Katalog podatności CVE

W authd przed wersją 0.7.1 dopasowanie tożsamości użytkownika w UpdateUser (internal/users/manager.go) rozwiązuje przychodzące logowanie po identyfikatorze dostawcy w zakresie brokera, ale gdy identyfikator dostawcy nie należy do żadnego znanego użytkownika, następuje dopasowanie po nazwie użytkownika, bez odrzucenia sprzecznego niepustego identyfikatora dostawcy. Jeśli dostawca tożsamości przypisze adres e-mail używany przez authd jako nazwę użytkownika do nowego konta, nowe konto dziedziczy lokalny UID i katalog domowy poprzedniego użytkownika przy następnym logowaniu.

Nuxt OG Image generuje obrazy OG przy użyciu szablonów Vue w Nuxt. Od wersji 6.2.5 do 6.7.0 dynamiczna trasa /_og/d/*.png przyjmuje niepodpisane żądania, a resolvePathCacheKey() tworzy klucze cache ze ścieżki żądania, adresu URL witryny i znormalizowanych opcji renderowania ujawnianych przez adresy URL obrazów i odpowiedzi serwera. Nieuwierzytelniony atakujący może dostarczyć kontrolowane dane obrazu przez parametr title wraz z wyliczonym cacheKey i zapełnić slot cache używany dla legalnego obrazu Open Graph, powodując serwowanie sfałszowanej treści obrazu.

OpenNext Cloudflare, adapter Next.js dla Cloudflare, w wersjach od 0.3.0 do 1.20.2 nieprawidłowo przetwarza zakodowane ścieżki URL, gdy włączone jest przechwytywanie pamięci podręcznej, a kontrola dostępu opiera się na middleware. Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych treści z pamięci podręcznej, używając procentowo zakodowanej ścieżki, która nie pasuje do reguł autoryzacji, ale dekoduje się do klucza chronionej trasy.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach przed 0.149.0 nie wykrywa cykli w schematach allOf, anyOf lub oneOf odwołujących się do schematu nadrzędnego podczas walidacji żądań i odpowiedzi. Prowadzi to do nieograniczonej rekurencji i przepełnienia stosu, które kończy proces i nie może być przechwycone przez recover.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.149.0 nie sprawdza wartości nil dla schematów tablicowych OpenAPI 3.1 w trzech ścieżkach dekodera openapi3filter. Nieuwierzytelniony klient zdalny może wywołać deterministyczny panic nil-pointer poprzez parametr zapytania tablicowego, parametr deepObject lub treść żądania form-urlencoded.

Sonatype Nexus Repository 3 pozwala użytkownikowi posiadającemu uprawnienie do tworzenia lub aktualizacji ról przyznawać role i uprawnienia, których sam nie posiada. Może to prowadzić do eskalacji uprawnień aż do pełnego dostępu administracyjnego.

Sonatype Nexus Repository 3 pozwala kontu użytkownika posiadającemu uprawnienie edycji w hostowanym repozytorium R na zapisanie treści skryptu w metadanych przesłanego pakietu R. Skrypt uruchamia się w przeglądarce użytkownika, który otworzy szczegóły tego pakietu w interfejsie Browse, z uprawnieniami przeglądającego użytkownika.

Sonatype Nexus Repository 3 pozwala nieuwierzytelnionemu zdalnemu atakującemu dostarczyć kontrolowane przez siebie dane wejściowe do wywołania ładowania klasy Java poprzez endpoint ExtDirect. Umożliwia to atakującemu ustalenie, czy określone klasy są obecne w aplikacji. Problem sam w sobie nie pozwala na wykonanie kodu.

W Nexus Repository 3 brakuje kontroli autoryzacji w ścieżce przesyłania NuGet Components API, co pozwala kontu z jedynie uprawnieniami odczytu i przeglądania repozytorium na przesyłanie pakietów symboli NuGet (.snupkg). Wykorzystanie wymaga hostowanego repozytorium NuGet z włączonym Symbol Server, a przy włączonym dostępie anonimowym warunek ten jest spełniony domyślnie.

kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.136.0 do 0.143.0 akceptuje schematy tablicowe OpenAPI 3.1 bez słowa kluczowego items i następnie dereferencjonuje wartość nil Schema.Items podczas dekodowania żądań i odpowiedzi. Zdalny nieuwierzytelniony klient może wywołać deterministyczny panic nil-pointer podczas ValidateRequest lub ValidateResponse.

FasterXML Jackson 1.x, potwierdzony w jackson-mapper-asl w wersjach 1.8.3, 1.9.2, 1.9.11, 1.9.12 i 1.9.13, pozwala atakującym wywołać odmowę usługi poprzez dostarczenie głęboko zagnieżdżonego wejścia JSON do aplikacji deserializującej niezaufany JSON za pomocą ObjectMapper.readValue.

W Ansible Operator Plugins występuje podatność na wstrzyknięcie szablonu Jinja2. Użytkownik Kubernetes o niskich uprawnieniach może spreparować wartości specyfikacji zasobu niestandardowego (CR), które są przetwarzane przez Ansible bez odpowiedniej sanityzacji, co prowadzi do wykonania kodu w podzie operatora.

Podatność Regular-Expression Denial of Service (ReDoS) w funkcji extract_metadata() (lib/markdown2.py) biblioteki trentm markdown2 do wersji 2.5.5 pozwala atakującym wywołać odmowę usługi (DoS) poprzez spreparowany dokument Markdown.

EspoCRM to aplikacja open source do zarządzania relacjami z klientami. Przed wersją 10.0.2 uwierzytelniony użytkownik z uprawnieniem do masowej aktualizacji może podać znany identyfikator załącznika do funkcji masowej aktualizacji. Procesor masowej aktualizacji duplikuje załącznik bez sprawdzenia, czy wywołujący może go odczytać, omijając ograniczenia na poziomie rekordów i pól oraz ujawniając zawartość pliku poprzez skopiowany załącznik. Uzyskanie prawidłowego identyfikatora załącznika może być trudne. Problem naprawiono w wersji 10.0.2.

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 nieprawidłowo przetwarza wartości uprawnień w funkcji ACL::hasPrivilege(). Użytkownik bezpośrednio przypisany zarówno do uprawnienia zapisu komponentu, jak i user-config-readonly może zostać uznany za pozbawionego ograniczenia tylko do odczytu, co pozwala na zapisywanie zmian konfiguracji przez API MVC.

OPNsense, platforma firewall i routingu oparta na FreeBSD, w wersjach przed 26.1.11 pozwala na wstrzyknięcie znaków CR i LF w polu nazwy użytkownika formularza logowania WebGUI. Atakujący z dostępem sieciowym do strony logowania może sfałszować zdarzenia uwierzytelniania dla innego adresu IP, dodając go do tabeli sshlockout PF, lub zresetować własny licznik prób brute-force.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 ścieżka bezpiecznego usuwania osiągana przez ApiMutableModelControllerBase::delBase() interpoluje niezwalidowany token bezpiecznego usuwania z adresu URL żądania do wyrażenia XPath na config.xml przed potwierdzeniem, że token jest prawidłowym identyfikatorem. Użytkownik posiadający uprawnienie do dowolnego z dotkniętych modułów może wysłać spreparowany token do jednego z 21 dotkniętych endpointów usuwania obejmujących Traffic Shaper, DHCP relay, Dnsmasq, Firewall Category lub Kea DHCP, powodując dopasowanie XPath do danych konfiguracyjnych w modułach. Wynikowy komunikat błędu ujawnia nazwy elementów konfiguracji, opisy, ścieżki referencyjne i UUID oraz zapewnia oracle obecności podciągu XPath, w tym dla modułów, do których użytkownik normalnie nie ma dostępu. Żądanie nie modyfikuje konfiguracji ani nie wykonuje usunięcia. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 plik src/www/system_advanced_admin.php wczytuje rekordy certyfikatów do $a_cert, ale pomija tę tablicę w legacy_html_escape_form_data() przed wyrenderowaniem każdej wartości descr certyfikatu w selektorze certyfikatów SSL. Opis certyfikatu akceptuje metaznaki HTML, co pozwala użytkownikowi z uprawnieniem page-system-certmanager na zapisanie znaczników, które wykonują się, gdy inny użytkownik otworzy System Settings Administration. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 pole common_name w OpenVPN Client Specific Override akceptuje sekwencje przejścia ścieżki, a openvpn_csc_conf_write() łączy wartość do /var/etc/openvpn-csc/<vpnid>/<common_name> bez normalizacji ani sprawdzenia basename. Dotknięte procedury obsługi zdarzeń to client_connect.php i user_pass_verify.php. Uwierzytelniony użytkownik z uprawnieniami Client Specific Override może zapisać wartość przejścia, a pasujące zdarzenie OpenVPN client-connect lub uwierzytelnienia powoduje zapisanie wygenerowanego pliku CSO poza zamierzonym katalogiem. Zawartość pliku to wygenerowana konfiguracja OpenVPN, a nie dowolne bajty, a praktyczne wykorzystanie wymaga, aby atakujący spowodował przetworzenie pasującej nazwy common name lub nazwy użytkownika. Problem naprawiono w wersji 26.1.11.

OPNsense to platforma firewall i routingu oparta na FreeBSD. Przed wersją 26.1.11 strona NTP GPS przechowuje wartość initcmd dostarczoną przez operatora w formie base64, stosuje legacy_html_escape_form_data() do zakodowanego ciągu, a następnie używa base64_decode() do zdekodowania wartości bezpośrednio do pola tekstowego polecenia inicjalizacji GPS w src/www/services_ntpd_gps.php. Ponieważ dekodowanie następuje po escapowaniu, przechowywany HTML pozostaje nieescapowany w miejscu wyjścia. Użytkownik z uprawnieniem page-services-ntp-gps może zapisać wartość, która zamyka pole tekstowe, a skrypt wykonuje się w sesji każdego użytkownika, który później otworzy stronę GPS. Skrypt może odczytać materiały CSRF i wykonać uwierzytelnione działania, w tym działania dostępne dla administratora. Problem naprawiono w wersji 26.1.11.