang_ngrams łączy korzeń korpusu z crubadan_code, wartością z kolumny 0 odczytaną z pliku mapowania corpus table.txt, i otwiera wynik za pomocą wbudowanego open() zamiast walidowanego przez pathsec otwieracza, więc os.path.join odrzuca korzeń, gdy ta wartość jest absolutna, a odczyt wychodzi poza katalog korpusu bez sprawdzenia zawartości, które nltk.pathsec stosuje, gdy ENFORCE jest ustawione. Atakujący, który kontroluje pakiet korpusu, może ujawnić zawartość plików poza korzeniem korpusu przez lang_freq, ograniczone do ścieżek kończących się na -3grams.txt, których zawartość parsuje się jako linie z liczbą tokenów.

NLTK przed wersją 3.10.3 zawiera podatność na zdalne wykonanie kodu w AllowlistUnpickler, który waliduje tylko nazwę modułu pickle, a nie nazwę globalną, co pozwala atakującym na rozwiązywanie nazw z kropkami przez atrybuty do wywoływalnych obiektów spoza dozwolonej przestrzeni nazw. Atakujący mogą stworzyć niezaufane modele parsera przejść, które wykonują dowolne polecenia, gdy TransitionParser.parse ładuje model przez allowlisted_pickle_load.

To CVE zostało odrzucone lub wycofane przez jego CVE Numbering Authority.

Wtyczka GreenShift – Animation and Page Builder Blocks dla WordPressa do wersji 12.8.9 włącznie jest podatna na nieautoryzowaną modyfikację danych. Wynika to z braku odpowiedniej kontroli uprawnień w funkcji 'gspb_update_global_wp_settings', która sprawdza tylko uprawnienie 'edit_posts' zamiast wymagać uprawnień administracyjnych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej modyfikację globalnych ustawień kolorów motywu WordPressa, co prowadzi do zniekształcenia strony.

Wtyczka MC4WP: Mailchimp for WordPress do wersji 4.12.0 włącznie jest podatna na Stored Cross-Site Scripting przez pola meta wiadomości odpowiedzi formularza (np. 'text_subscribed', 'text_error') z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.12 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'delay' w shortcode z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Advanced Product Fields (Product Addons) dla WooCommerce w WordPressie jest podatna na nieprawidłową walidację danych wejściowych we wszystkich wersjach do 1.6.21 włącznie. Wynika to z błędu logicznego w funkcji 'validate_cart_data'. Umożliwia to nieuwierzytelnionym atakującym ominięcie wymaganych płatnych dodatków i dokonanie zakupów tylko po cenie bazowej produktu, skutecznie kradnąc produkty, płacąc ułamek zamierzonej ceny. Podatność została częściowo załatana w wersji 1.6.19.

PasswordPusher w wersjach od v1.45.11 do v2.9.5 zawiera podatność na nieprawidłową autoryzację w logice usuwania push. Sprawdzanie własności porównuje @push.user z current_user; dla anonimowo utworzonego push obie wartości są nil, a Ruby ocenia nil == nil jako prawda, więc kontrola przechodzi i ograniczenie deletable_by_viewer nie jest egzekwowane. Atakujący znający tylko sekretny URL może trwale usunąć anonimowy push, nawet jeśli twórca wyłączył usuwanie przez widzów i bez hasła. Dotyczy to tylko wdrożeń zezwalających na anonimowe push (domyślnie). Problem naprawiono w v2.9.6.

luci-lib-px5g (LuCI) zawiera przepełnienie bufora na stercie w natywnej procedurze kodowania ASN.1 asn1_add_obj (x509write.c) podczas podpisywania certyfikatu kluczem RSA 2040-bitowym. Dla 255-bajtowego podpisu alokacja BIT STRING jest obliczana na podstawie długości DER 255 bajtów, ale ładunek zapisywany po dodaniu bajtu nieużywanych bitów ma 256 bajtów, co wymaga dodatkowego oktetu długości DER. W rezultacie alokacja wynosi 259 bajtów, podczas gdy tag, długość, bajt nieużywanych bitów i podpis wymagają 260 bajtów, a końcowe memcpy zapisuje jeden bajt poza bufor. Przepełnienie jest osiągalne przez eksportowany interfejs Lua za pomocą create_selfsigned(); to, czy jest zdalnie wykorzystywalne, zależy od aplikacji osadzającej. Podatny kod występuje w gałęziach openwrt-18.06 do openwrt-25.12 i jest nieobecny w master, gdzie pakiet luci-lib-px5g został usunięty, a nie załatany.

Netty (io.netty:netty-codec-socks) w wersjach od 4.2.0.Final do 4.2.16.Final oraz od 4.1.x do 4.1.136.Final zawiera podatności na wstrzykiwanie bajtów null, CRLF i poświadczeń w enkoderach klienta SOCKS4 (Socks4ClientEncoder) i SOCKS5 (Socks5ClientEncoder), które nie walidują pól adresu domeny i uwierzytelniania (nazwa użytkownika/hasło). Atakujący kontrolujący te pola może wstrzyknąć bajty null lub znaki CRLF, aby skrócić lub zmienić wartości, co może prowadzić do fałszowania domen, skrócenia userid SOCKS4, wstrzyknięcia danych uwierzytelniających i zamieszania protokołu. Naprawiono w 4.2.17.Final i 4.1.137.Final.

Netty (io.netty:netty-handler) w wersjach od 4.2.0.Final do 4.2.16.Final oraz w wersjach do 4.1.136.Final wyłącza weryfikację nazwy hosta TLS na ścieżce klienta SslProvider.OPENSSL, gdy używany jest zwykły (nie rozszerzony) X509TrustManager i niedostępne jest opakowanie menedżera zaufania oparte na Unsafe (Java 25+). W tej konfiguracji klient OpenSSL nie przeprowadza weryfikacji nazwy hosta, co pozwala atakującemu typu man-in-the-middle na przedstawienie certyfikatu wydanego dla innej nazwy hosta, który jest akceptowany bez weryfikacji. Poprawiono w wersjach 4.2.17.Final i 4.1.137.Final.

SiYuan przed wersją v3.7.4 nie weryfikuje, czy packageName odpowiada zawartości pobranego pakietu w punktach instalacji bazaar. Atakujący z dostępem same-origin mogą nadpisać istniejące zaufane wtyczki, podając niezgodne parametry packageName i repoURL, osiągając trwałość po ponownym uruchomieniu aplikacji.

SiYuan w wersjach przed v3.7.4 zawiera podatność na dowolne usuwanie plików w punkcie końcowym /api/search/removeTemplate, który akceptuje niezweryfikowany parametr ścieżki przekazywany bezpośrednio do os.RemoveAll. Uwierzytelnieni atakujący z uprawnieniami administratora mogą podać bezwzględne ścieżki systemu plików, aby rekurencyjnie usunąć dowolne pliki lub katalogi, do których proces jądra ma uprawnienia, w dowolnym miejscu systemu plików hosta.

SiYuan przed wersją v3.8.0 zawiera niekompletną listę blokowanych ścieżek w narzędziu plikowym MCP, które nie ogranicza dostępu do wrażliwych plików obszaru roboczego chronionych przez API HTTP. Uwierzytelnieni administratorzy mogą odczytać hasła w trybie publikacji w postaci zwykłego tekstu z pliku data/.siyuan/publishAccess.json oraz uzyskać dostęp do innych wrażliwych plików, takich jak data/templates i data/snippets/conf.json.

SiYuan przed wersją v3.8.0 interpoluje sekretne placeholdery do parametru docelowego URL narzędzia http_request MCP, co pozwala atakującym na eksfiltrację przechowywanych sekretów. Klient MCP może utworzyć żądanie z kontrolowanym przez atakującego URL zawierającym sekretne placeholdery, aby wysłać jawne wartości sekretów do dowolnego publicznego hosta bez potwierdzenia.

AVideo do commitu 9c39d8c8 zawiera podatność na obejście uwierzytelniania, gdzie deduplicateByEncoderQueueId() zwraca poświadczenia video_id_hash dla dowolnego wideo na podstawie encoder_queue_id bez weryfikacji własności, a useVideoHashOrLogin() konwertuje ten hash na logowanie bez hasła jako właściciel wideo. Atakujący z uprawnieniami do przesyłania mogą uzyskać video_id_hash administratora, pomijając parametr videos_id, a następnie użyć tego hasha w nieuwierzytelnionym żądaniu, aby uzyskać dostęp do sesji administracyjnej i zmodyfikować konfigurację systemu.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji, gdzie getToken() tworzy tokeny bez powiązania z tożsamością użytkownika lub celem, a plugin/Gallery/view/sections.php wydaje ważne tokeny nieuwierzytelnionym odwiedzającym. Atakujący mogą pobrać token z punktu końcowego Galerii i użyć go do obejścia kontroli autoryzacji w innych podsystemach, takich jak view/hls.php, aby uzyskać dostęp do ograniczonych treści wideo.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w punkcie końcowym releaseVideoNow.json.php, który nie ma kontroli autentyczności i akceptuje żądania GET. Atakujący mogą stworzyć złośliwe żądanie GET z ciasteczkiem sesji administratora, aby trwale opublikować dowolne wideo z embargiem, manipulując parametrem videos_id.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji w punkcie końcowym Users_affiliations add.json.php, która pozwala uwierzytelnionym użytkownikom na sfałszowanie zapisów dwustronnej zgody poprzez podanie znacznika czasu zgody drugiej strony. Atakujący mogą utworzyć sfałszowaną afiliację ze statusem 'a', a następnie przypisać własność wideo dowolnym użytkownikom przez punkt końcowy videoAddNew.json.php, który ufa sfałszowanej afiliacji jako warunkowi autoryzacji.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w objects/videoEditLight.php, która nie sprawdza autentyczności żądań i akceptuje żądania GET. Atakujący mogą przechowywać tag img w opisie wideo, który przenosi własność wideo na konto kontrolowane przez atakującego, gdy administrator przegląda stronę wideo.