Katalog podatności CVE

Nieuwierzytelniony zdalny atakujący może doprowadzić do awarii serwera opartego na NIOWebSocket (w tym Vapor i Hummingbird) wysyłając pojedynczą ramkę o długości 11 bajtów po zakończeniu uzgadniania WebSocket, co powoduje zerwanie wszystkich aktywnych połączeń do czasu ponownego uruchomienia procesu. Podatność została naprawiona w wersji swift-nio 2.101.0.

W funkcji Dynamic DNS (DDNS) bram TP-Link Omada poświadczenia uwierzytelniające są przesyłane przez niezaszyfrowany kanał podczas komunikacji z zewnętrznym serwisem DDNS. Atakujący, który może obserwować lub manipulować ruchem między urządzeniem a serwisem DDNS, może uzyskać wrażliwe informacje uwierzytelniające lub zakłócić operacje aktualizacji DDNS. Wykorzystanie wymaga skonfigurowania DDNS, komunikacji z zewnętrznym serwisem DDNS oraz widoczności lub kontroli ścieżki sieciowej przez atakującego.

Podatność przed uwierzytelnieniem w bramach Omada skonfigurowanych jako serwer OpenVPN umożliwia zdalnemu atakującemu wstrzyknięcie komend systemu operacyjnego poprzez specjalnie spreparowane dane podczas nawiązywania połączenia OpenVPN. Wymagane jest włączenie funkcji OpenVPN Server i dostępność usługi VPN dla atakującego.

Catalyst::Plugin::Static::Simple w wersjach do 0.38 dla Perla oznacza odpowiedzi jako publicznie cache'owane. Metoda _serve_static zawsze ustawia nagłówek Cache-Control na "public" bez możliwości jego nadpisania, co powoduje, że proxy mogą przechowywać treść w współdzielonej pamięci podręcznej i używać jej w odpowiedziach na żądania innych użytkowników, w tym z nagłówkiem Authorization. Ustawienie czasu wygaśnięcia na "0" w celu wyłączenia cache'owania jest ignorowane.

W projekcie elunez eladmin do wersji 2.7 znaleziono podatność dotyczącą funkcji EmailController, AliPayController, GeneratorController i GenConfigController. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.

W urządzeniu Tenda CH22 w wersji 1.0.0.1 znaleziono podatność w funkcji formcreateFileName w pliku /goform/formcreateFileName. Manipulacja argumentem fileNameMit prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Biblioteka Expat do wersji 2.8.3 zawiera podatność odczytu poza zakresem, która pozwala atakującym na wywołanie uszkodzenia pamięci podczas przetwarzania XML z zewnętrznymi parserami encji utworzonymi przez XML_ExternalEntityParserCreate. Niezgodność rozmiaru struktury między elementami ELEMENT_TYPE powoduje, że storeAtts odczytuje człon attIndex poza przydzieloną pamięcią, co prowadzi do nieprawidłowej normalizacji białych znaków w atrybutach niebędących CDATA lub do dzikiego wskaźnika powodującego segfault. Podatność została wprowadzona przez poprawkę dla CVE-2026-66046.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 zdalny atakujący może wysłać spreparowaną ścieżkę zakodowaną procentowo do wdrożenia używającego MG_ENABLE_DIRLIST i nakłonić użytkownika do jej odwiedzenia. Funkcje mg_http_serve_dir() i listdir() w src/http.c umieszczają zdekodowany URI żądania w elementach title i h1 bez kodowania encji HTML. Powstały odbity cross-site scripting wykonuje się w kontekście Mongoose i może ujawnić dane sesji lub wykonać działania jako ofiara. Problem naprawiono w wersji 7.22.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 zdalny atakujący może umieścić pojedynczy znak powrotu karetki lub nowej linii w danych multipart przetwarzanych przez mg_http_next_multipart() w src/http.c. Pętle porównujące s[b] i s[b+1] oraz s[h2] i s[h2+1] używają nieprawidłowego warunku AND i zatrzymują się, gdy którykolwiek znak przypomina część terminatora CRLF. To skraca nagłówki, nazwy plików lub granice i może spowodować, że aplikacja zaakceptuje niebezpieczną zawartość po zobaczeniu mylącej wartości Content-Type. Problem naprawiono w wersji 7.22.

Podatność w Mongoose przed wersją 7.22 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wysłanie żądania HTTP zawierającego zarówno Content-Length, jak i Transfer-Encoding: chunked. Kontrolery cl_count i te_count akceptują oba nagłówki i priorytetyzują kodowanie chunked, co prowadzi do desynchronizacji CL.TE i umożliwia wstrzyknięcie żądań w kontekście innego użytkownika.

Podatność w Mongoose przed wersją 7.22 umożliwia zdalnemu nieuwierzytelnionemu atakującemu wykorzystanie wdrożenia z odwrotnym proxy HTTP/1.0 poprzez wysłanie żądania z Transfer-Encoding: chunked i sprzecznym framingiem. Funkcja http_cb() testuje hm.proto.len z niemożliwym warunkiem większym niż osiem, co powoduje, że is_http_1_0 nigdy nie jest ustawiane, a Mongoose przetwarza chunked encoding, które proxy HTTP/1.0 może zignorować.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 atakujący, który może kontrolować plik z włączonym SSI, może umieścić sekwencje traversal katalogów w dyrektywie #include file lub #include virtual. Funkcja mg_ssi() w src/ssi.c łączy argument dyrektywy ze ścieżką systemu plików bez wywołania mg_path_is_sane(), co pozwala wdrożeniu z MG_ENABLE_SSI i skonfigurowanym ssi_pattern na ujawnienie plików czytelnych dla procesu Mongoose. Problem naprawiono w wersji 7.22.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 atakujący, który może utworzyć plik z ładunkiem HTML w nazwie, może wywołać trwały cross-site scripting, gdy użytkownik przegląda katalog serwowany z MG_ENABLE_DIRLIST. Funkcja printdirentry() wywoływana przez listdir() w src/http.c koduje URL w href, ale wstawia surową nazwę pliku do tekstu linku HTML. Przeglądarka wykonuje wstrzyknięty kod w kontekście Mongoose, co może ujawnić dane sesji lub umożliwić działania jako ofiara. Problem naprawiono w wersji 7.22.

Podatność w Mongoose przed wersją 7.22 pozwala atakującemu sieciowemu z certyfikatem wildcard dla domeny nadrzędnej na podszywanie się pod głębsze subdomeny wobec klienta używającego wbudowanego stosu TLS. Funkcje mg_tls_verify_cert_san() i mg_tls_verify_cert_cn() wywołują mg_match(), którego wildcard może przekraczać granice etykiet DNS, więc wzorzec taki jak *.example.com może pasować do foo.bar.example.com.

Podatność w Mongoose przed wersją 7.23 pozwala atakującemu sieciowemu na podszywanie się pod serwer TLS wobec klienta Mongoose skonfigurowanego z pakietem wielu certyfikatów CA. Funkcja mg_tls_init() przechowuje pakiet w tls->ca_bundle_der, podczas gdy tls->ca_der.len pozostaje zerowe, a mg_tls_recv_cert() używa tls_bundle_find() do akceptacji dopasowania Common Name bez weryfikacji podpisu certyfikatu.

broot renderuje każdą nazwę pliku i katalogu w interaktywnym widoku drzewa dokładnie tak, jak odczytano z systemu plików. Nazwy są konwertowane za pomocą zwykłego wywołania to_string_lossy() w src/tree_build/builder.rs oraz w TreeLine::unprune w src/tree/tree_line.rs, a w kodzie nie ma żadnego filtrowania znaków kontrolnych, mimo że komentarz dokumentacyjny w polu nazwy TreeLine stwierdza, że niektóre znaki mogły zostać usunięte. Każdy lokalny użytkownik, który może utworzyć plik, może umieścić sekwencję escape w jego nazwie i mieć ją zapisaną bez modyfikacji na terminalu każdego, kto przegląda ten katalog, pomiędzy własnymi kodami stylizacji broot. Zgłoszony dowód koncepcji użył sekwencji OSC 52 do zapisu do schowka i przechwycił surowe bajty, które broot zapisał do swojego pty, potwierdzając, że sekwencja dociera do terminala bez usunięcia. To, co może zrobić wstrzyknięta sekwencja OSC lub CSI, zależy od używanego emulatora terminala. Przeglądanie katalogu jest główną funkcją broot i nie ma oczekiwania, że zawartość jest zaufana.

Jądro Lean 4 nie weryfikuje, czy struktura nazwana w wyrażeniu projekcji odpowiada typowi wartości, oraz nie sprawdza typów zagnieżdżonych aplikacji indukcyjnych zastępowanych przez typy pomocnicze. Metaprogram może zarejestrować źle typowany typ indukcyjny, prowadząc do pomieszania typów i uzyskania dowodu fałszu bez aksjomatów.

Libevent to biblioteka do powiadamiania o zdarzeniach. Od wersji 2.2.0-alpha-dev do 2.2.2-alpha serwer WebSocket w pliku ws.c gromadzi pofragmentowane ramki w evws->incomplete_frames bez egzekwowania limitu całkowitego rozmiaru wiadomości. Nieuwierzytelniony zdalny klient może wielokrotnie wysyłać pofragmentowane ramki WebSocket poniżej WS_MAX_RECV_FRAME_SZ z FIN=0, powodując nieograniczony wzrost evbuffer aż do wyczerpania pamięci procesu lub hosta. Problem został naprawiony w wersji 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma podatność zapisu poza zakresem na stercie w bufferevent_sock.c, gdy bufferevent_socket_set_conn_address_ kopiuje adres peer AF_UNIX dostarczony przez jądro do bufferevent_private.conn_address. Wersje wydaniowe skompilowane z NDEBUG wyłączają zabezpieczenie EVUTIL_ASSERT, a ścieżka akceptacji evhttp może przekazać 110-bajtowy sockaddr z accept() do 28-bajtowego pola. Nieuwierzytelniony lokalny peer, który może połączyć się z nasłuchem AF_UNIX, może nadpisać sąsiedni wskaźnik dns_request i dane na stercie, powodując uszkodzenie pamięci z wpływem na poufność, integralność i dostępność. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma przepełnienie bufora na stosie off-by-one w evdns.c, gdy dnsname_to_labels formatuje rekord DNS z nazwą na końcu 64 KB bufora stosu przydzielonego przez evdns_server_request_format_response. Ostatnia kontrola etykiety pozwala, aby j plus label_len plus jeden równało się buf_len, po czym bajt null jest zapisywany do buf[buf_len]. Spreparowana odpowiedź serwera DNS zawierająca dane PTR, CNAME, MX, NS lub SOA może wywołać zapis o jeden bajt poza zakresem i spowodować awarię lub uszkodzenie procesu. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.