Katalog podatności CVE

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 zawiera podatność związaną z niezaufaną ścieżką wyszukiwania, która może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu.

IBM i Access Client Solutions w wersjach od 1.1.2.0 do 1.1.9.13 jest podatny na wykonanie dowolnego kodu w systemie Windows, gdy jest zainstalowany dla wszystkich użytkowników, z powodu publicznie zapisywalnego katalogu.

IBM WebSphere Application Server - Liberty 17.0.0.3 do 26.0.0.8 jest podatny na obejście uwierzytelniania, gdy włączona jest funkcja rtcomm-1.0 lub rtcommGateway-1.0.

IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.0.0 do 6.0.1.0 zawiera w kodzie źródłowym GUI zakodowany na stałe token, używany do komunikacji między węzłami klastra oraz do uwierzytelniania API REST między interfejsami GUI.

IBM Planning Analytics 2.0 i 2.1 Local jest podatny na atak typu cross-site request forgery (CSRF), który może pozwolić atakującemu na wykonanie złośliwych i nieautoryzowanych działań transmitowanych od użytkownika, któremu witryna ufa.

IBM WebSphere Application Server - Liberty w wersjach od 17.0.0.3 do 26.0.0.8 jest dotknięty odmową usługi spowodowaną niebezpieczną deserializacją. Użytkownik administracyjny z niskimi uprawnieniami może wykorzystać tę podatność do zużycia zasobów systemowych, gdy funkcja restConnector-2.0 jest włączona.

Vitest w trybie przeglądarki (Browser Mode) przed wersjami 3.2.7, 4.1.10 i 5.0.0-beta.6 nie egzekwuje uprawnień zapisu (allowWrite) ani nie ogranicza ścieżek do katalogu projektu dla komend takich jak upload, takeScreenshot, screenshotMatcher, stopChunkTrace, deleteTracing i annotateTraces. Klient mający dostęp do API trybu przeglądarki może odczytać dowolne pliki lokalne, tworzyć lub nadpisywać pliki obrazów i śladów, a także usuwać pliki dostępne dla procesu Vitest, nawet gdy allowWrite jest ustawione na false. Problem został naprawiony w wersjach 3.2.7, 4.1.10 i 5.0.0-beta.6.

vantage6 w wersji 5.0.2 i wcześniejszych ma uprawnienie edycji algorytmu bez sprawdzania własności, co pozwala jednemu deweloperowi algorytmu na modyfikację algorytmu innego dewelopera, gdy ten jest w stanie oczekiwania lub przeglądu. Atakujący może zmienić metadane, w tym obraz algorytmu lub tag obrazu, powodując, że recenzenci i węzły zaufają innemu obrazowi niż pierwotnie zatwierdzony. Brak dostępnej wersji naprawionej na dzień przeglądu.

TypeORM przed wersjami 0.3.31 i 1.1.0 zawiera podatność w komendzie migration:generate, która osadza metadane schematu bazy danych w literałach szablonów JavaScript lub TypeScript, uciekając przed backtickami, ale nie przed interpolacją ${...}. Atakujący z prawem zapisu do schematu bazy danych może umieścić złośliwy kod w komentarzach kolumn, wartościach DEFAULT lub innych ciągach schematu, a silnik JavaScript wykona ten kod podczas ładowania wygenerowanej migracji.

SVGO (SVG Optimizer) to biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG. Od wersji 1.0.0 do wersji 2.8.3, 3.3.4 i 4.0.2 wtyczka removeScripts (nazwana removeScriptElement w wersjach 1-3) może pozostawić wykonywalną zawartość w zoptymalizowanych plikach SVG, ponieważ nie usuwa elementów skryptowych z przestrzenią nazw lub prefiksem, takich jak <svg:script>, a w wersjach 3 i 4 dopasowuje URI JavaScript z uwzględnieniem wielkości liter. Aplikacje przetwarzające niezaufane dane SVG z tą wtyczką i serwujące wynik mogą pozwolić na wykonanie skryptów, gdy inny użytkownik otworzy SVG, co może ujawnić lokalne dane lub ciasteczka. Problem naprawiono w wersjach 2.8.3, 3.3.4 i 4.0.2.

phpList przed wersją 3.7.0-RC5 zawiera podatność CSRF w lists/admin/admins.php. Akcja usuwania administratora jest wyzwalana przez nieuwierzytelnione żądanie GET (?page=admins&delete=N), które nie jest chronione tokenem CSRF (centralny verifyCsrfGetToken używa enforce=false i jest pomijany, gdy parametr tokenu jest nieobecny). Zdalny atakujący może nakłonić zalogowanego super-administratora do załadowania spreparowanego URL (np. osadzonego jako obraz w e-mailu), aby usunąć dowolne konto administratora inne niż własne.

phpList przed wersją 3.7.0-RC5 nie egzekwuje walidacji tokenu CSRF na punkcie końcowym usuwania reguł odrzuceń (bouncerules.php / bouncerule.php). Usuwanie odbywa się przez żądanie GET (?page=bouncerules&del=N), a centralna kontrola CSRF (verifyCsrfGetToken) jest wywoływana z enforce=false, więc token jest sprawdzany tylko wtedy, gdy parametr 'tk' jest obecny. Zdalny atakujący może nakłonić uwierzytelnionego administratora do załadowania spreparowanego URL (np. w tagu obrazka), aby usunąć dowolne reguły odrzuceń z tabeli phplist_bounceregex bez ważnego tokenu CSRF.

NodeBB przed wersją 4.15.0 zawiera podatność na trwały cross-site scripting w funkcji renderEmoji, która nie ucieka z atrybutów tag.icon.url i tag.name. Atakujący mogą dostarczyć złośliwe obiekty ActivityPub Create/Note ze spreparowanymi tagami emoji, aby wstrzyknąć dowolny HTML i JavaScript do treści postów, wykonując kod w przeglądarkach wszystkich widzów.

Next AI Draw.io w wersjach od 0.2.1 do 0.4.16 zawiera podatność na odzwierciedlony cross-site scripting w parametrze mcp, który jest interpolowany bez ucieczki do HTML i JavaScript. Atakujący mogą tworzyć złośliwe URL-e, aby wykonać dowolny JavaScript w kontekście origin localhost, umożliwiając eksfiltrację sesji diagramów i danych API.

Next AI Draw.io do wersji 0.4.16 zawiera podatność na atak typu server-side request forgery (SSRF) w punkcie końcowym POST /api/parse-url z powodu walidacji nazwy hosta, która sprawdza tylko wzorce ciągów bez rozwiązywania DNS. Nieuwierzytelnieni atakujący mogą podać nazwy hostów, które omijają walidację ciągów, ale rozwiązują się na adresy wewnętrzne, co pozwala im dotrzeć do dowolnych wewnętrznych usług HTTP i eksfiltrować odpowiedzi, w tym metadane chmury.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić lokalnemu atakującemu na uzyskanie podwyższonych uprawnień z powodu niewłaściwego zarządzania uprawnieniami.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi i modyfikację metadanych uwierzytelniania z powodu przepełnienia bufora.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na ominięcie ograniczeń bezpieczeństwa z powodu niewłaściwej walidacji tożsamości zgłaszanej przez klienta.

Velocity.js przed wersją 2.1.7 nie filtruje wyrażeń odczytu właściwości w src/compile/references.ts, co pozwala na dostęp do konstruktora Function przez łańcuch constructor.constructor. Mimo że handler #set waliduje cel przypisania, nie sprawdza wyrażenia po prawej stronie, umożliwiając wykonanie dowolnych poleceń powłoki, dostęp do zmiennych środowiskowych, poświadczeń chmurowych i sieci wewnętrznej w procesie serwera. Problem został naprawiony w wersji 2.1.7.

rails-html-sanitizer od wersji 1.0.3 do 1.7.1 ograniczał elementy referencyjne SVG w SVG_ALLOW_LOCAL_HREF tylko wtedy, gdy używały atrybutu xlink:href, mimo że przeglądarki akceptują również zwykły atrybut href. Aplikacje z niestandardowymi dozwolonymi tagami zawierającymi elementy SVG use lub feImage mogły zezwalać na zewnętrzne referencje; zewnętrzny SVG z tego samego origin, do którego odwołuje się use, mógł wykonywać skrypty w kontekście zdezynfekowanego dokumentu, a feImage mógł ładować zewnętrzne obrazy w celu śledzenia. Aplikacje używające domyślnych dozwolonych tagów nie są dotknięte. Problem został naprawiony w wersji 1.7.1.