Katalog podatności CVE

W routerze UTT HiPER 1200GW do wersji 2.5.3-170306 wykryto podatność na przepełnienie bufora stosu w funkcji strcpy pliku /goform/pptpSrvGlobalConfig. Manipulacja argumentem EncryptionMode umożliwia zdalne wykonanie kodu. Exploit jest publiczny, a producent nie odpowiedział na zgłoszenie.

Wtyczka WordPress WP MAPS PRO przed wersją 6.1.3 nie przeprowadza kontroli uprawnień w jednej z akcji AJAX, która jest również dostępna dla nieuwierzytelnionych użytkowników, i nie ogranicza operacji, którą wywołuje, co pozwala nieuwierzytelnionym atakującym na wywołanie niekontrolowanej rekurencji, która wyczerpuje zasoby serwera, prowadząc do odmowy usługi (DoS).

Wtyczka WordPress WPC Order Tip for WooCommerce przed wersją 3.3.1 nie przeprowadza autoryzacji ani kontroli nonce w jednej z funkcji raportowania, co pozwala nieuwierzytelnionym atakującym na pobieranie poufnych danych zamówień należących do dowolnego klienta sklepu, takich jak nazwiska do faktur, identyfikatory zamówień i statusy, kwoty opłat oraz daty zamówień.

Wtyczka WP Data Access WordPress przed wersją 5.5.79 nie weryfikuje nazw kolumn, które akceptuje w jednej z nieuwierzytelnionych akcji AJAX, a nonce chroniący tę akcję ich nie obejmuje, co pozwala nieuwierzytelnionym atakującym na odczyt dowolnych kolumn tabeli bazy danych, do której przypisany jest dotknięty formularz front-end, w tym skrótów haseł użytkowników, jeśli tabelą jest tabela użytkowników.

Wtyczka Iptanus File Upload WordPress przed wersją 5.1.8 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co prowadzi do wstrzyknięcia SQL wykorzystywanego przez nieuwierzytelnionych użytkowników.

Wtyczka CubeWP Framework WordPress przed wersją 1.1.31 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL przez akcję AJAX, a także nie zawiera kontroli uprawnień dla tej akcji, co pozwala użytkownikom z dostępem na poziomie Subscriber i wyższym na przeprowadzanie ataków SQL injection.

Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.

Podatność typu path traversal w parisneo/lollms w wersji 2.1.0, w trasie SPA catch-all w `backend/routers/ui.py`. Niewłaściwe obsłużenie ścieżki wejściowej użytkownika, która jest bezpośrednio łączona ze ścieżką systemu plików bez sanityzacji, pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików na serwerze. Problem został naprawiony w wersji 3.

W bibliotece Crypt::OpenSSL::PKCS12 dla Perla przed wersją 1.98 występuje podatność na dereferencję wskaźnika NULL w funkcji print_attribute przy atrybucie BMPSTRING o zerowej długości. Zerowa długość powoduje, że bufor jest zwalniany i zwraca NULL, a następnie wywołanie strlen na tym wskaźniku powoduje awarię procesu.

Flowise do wersji 3.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w zabezpieczeniu SSRF zaimplementowanym w httpSecurity.ts, gdzie DEFAULT_DENY_LIST pomija endpoint metadanych Oracle Cloud Infrastructure (192.0.0.192) oraz Alibaba Cloud (100.100.100.200). Umożliwia to uwierzytelnionym atakującym zmuszenie serwera do wysyłania dowolnych żądań GET do usług metadanych instancji chmurowych, a w przypadku publicznych chatflow z węzłami pobierania URL możliwy jest dostęp bez uwierzytelnienia.

W parserze plików DDS (DirectDraw Surface) w GIMP występuje podatność na przepełnienie bufora na stercie. Gdy spreparowany plik DDS deklaruje format pikseli D3D9, ale ustawia niższą wartość bitów na piksel (bpp) w nagłówku, loader alokuje zbyt mały bufor na stercie. Kolejne zużycie danych pikseli przy rzeczywistym formacie powoduje zapis poza granicę bufora, co prowadzi do uszkodzenia metadanych sterty i potencjalnego wykonania kodu.

W projekcie INQUIRELAB mcp-bridge-api do commit b30a82aa1d1d1139e0de846c41c8aadee6e06114 wykryto podatność na wstrzykiwanie poleceń w funkcji nieznanej w pliku mcp-bridge.js w komponencie Servers Endpoint. Manipulacja argumentami command/args umożliwia zdalne wykonanie poleceń. Projekt używa ciągłych wydań, więc brak szczegółów wersji.

Wtyczka Solace Extra dla WordPressa przed wersją 1.6.1 nie przeprowadza kontroli uprawnień w kilku akcjach AJAX i udostępnia nonce chroniące te akcje na stronach administracyjnych dostępnych dla użytkowników o niskich uprawnieniach. Umożliwia to użytkownikom z rolą Subskrybenta lub wyższą modyfikację ustawień wyglądu całej witryny oraz usuwanie zaimportowanych treści kreatora stron.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji ani nonce na jednej z uwierzytelnionych akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na ujawnienie ustawień wtyczki, w tym wrażliwych kluczy API i sekretów.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL w jednej z uwierzytelnionych akcji AJAX, która nie ma kontroli autoryzacji i nonce. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na przeprowadzanie ataków SQL injection.

Wtyczka Admin Safety Guard — Login Security, Limit Logins, 2FA & Brute Force Protection dla WordPressa przed wersją 1.4.0 nie przeprowadza żadnej kontroli uprawnień na jednym z punktów końcowych REST API, co pozwala nieuwierzytelnionym atakującym na pobranie pełnej listy zarejestrowanych użytkowników, w tym ich nazw użytkownika, adresów e-mail, ról oraz statusu włączenia uwierzytelniania dwuskładnikowego.

Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.

W Bouncy Castle for Java FIPS (BC-FJA) przed bc-fips 1.0.2.7, 2.0.2 i 2.1.3, wrażliwy materiał klucza przechowywany przez silniki AES i DESede, DRBG SP 800-90A, SymmetricSecretKey oraz klasy parametrów PBKD i scrypt był zerowany podczas garbage collection przez nadpisanie Object.finalize. Finalizacja działa w nieokreślonym czasie i kolejności, a pojedynczy wątek finalizatora może nie nadążać, co prowadzi do nieograniczonego wzrostu kolejki finalizacji, przyczyniając się do OutOfMemoryError pod obciążeniem, a materiał klucza pozostaje w pamięci przez długi czas, niwecząc cel zerowania. Problem nie występuje na Java 8 i 11, ale na nowszych JVM, gdzie finalizacja jest zdeprecjonowana. Teraz usuwanie tych klas odbywa się przez java.lang.ref.Cleaner zarejestrowany w nakładce jdk1.9, więc na Java 9 i nowszych nie zależy od finalizatora. Bouncy Castle for Java (bcprov) i LTS nie są dotknięte.

W Bouncy Castle for Java FIPS (BC-FJA) przed bc-fips 2.1.3, natywne źródło entropii na platformach Intel ponawiało instrukcje CPU bez ograniczeń. RDSEED i RDRAND zgłaszają błąd przez flagę przeniesienia, a pętla JNI kręciła się w nieskończoność, jeśli flaga pozostawała wyczyszczona, co mogło zawiesić wątek w wywołaniu JNI, nie do przerwania ani przekroczenia limitu czasu. Każda operacja korzystająca z natywnego źródła entropii mogła zawisnąć, powodując odmowę usługi. Pętle ponawiania są teraz ograniczone (200 prób dla RDSEED i 20 dla RDRAND), z przerwami i po wyczerpaniu prób czyszczą bufor i rzucają wyjątek. Czyszczenie wykonuje nieusuwalny memzero z barierą pamięci. Bouncy Castle for Java (bcprov) nie jest dotknięty, a serie 1.0.X i 2.0.X nie są dotknięte.

Klever-Go, implementacja protokołu blockchain Klever w Go, w wersjach od 1.7.14 do 1.7.17 jest podatna na zdalnie wyzwalany atak DoS. Serwery REST są uruchamiane z domyślnym serwerem HTTP Go bez skonfigurowanych limitów (ReadHeaderTimeout, ReadTimeout, MaxHeaderBytes), co pozwala na trzymanie połączeń otwartych w nieskończoność, prowadząc do wyczerpania deskryptorów plików.