Katalog podatności CVE

Podatność SQL injection w zuraCast do wersji 0.23.7 włącznie występuje w funkcji przywracania kopii zapasowej. Polecenie `azuracast:restore` wykonuje plik `db.sql` wyodrębniony z archiwum kopii zapasowej bez walidacji lub sanityzacji zawartości, co pozwala zdalnemu atakującemu na eskalację uprawnień.

Znaleziono błąd w managedcluster-import-controller. Logika automatycznego zatwierdzania Certificate Signing Request (CSR) nieprawidłowo weryfikuje przychodzące CSR, w szczególności nie sprawdza nazwy podpisującego ani nie dekoduje zakodowanego w PEM x509 CSR. Ta podatność pozwala uprzywilejowanemu kontu usługi na klastrze spoke na przesłanie złośliwego CSR. Skuteczne wykorzystanie może prowadzić do eskalacji uprawnień, umożliwiając atakującemu uzyskanie poświadczeń administracyjnych na klastrze hub.

Deskflow to aplikacja do współdzielenia klawiatury i myszy. Od wersji 1.17.0 do builda ciągłego 1.26.0.300, połączony peer może wysyłać powtarzające się wiadomości DCLP DataChunk do funkcji ClipboardChunk::assemble(), co powoduje, że serwer lub klient dołącza dane poza zadeklarowanym rozmiarem DataStart i skonfigurowanym limitem schowka, wyczerpując pamięć odbiorcy. Problem naprawiono w buildzie ciągłym 1.26.0.300.

ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.

Deskflow to aplikacja do współdzielenia klawiatury i myszy. Przed ciągłą kompilacją 1.26.0.299, zdalny nieuwierzytelniony serwer Deskflow może wysłać wartości kMsgDSetOptions (DSOP) do ServerProxy::setOptions() w src/lib/client/ServerProxy.cpp, tak że wartość po opcji modyfikatora zatruwa m_modifierTranslationTable, po czym ServerProxy::translateKey() lub ServerProxy::translateModifierMask() indeksuje siedmiowierszowe tablice s_translationTable lub s_masks poza zakresem, ujawniając cztery bajty na wybranym przez atakującego względnym przesunięciu lub powodując awarię połączonego klienta; nieparzysta liczba opcji również powoduje odczyt OptionsList poza zakresem. Problem został naprawiony w ciągłej kompilacji 1.26.0.299.

ERPNext przed wersjami 15.116.0 i 16.23.0 zawiera podatność polegającą na nieprawidłowej walidacji filtra doctype, który jest interpolowany do surowego SQL w funkcjach get_sales_details i get_last_sales_amt. Uwierzytelniony użytkownik może wykorzystać ten błąd do wydobycia wrażliwych informacji i manipulowania zapytaniami do bazy danych.

WordPress jest podatny na zdalne wykonanie kodu poprzez złośliwe przesłanie pliku Postscript przez użytkownika z rolą Autora lub wyższą. Warunkiem jest użycie Imagick i Ghostscript na serwerze oraz możliwość przesyłania plików przez atakującego.

Budibase przed wersją 3.39.19 zawiera podatność w łączniku PostgreSQL, gdzie pole konfiguracyjne schema jest interpolowane do instrukcji SET search_path bez odpowiedniego escapowania podwójnych cudzysłowów. Uwierzytelniony administrator może wykonać dowolny kod SQL.

Deskflow od wersji 1.17.0 do ciągłej kompilacji 1.26.0.296 zawiera podatność, gdzie złośliwy serwer Deskflow może wysłać wektor DSOP o nieparzystej długości, powodując odczyt poza zakresem i awarię połączonego klienta.

Budibase przed wersją 3.41.3 zawiera podatność w punkcie końcowym POST /api/attachments/:datasourceId/url, gdzie uwierzytelniony użytkownik opublikowanej aplikacji z rolą BASIC może podać kontrolowane wartości bucket i key, uzyskując podpisane adresy URL oparte na zapisanych poświadczeniach S3.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Od wersji 4.8.0 do 4.10.17, uwierzytelniony użytkownik z uprawnieniami SFTP do autoryzowanego zasobu może przesłać spreparowane ścieżki traversal przez funkcję SFTP w KoKo Web Terminal, co powoduje, że AssetDir.GetRealPath() w pkg/srvconn/sftp_asset.go rozwiązuje ścieżki poza zamierzonym katalogiem głównym SFTP i umożliwia odczyt, listowanie, zapis, zmianę nazwy lub usunięcie operacji na skonfigurowanym koncie backendowym na tym zasobie. Problem naprawiono w wersji 4.10.17.

vm2 to otwartoźródłowa piaskownica dla Node.js. Przed wersją 3.11.6, lib/bridge.js i lib/setup-sandbox.js nie blokują pośredniego wywołania przez Function.prototype.call wokół niebezpiecznych mutatorów prototypów hosta, co pozwala kodowi piaskownicy na zerwanie łańcucha prototypów i dotarcie do e.constructor.constructor w celu wykonania dowolnych poleceń na hoście. Problem naprawiono w wersji 3.11.6.

vm2 to otwartoźródłowa piaskownica dla Node.js. Przed wersją 3.11.6, funkcja handleException() w lib/setup-sandbox.js oczyszcza SuppressedError.error, SuppressedError.suppressed i AggregateError.errors, ale nie oczyszcza Error.cause, co pozwala kodowi piaskownicy uzyskać potężny obiekt hosta, taki jak process, z funkcji hosta, która rzuca błąd z tym obiektem jako przyczyną, a następnie wykonać dowolne polecenia na hoście. Problem naprawiono w wersji 3.11.6.

vm2 przed wersją 3.11.6 zawiera podatność, gdzie egzekwowanie limitu bufferAllocLimit nie obejmuje funkcji Buffer.concat(list, totalLength) ani Buffer.from(arrayLike) z kontrolowaną długością, co pozwala kodowi w sandboxie na duże synchroniczne alokacje pamięci poza limitem, mogące wyczerpać proces hosta.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, uwierzytelniony administrator z uprawnieniami zarządzania i wdrażania Applet Host może wstrzyknąć wyrażenia Jinja2 do pola IP/Host lub pola adresu usługi Core, co powoduje, że Ansible ocenia dane inventory ansible_host lub zmienne playbooka podczas wdrażania Applet Host i wykonuje dowolne polecenia na węźle kontrolnym JumpServer. Problem naprawiono w wersji 4.10.17.

OpenEMR przed wersją 8.2.0 zawiera podatność na path traversal w interfejsie standard_tables_manage.php, gdzie parametr db GET jest przekazywany bez walidacji do temp_dir_cleanup(), który łączy wartość ze ścieżką katalogu tymczasowego PHP i rekurencyjnie usuwa wynikowy katalog. Atakujący może dostarczyć sekwencję traversal w parametrze db, aby rozwiązać ścieżkę poza zamierzonym katalogiem tymczasowym, a łącząc to z otwartym przekierowaniem w dicom_frame.php, nieuwierzytelniony atakujący może dostarczyć spreparowany URL, który wyzwala dowolne rekurencyjne usuwanie katalogów w sesji uwierzytelnionego Superusera.

Podatność przepełnienia bufora w SteelSeries GG (macOS) v.107.0.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponenty libSSEdevice.dylib i dup_wcs.

Podatność przepełnienia bufora w SteelSeries GG (macOS) v.107.0.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponenty libSSEdevice.dylib i CxAudioHidDevice::DeviceGetDescriptionString.

Budibase przed wersją 3.41.3 zawiera podatność w krokach automatyzacji (outgoingWebhook, zapier, n8n, slack, discord), gdzie używają one node-fetch na adresach URL dostarczonych przez użytkownika bez egzekwowania BLACKLIST_IPS, co pozwala uwierzytelnionemu użytkownikowi na wykonywanie żądań po stronie serwera do metadanych chmury i wewnętrznych usług.