Katalog podatności CVE

FFmpeg w wersjach od 4.4 do przed 9.0 zawiera podatność zapisu poza zakresem na stercie w natywnym dekoderze GoPro CineForm HD (CFHD), która pozwala zdalnym atakującym na uszkodzenie pamięci sterty poprzez dostarczenie spreparowanego pliku AVI podczas skanowania strumienia. Funkcja cfhd_decode() nie egzekwuje niezmiennika szerokości wyjściowej w ścieżce rekonstrukcji typu transform-2, co powoduje zapis zbyt dużych próbek poza przydzielony bufor, co może eskalować do wykonania kodu.

FFmpeg w wersjach od 0.5 do przed 9.0 zawiera podatność przepełnienia liczby całkowitej ze znakiem w parserze napisów DVB, która pozwala atakującym na wywołanie przepełnienia bufora sterty poprzez dostarczenie spreparowanego pliku WTV. Przepełnienie powoduje zawinięcie wyrażenia kontrolnego do INT_MIN, omijając porównanie PARSE_BUF_SIZE i wywołując memcpy() z kontrolowanymi danymi do bufora sterty, co prowadzi do zapisu poza zakresem i potencjalnego uszkodzenia pamięci lub wykonania kodu.

Dinky's SysConfigController.getAll() dla GET /api/sysConfig/getAll ma adnotację @SaIgnore na poziomie metody, która omija kontrolę @SaCheckLogin na poziomie klasy, więc interceptor Sa-Token przepuszcza żądanie bez sprawdzenia sesji lub roli. Każdy zdalny nieuwierzytelniony wywołujący może otrzymać pełną konfigurację systemu (54 wpisy) z jednym żądaniem GET. Pola z poświadczeniami, takie jak dinkyToken, hasła LDAP, klucze OSS i token DolphinScheduler, są zwracane w postaci jawnego tekstu, co prowadzi do wycieku poufnych danych.

Podatność niebezpiecznych uprawnień w ICS-Park v2.0 pozwala zdalnemu atakującemu na eskalację uprawnień poprzez endpointy /system/role/save w RoleController.java oraz /system/user/update w UserController.java.

Flowise do wersji 3.1.4 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom przestrzeni roboczej na wykonywanie nieautoryzowanych operacji na magazynie dokumentów poprzez dostęp do niechronionych punktów końcowych mutacji. Atakujący posiadający tylko uprawnienia do podglądu mogą wysyłać bezpośrednie żądania HTTP do tras upsert i odświeżania, aby wywołać ingerencję dokumentów, odświeżyć zawartość bazy wektorowej, zużyć kredyty API osadzania i modyfikować bazy wiedzy używane przez chatflow.

PHP_CodeSniffer przed wersjami 3.13.6 i 4.0.2 zawiera podatność wstrzykiwania komend w kodzie generującym raporty Gitblame, Hgblame i Svnblame. Uruchomienie PHP_CodeSniffer na niezaufanych plikach, na przykład w potoku CI skanującym pull requesty, może skutkować wykonaniem kontrolowanych przez atakującego komend powłoki, gdy raport przetwarza plik o nazwie zawierającej metaznaki powłoki. Użytkownicy używający domyślnego raportu Full lub innych raportów nieblame'owych nie są dotknięci.

pymdown-extensions do wersji 11.0 zawiera podatność na katastrofalne cofanie się wyrażeń regularnych w czterech procesorach inline (caret, tilde, betterem, magiclink). Pojedyncza, niezaufana linia Markdown o długości poniżej 50 bajtów może spowodować nieograniczone użycie CPU, co umożliwia zdalnemu atakującemu wywołanie odmowy usługi. Problem został naprawiony w wersji 11.0.1.

Statamic przed wersjami 5.74.1 i 6.24.0, gdy włączone jest logowanie OAuth z dostawcą niegwarantującym zweryfikowanych adresów e-mail, umożliwia nieuwierzytelnionemu atakującemu zalogowanie się jako istniejący użytkownik, w tym super administrator, bez znajomości hasła. Dzieje się tak, ponieważ aplikacja dopasowuje tożsamości OAuth do kont wyłącznie na podstawie adresu e-mail. Problem naprawiono w wersjach 5.74.1 i 6.24.0.

sysPass w funkcji FileBackupService::doBackupFiles() buduje polecenie tar przez konkatenację ścieżki katalogu kopii zapasowej bez użycia escapeshellarg() i bez walidacji znaków. Administrator (lub atakujący z tokenem API) może zapisać ścieżkę zawierającą metaznaki powłoki, co przy wyzwoleniu kopii zapasowej umożliwia wykonanie dowolnych poleceń systemowych jako użytkownik procesu webowego. Może to prowadzić do odczytania hasła głównego i klucza szyfrowania, odszyfrowania wszystkich haseł i przejęcia systemu.

Dgraph przed wersją 25.3.8 w funkcji maybeQuoteArg w graphql/resolve/query_rewriter.go przekazuje filtry wyrażeń regularnych do generowanego DQL bez odpowiedniego cytowania lub walidacji, co pozwala na wstrzyknięcie operatorów DQL, ujawnienie niezamierzonych węzłów lub rozszerzenie celów modyfikacji i usuwania. Problem naprawiono w wersji 25.3.8.

Fedify w wersjach od 1.2.0 do 2.3 (w określonych liniach) w funkcji getNodeInfo() podąża za kontrolowanym przez atakującego linkiem links[].href z /.well-known/nodeinfo bez walidacji schematu, przekierowań ani adresów prywatnych. Umożliwia to wysyłanie żądań do usług loopback, link-local, metadanych chmury i sieci prywatnych oraz odczytywanie ich treści. Problem naprawiono w wersjach 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7 i 2.3.2.

Contiki-NG w kliencie MQTT w funkcji parse_publish_vhdr() w os/net/app-layer/mqtt/mqtt.c ustawia topic_len_received=1 przed sprawdzeniem topic_len względem limitu 64 bajtów, co powoduje, że zbyt długi temat zwraca wcześniej, ale pozostawia flagę ustawioną. Przy następnym segmencie TCP parser pomija blok odczytu długości i wykonuje memcpy z niezwalidowaną długością, co prowadzi do przepełnienia bufora topic[] i nadpisania sąsiednich pól, w tym wskaźnika payload_chunk. Może to umożliwić zdalne wykonanie kodu na urządzeniach bez ochrony pamięci.

Contiki-NG w resolverze DNS/mDNS w funkcji skip_name() w os/services/resolv/resolv.c nie sprawdza granic pakietu podczas przetwarzania etykiet nazw, a wywołujący w newdata() iteruje nquestions razy na podstawie nagłówka DNS przed walidacją ID transakcji. Atakujący może ustawić nquestions większe niż liczba kompletnych pytań, co powoduje odczyt poza buforem pakietu UDP i ujawnienie zawartości pamięci lub awarię resolwera.

Contiki-NG w parserze TLV LwM2M w funkcji lwm2m_tlv_read() w os/services/lwm2m/lwm2m-tlv.c ignoruje argument długości bufora i czyta do sześciu bajtów bez sprawdzania granic. Złośliwe żądanie CoAP WRITE z końcowym TLV o dokładnie jednym bajcie powoduje odczyty poza stertą, ujawniając zawartość pamięci (w tym klucze i adresy) przez pola tlv->id, tlv->length i tlv->value. W trybie NoSec, domyślnym dla urządzeń ograniczonych, nie jest wymagane uwierzytelnienie.

Ground Station przed wersją 0.6.0 zawiera nieuwierzytelnioną podatność na blind SSRF w ścieżce konfiguracji orbital-source. Nieuwierzytelniony klient Socket.IO może połączyć się na porcie 7000, zapisać złośliwy URL w bazie danych i wyzwolić synchronizację orbitalną, co powoduje wysyłanie żądań HTTP do wybranych przez atakującego miejsc docelowych, w tym do metadanych chmury (169.254.169.254). Statusy HTTP i błędy są emitowane do klientów, co umożliwia interpretację odpowiedzi wewnętrznych usług.

OpenReception przed wersją 1.0.2 nie ogranicza liczby nieudanych prób logowania hasłem. Atakujący może wysyłać nieograniczoną liczbę błędnych haseł dla znanego adresu e-mail, z szybkością około 10 prób na sekundę. Brak throttlingu w gałęzi hasła, podczas gdy endpoint WebAuthn ma throttling, umożliwia ataki brute-force i słownikowe na konta użytkowników. Problem naprawiono w wersji 1.0.2.

Przed wersją 1.0.2 oprogramowania OpenReception do rezerwacji wizyt, administrator dzierżawy (TENANT_ADMIN) może zapisać adresy URL `javascript:` w konfiguracji linków (`website`, `imprint`, `privacyStatement`). Te wartości są zwracane na stronę pacjenta przez `/api/public`, osadzane w komponencie SvelteKit Button i renderowane jako `<a href="javascript:...">` bez filtrowania schematu URL. Kliknięcie takiego linku przez pacjenta powoduje wykonanie skryptu atakującego w przeglądarce pacjenta, gdzie dane formularza są odczytywane przed szyfrowaniem po stronie klienta.

Podatność w OpenReception przed wersją 1.0.2 ujawnia pełny rekord dzierżawcy (tenant) przez endpoint `GET /api/tenants/{id}` każdemu uwierzytelnionemu administratorowi tego dzierżawcy, w tym pole `databaseUrl` zawierające string połączenia z bazą PostgreSQL. W domyślnym wdrożeniu docker-compose string zawiera użytkownika `postgres` z uprawnieniami superusera i hasło w plaintext, co pozwala na pełny dostęp do wszystkich baz danych w instancji PostgreSQL.

Przed wersją 1.0.2 OpenReception, podczas nawigacji do strony `/logout`, handler ładowania po stronie serwera usuwa ciasteczko `access_token` przed wywołaniem `/api/auth/logout` przez wewnętrzny `event.fetch()`. Wewnętrzne żądanie jest wykonywane bez ciasteczka uwierzytelniającego, więc `apiAuthHandle` odrzuca je, handler wylogowania nie wykonuje się, a `SessionService.revokeSession()` nie jest wywoływany dla bieżącej sesji. Sesja w bazie danych pozostaje ważna do naturalnego wygaśnięcia (domyślnie tydzień). Użytkownik widzi poprawne wylogowanie (ciasteczko usunięte, UI wraca do logowania), ale każda strona posiadająca kopię usuniętego tokena może kontynuować uwierzytelnione wywołania API do naturalnego wygaśnięcia sesji.

OpenZeppelin Contracts Wizard przed wersją 0.10.9 generuje plik testowy Hardhat (`test/test.ts`) przez interpolację dostarczonego przez użytkownika `opts.name` (ERC20/ERC721) i `opts.uri` (ERC1155) bezpośrednio do literałów łańcuchowych TypeScript w `zip-hardhat.ts:48` i `:50` bez żadnego escapowania. Nie jest wymagane uwierzytelnienie: atakujący tworzy URL taki jak `https://wizard.openzeppelin.com/#/erc20?name=");require("child_process").execSync("...");("` i udostępnia go deweloperowi. Gdy ofiara pobierze wynikowy archiwum zip i uruchomi `npx hardhat test`, wstrzyknięty kod Node.js wykonuje się z uprawnieniami lokalnego systemu operacyjnego dewelopera.