Katalog podatności CVE

Trigger.dev od wersji 4.4.2 do 4.5.0 ma podatność w trasach presign pakietów, gdzie nazwa pliku kontrolowana przez wywołującego jest przekazywana do generowania presigned URL, umożliwiając trawersację katalogów i dostęp do payloadów zadań innych organizacji. Klucz API projektu może odczytać lub nadpisać dane innych organizacji w środowiskach self-hosted.

Trigger.dev od wersji 4.4.2 do 4.5.0-rc.5 ma podatność w Aws4FetchClient.buildUrl() i presign(), gdzie klucze pakietów kontrolowane przez użytkownika są przypisywane do URL.pathname, a trasa akceptuje parametry bez odrzucania segmentów kropek i bez walidacji własności zasobów. Normalizacja ścieżki WHATWG usuwa segmenty .. przed podpisaniem, umożliwiając uzyskanie presigned URL dla kluczy innego dzierżawcy i odczyt lub nadpisanie payloadów zadań.

Trigger.dev od wersji 4.4.2 do 4.5.0-rc.4 ma podatność w endpointcie POST /api/v1/runs/:runParam/replay. Zapytanie do bazy danych nie filtruje po runtimeEnvironmentId, co pozwala dowolnemu kluczowi API środowiska na odtworzenie przebiegu innej dzierżawy przez friendlyId. Dodatkowo, przy użyciu payloadType "application/store", dane payload mogą być nadpisane przez atakującego, co prowadzi do wykonania nieautoryzowanych działań.

Russh przed wersją 0.62.4 ma podatność na odmowę usługi. Uwierzytelniony klient SSH może wysłać żądanie kanału pty-req z więcej niż 130 rekordami trybu terminala. Parser w russh/src/server/encrypted.rs przechowuje tryby w stałej tablicy 130-elementowej, ale kontynuuje zwiększanie licznika, co prowadzi do wyjścia poza zakres i paniki przed uruchomieniem handlera pty_request.

dua-cli nie filtruje sekwencji escape terminala podczas drukowania ścieżek plików po wyjściu z interfejsu TUI. Atakujący mogą tworzyć nazwy plików zawierające sekwencje OSC/CSI, które są interpretowane przez emulator terminala, co umożliwia fałszowanie tytułu, manipulację schowkiem lub inne ataki z użyciem sekwencji escape.

Trix przed wersją 2.1.18 jest podatny na przechowywany cross-site scripting, gdy sformatowany HTML jest wklejany do edytora. HTMLParser przetwarza atrapę załącznika w <span> z pustym data-trix-attachment="{}", co powoduje zastosowanie data-trix-attributes do zwykłego ciągu znaków. StringPiece.fromJSON akceptuje niezweryfikowany href, umożliwiając URI javascript: wejście do modelu dokumentu i wykonanie po kliknięciu przez innego użytkownika.

NextAuth.js od wersji 5.0.0-beta.0 do 5.0.0-beta.32 ma podatność, gdzie aplikacje sprawdzające tylko istnienie obiektu auth mogą przepuścić nieuwierzytelnionych użytkowników, gdy wystąpi błąd konfiguracji serwera. Błąd konfiguracji, taki jak brakujący issuer lub AUTH_SECRET, powoduje, że odpowiedź sesji jest parsowana jako prawdziwy obiekt błędu zamiast null, co prowadzi do fałszywego uwierzytelnienia.

NextAuth.js przed @auth/core 0.41.3 i next-auth 4.24.15 oraz 5.0.0-beta.32 ma podatność w normalizatorze adresów email, gdzie adres z pełnoszerokim znakiem @ (U+FF20) przechodzi walidację, ale po normalizacji Unicode staje się standardowym @, co może spowodować dostarczenie linku do logowania do atakującego.

JupyterLab od wersji 3.3.0 do 4.5.10 i 4.6.2 ma podatność w ustawieniach notebooka, gdzie ustawienia sideBySideLeftMarginOverride i sideBySideRightMarginOverride nie są poprawnie walidowane przed wstawieniem do stylu. Spreparowany plik overrides.json może zawierać instrukcje wykonywane jako kod, a zaimportowanie go lub automatyczne zastosowanie przez atakującego może prowadzić do wykonania kodu z uprawnieniami użytkownika.

JupyterLab od wersji 4.5.0 do 4.5.10 i 4.6.2 ma podatność w menedżerze rozszerzeń PyPI. Wymuszanie blocked_extensions_uris używa słabszej normalizacji niż kanoniczna nazwa pakietu PyPI. Uwierzytelniony użytkownik może zażądać instalacji pakietu równoważnego PyPI, np. JupyterLab.Git dla zablokowanego jupyterlab-git, co pozwala obejść listę blokad.

Budibase przed wersją 3.39.18 zawiera podatność na wstrzyknięcie SQL w integracji MySQL, gdzie nazwa tabeli nie jest poprawnie escapowana w zapytaniu DESCRIBE. Atakujący może utworzyć tabelę z nazwą zawierającą backtick i dodatkowe zapytanie, które zostanie wykonane podczas skanowania schematu przez administratora. Problem naprawiono w wersji 3.39.18.

Budibase przed wersją 3.39.24 zawiera podatność w punkcie końcowym POST /api/public/v1/roles/assign, gdzie brakuje walidacji appBuilder.appId lub role.appId. Użytkownik z uprawnieniami buildera w jednej aplikacji może przypisać sobie uprawnienia buildera lub dowolną rolę w innej aplikacji, uzyskując dostęp do jej danych, konfiguracji źródeł danych i automatyzacji. Problem naprawiono w wersji 3.39.24.

Budibase przed wersją 3.39.25 ma podatność w endpointach GET /api/users/metadata i GET /api/users/metadata/:id. Odpowiedzi zawierają obiekty użytkowników bez usunięcia pól oauth2.accessToken i oauth2.refreshToken. Użytkownik z rolą POWER może pobrać dane uwierzytelniające dostawcy tożsamości użytkowników SSO i użyć tokenów odświeżania do trwałego dostępu do połączonych usług.

Budibase przed wersją 3.39.30 ma podatność w przepływie OIDC, gdzie adres e-mail nie jest weryfikowany pod kątem email_verified, a konta są łączone na podstawie adresu e-mail. Atakujący, który może uwierzytelnić się przez dostawcę tożsamości z niezweryfikowanym adresem e-mail ofiary, może przejąć konto ofiary i odziedziczyć jej role.

streama ma podatność typu insecure direct object reference w ViewingStatusController, która pozwala uwierzytelnionym użytkownikom na odczyt i usuwanie rekordów statusu oglądania innych użytkowników. Atakujący mogą enumerować postęp oglądania wszystkich użytkowników, usuwać dowolną historię oglądania i manipulować dashboardem Continue Watching innych użytkowników, podając dowolne klucze podstawowe bez weryfikacji własności.

Budibase przed wersją 3.40.0 nie maskuje poświadczeń źródeł danych przechowywanych w polach typu STRING, co pozwala uwierzytelnionym użytkownikom na odczytanie w postaci jawnej ciągów połączeń MongoDB i kluczy prywatnych Firebase. Atakujący z uprawnieniami odczytu tabel mogą pobrać konfiguracje źródeł danych przez API, uzyskując dostęp do poświadczeń baz danych i kluczy kont usług.

Budibase przed wersją 3.40.0 zawiera podatność w punkcie końcowym PUT /api/global/users/tenant/owner (changeTenantOwnerEmail), która pozwala każdemu uwierzytelnionemu użytkownikowi, nawet z najniższymi uprawnieniami BASIC, na zmianę adresu e-mail właściciela konta na adres kontrolowany przez atakującego. Atakujący może następnie użyć publicznego mechanizmu resetowania hasła, aby przejąć konto administratora, uzyskując pełny dostęp administracyjny.

Budibase przed wersją 3.40.0 zawiera podatności typu Server-Side Request Forgery (SSRF) w imporcie zapytań OpenAPI i wykonywaniu zapytań REST, które pozwalają uwierzytelnionym użytkownikom z uprawnieniami buildera na obejście ochrony DNS pinning poprzez ataki DNS rebinding. Atakujący mogą skonfigurować nazwy hostów, które podczas walidacji rozwiązują się na adresy publiczne, ale podczas rzeczywistego połączenia na adresy pętli zwrotnej lub prywatne, umożliwiając dostęp do zablokowanych wewnętrznych usług HTTP.

Budibase przed wersją 3.40.0 zawiera podatność na wstrzyknięcie SQL w łączniku Oracle, w wyszukiwaniu wierszy po zapisie, gdzie nazwy tabel nie są poprawnie escapowane. Atakujący z uprawnieniami zapisu na tabeli z cudzysłowem w nazwie może wstrzyknąć SQL, który wykona się jako użytkownik bazy danych, umożliwiając odczyt lub modyfikację dowolnych danych.

Budibase przed wersją 3.40.0 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w automatyzacjach wyzwalanych webhookiem z krokami EXECUTE_QUERY. Atakujący może wysłać JSON do endpointu webhooka, aby wstrzyknąć ładunki SQL wykonujące się z poświadczeniami bazy danych skonfigurowanymi przez buildera, umożliwiając eksfiltrację, modyfikację i trwałość danych w połączonych źródłach danych.