Katalog podatności CVE

Biblioteka undici (wersje 6.5.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie EventSource, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie wielu małych pól danych bez separatora lub pojedynczej nieukończonej linii podzielonej na wiele fragmentów, co prowadzi do gromadzenia stanu parsera poza limitami.

Wtyczka WordPress 'Strong Testimonials' (wersje do 3.3.12) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress 'Presto Player' (wersje do 4.5.3) ma podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

undici, biblioteka klienta HTTP dla Node.js, w wersjach 6.23.0-6.29.0, 7.18.0-7.30.0 i 8.0.0-8.12.1 ulega awarii procesu Node.js, gdy złośliwy serwer zwróci odpowiedź z więcej niż pięcioma kodowaniami treści i zamknie połączenie przed wysłaniem ciała. undici odrzuca taką odpowiedź z powodu limitu kodowań, ale utworzony wcześniej strumień wewnętrzny nie ma podpiętego listenera błędów ani przerwania żądania, więc wczesne zamknięcie powoduje niezobsłużony błąd i zakończenie procesu.

Biblioteka undici (wersje 7.15.0-7.30.0, 8.0.0-8.12.1) ma podatność w implementacji fetch(), która weryfikuje metadane Subresource Integrity (SRI) poprzez dopasowanie tokenu algorytmu do zestawu tylko małych liter, przez co ważny token w innym przypadku (np. SHA256) jest ignorowany, a odpowiedź jest akceptowana bez sprawdzenia integralności.

undici w wersjach 7.0.0-7.30.0 i 8.0.0-8.12.1, gdy originless Agent łączy interceptory redirect i cache w tej kolejności ze wspólnym store'em cache, buduje klucz cache z oryginalnego URL przed zmianą origin przez redirect. Odpowiedź po przekierowaniu cross-origin jest zapisywana pod oryginalnym kluczem, co umożliwia trwałe zatrucie cache oraz ujawnienie prywatnych danych nieuwierzytelnionemu wywołującemu.

Wtyczka Sunshine Photo Cart do WordPressa (do wersji 3.7.4) ma błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Nieuwierzytelniony lub nisko uprawniony użytkownik może uzyskać dostęp do funkcji, które powinny być chronione.

undici w wersjach 4.0.0-6.29.0, 7.0.0-7.30.0 i 8.0.0-8.12.1 przekazuje opcje konstruktora Agent przez głębokie klonowanie oparte na JSON przed przekazaniem do puli per-origin. Ponieważ JSON nie reprezentuje funkcji, opcja tls z callbackiem checkServerIdentity jest po cichu usuwana, przez co peer TLS, którego certyfikat miał być odrzucony przez niestandardowy callback, ale przechodzi domyślne sprawdzenia Node, jest akceptowany.

W interfejsie Ansible Automation Platform (moduł Hub, plik DocumentationParsers.tsx) linki w dokumentacji kolekcji są renderowane bez ograniczenia protokołu URL. Kolekcja z linkiem używającym schematu wykonującego skrypty może spowodować uruchomienie skryptu w kontekście przeglądarki innego uwierzytelnionego użytkownika, który kliknie taki link — jest to stored XSS.

Wtyczka Knowledge Base od WebberZone (do wersji 3.2.0) ma błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Nieuprawniony użytkownik może uzyskać dostęp do chronionych funkcji.

Wada w wewnętrznym shimie WebAssembly (WASM) używanym przez operator Kuadrant. Podczas generowania predykatu CEL decydującego o uruchomieniu uwierzytelniania i rate limitingu na poziomie Gateway, shim nie escapuje poprawnie wartości z pól dopasowania HTTPRoute. Użytkownik mogący tworzyć lub modyfikować HTTPRoute podłączony do współdzielonego Gateway może podać spreparowaną wartość path, header lub query, powodując pominięcie tych sprawdzeń, a żądanie jest nadal przekazywane do backendu trasy.

temporal-proxy w wersjach 0.2.0–0.8.0 nie wiąże zaszyfrowanych ładunków z przestrzenią nazw (namespace), dla której zostały zaszyfrowane. Proxy wybiera klucz deszyfrujący na podstawie identyfikatora w ładunku, a nie na podstawie przestrzeni nazw żądania, co pozwala atakującemu z uprawnieniami do namespace B odszyfrować ładunek z namespace A.

ELADMIN w wersji 2.7 i wcześniejszych jest podatny na Cross Site Scripting (XSS) poprzez komponenty WebSocketServer, SpringSecurityConfig oraz deploy.vue. Nieprawidłowa neutralizacja danych wejściowych pozwala na wstrzyknięcie złośliwego skryptu.

Wtyczka YITH WooCommerce Compare (do wersji 3.15.0) ma błąd nieprawidłowej neutralizacji danych wejściowych podczas generowania stron, co prowadzi do stored XSS. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Biblioteka bandit (wersje 0.6.0 do 1.13.0) nieprawidłowo waliduje poprawność składniową danych wejściowych. Nieuwierzytelniony zdalny atakujący może ustawić conn.host i conn.port na wartości spoza gramatyki hosta RFC 3986 poprzez authority w żądaniu HTTP/1 absolute-form lub authority-form, co może prowadzić do wstrzyknięcia złośliwych wartości do adresów URL generowanych przez aplikację.

HtmlUnit Neko to adaptacja NekoHTML dla HtmlUnit. Przed wersją 5.4.0 HTMLWriterFilter zapisuje zdekodowaną treść TEXTAREA i TITLE bez kodowania encji, ponieważ oba elementy są traktowane jako specjalna treść. W cyklu parsowania i serializacji odwołania do encji wewnątrz tych elementów są dekodowane przez parser, a następnie emitowane jako surowy znacznik, zmieniając semantykę dokumentu.

react/http to sterowana zdarzeniami, strumieniowa implementacja klienta i serwera HTTP dla ReactPHP. Od wersji 1.0.0 do 1.11.1 React\Http\Browser używa ClientRequestStream::handleData() do dopisywania bajtów nagłówków odpowiedzi do wewnętrznego bufora bez limitu rozmiaru. Zdalny serwer może wysłać poprawną linię statusu i częściowy nagłówek, wstrzymać terminator \r\n\r\n lub \n\n i kontynuować strumieniowanie danych, przez co bufor rośnie przez cały czas trwania połączenia.

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.

Wtyczka ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes (do wersji 1.5.3) ma błąd obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

joserfc to biblioteka Pythona implementująca kilka standardów JSON Object Signing and Encryption (JOSE). Przed wersją 1.7.4 joserfc.jws.deserialize_json() akceptuje JWS General JSON Serialization z pustą tablicą signatures jako uwierzytelnione. Pętla verify_general_json() nie wykonuje żadnych iteracji dla pustej tablicy i zwraca sukces, ponieważ żadna weryfikacja podpisu nie zawiodła, co pozwala atakującemu bez klucza podpisującego dostarczyć dowolny ładunek, który aplikacje mogą uznać za autentyczny. Problem dotyczy ścieżki General JSON Serialization; kompaktowe dekodowanie JWS i JWT, Flattened JSON serialization oraz przetwarzanie JWE JSON nie podążają tą podatną ścieżką. Problem naprawiono w wersji 1.7.4.