Katalog podatności CVE

W Nuxt w wersjach od 4.6.0 do 4.6.3 klient z dostępem TCP do wystawionego serwera deweloperskiego może wysłać zdarzenie nuxt:dev:client-error przez gniazdo HMR z bezwzględną ścieżką pliku na końcu komunikatu. Serwer deweloperski odczytuje ten plik podczas budowania raportu błędu klienta i zwraca jego zawartość przez nakładkę błędu, kanał błędów deweloperskich i raport terminala, omijając listę dozwolonych Vite server.fs. Domyślne wiązanie do localhost ogranicza ekspozycję zdalną, żądania cross-origin z przeglądarki są odrzucane, buildy produkcyjne i Nuxt 3 nie są podatne, a interakcja z przeglądarką nie jest wymagana. Problem naprawiono w wersji 4.6.3.

W PHPUnit od wersji 13.4.0 do 13.4.4 logika TestCase::coverageFilesDirectory() tworzy pliki tymczasowe dla pokrycia kodu PHPT w przewidywalnym katalogu phpunit-phpt pod sys_get_temp_dir() i używa go ponownie bez weryfikacji właściciela i uprawnień. Lokalny atakujący w systemie wieloużytkownikowym ze współdzielonym katalogiem tymczasowym może zastąpić wygenerowany plik zadania przed wykonaniem go przez proces potomny, umożliwiając wykonanie dowolnego kodu z uprawnieniami dewelopera.

Biblioteka node-forge przed wersją 1.4.1 wymuszała ograniczenie długości ścieżki (basicConstraints.pathLenConstraint) certyfikatu CA tylko wtedy, gdy certyfikat zawierał także rozszerzenie keyUsage. Atakujący posiadający klucz prywatny takiego CA lub podrzędny certyfikat CA mógł zbudować łańcuch przekraczający zadeklarowaną długość ścieżki, który nadal przechodził walidację pki.verifyCertificateChain(). Problem naprawiono w wersji 1.4.1.

W bibliotece node-forge przed wersją 1.4.1 opcja tagLength dla AES-GCM przekazywana do start() nie była walidowana podczas odszyfrowywania przez forge.cipher.createDecipher(). Gdy aplikacja wyliczała tagLength z otrzymanych danych lub używała niezdefiniowanej bądź zerowej wartości, a tag uwierzytelniający był pusty lub brakujący, decipher.finish() akceptował nieuwierzytelniony szyfrogram. Problem naprawiono w wersji 1.4.1.

ServiceNow naprawił problem obejścia separacji domen w aplikacji ServiceNow SR – CSM – Task Plan Templates Store. Podatność mogła umożliwić uwierzytelnionemu użytkownikowi z określoną rolą tworzenie rekordów w domenach, do których nie ma dostępu, co potencjalnie prowadzi do nieautoryzowanego tworzenia danych poza granicami domen. ServiceNow nie zna obecnie przypadków złośliwego wykorzystania tej podatności.

W aplikacji WiFiman Desktop dla systemu macOS występuje podatność typu Improper Access Control (nieprawidłowa kontrola dostępu). Złośliwy aktor z lokalnym dostępem i wysokimi uprawnieniami może wykorzystać tę podatność do eskalacji uprawnień na urządzeniu hosta.

W bibliotece node-forge w wersjach przed 1.4.1 klient TLS sprawdzał niewłaściwą właściwość przy ustalaniu, czy brakuje certyfikatu serwera. Złośliwy serwer TLS lub pośrednik w ścieżce mógł pominąć komunikat Certificate i doprowadzić do wyłuskania nieobecnego certyfikatu, powodując nieprzechwycony wyjątek i zakończenie połączenia lub procesu. Problem dotyczy forge.tls.createConnection(), c.session.serverCertificate oraz wymiany kluczy RSA.

W bibliotece node-forge w wersjach przed 1.4.1 klient forge.http przechowywał nazwy i ścieżki plików cookie z nagłówków odpowiedzi Set-Cookie w zwykłych obiektach JavaScript. Złośliwy serwer mógł użyć nazwy cookie __proto__, aby zapisać kontrolowaną przez atakującego ścieżkę cookie jako właściwość Object.prototype, lub użyć nazw dziedziczonych, takich jak constructor, do modyfikacji Object. Pusta wartość cookie mogła wykorzystać ścieżkę usuwania do usunięcia dziedziczonej właściwości Object.prototype. Dotyczy to aplikacji używających forge.http bezpośrednio lub przez forge.xhr.

W bibliotece glob od wersji 9.0.0 do 14.0.2 gałęzie przerwania w src/walker.ts, w tym GlobUtil.walkCB(), GlobUtil.walkCB2(), GlobUtil.walkCBSync() i GlobUtil.walkCB2Sync(), wywołują wywołania zwrotne bez zwracania. Po odrzuceniu lub błędzie AbortSignal albo AbortSignal.timeout() wykonanie może kontynuować do processor.processPatterns(), readdirCB() i rekurencyjnego przechodzenia. Problem dotyczy glob() i globStream(), gdy aplikacje udostępniają wzorce lub drzewa katalogów pod wpływem atakującego i polegają na anulowaniu jako budżecie przechodzenia.

SuperAGI do wersji v0.0.14 zawiera podatność na nieprawidłową kontrolę dostępu. Punkt końcowy kontrolera agentów /api/agents/get/project/{project_id} pozwala uwierzytelnionym użytkownikom z jednej organizacji pobrać pełną listę agentów należących do projektu innej organizacji, ponieważ parametr project_id nie jest weryfikowany pod kątem przynależności do organizacji użytkownika.

W bibliotece Botan polecenie botan ocsp_check pobierało odpowiedź OCSP z adresu Authority Information Access certyfikatu bez weryfikacji podpisu odpowiedzi ani autoryzacji podpisującego. Złośliwy responder lub atakujący w ścieżce mógł zwrócić pasującą i aktualną odpowiedź GOOD z pustym, nieprawidłowym lub nieautoryzowanym podpisem, przez co unieważniony certyfikat dawał kod wyjścia 0 i wynik OCSP check OK. Dotyczy to wyłącznie interfejsu wiersza poleceń; problem naprawiono w wersji 3.13.0.

W bibliotece Botan powiązanie Python konwertowało łańcuchy Python zawierające U+0000 na const char* bez konsekwentnego odrzucania osadzonego NUL, przez co bcrypt i check_bcrypt przetwarzały tylko prefiks przed NUL. Aplikacje mogły walidować dłuższe hasło, ale hashować krótszą efektywną wartość, co umożliwiało obejście polityki haseł; scrypt i argon2 nie są dotknięte. Problem naprawiono w wersji 3.13.0.

W bibliotece Botan klient OCSP online przed wersją 3.13.0 zezwalał na pojedyncze przekierowanie HTTP podczas wysyłania żądania OCSP do URI w rozszerzeniu Authority Information Access certyfikatu. Złośliwy responder OCSP lub atakujący w ścieżce mógł przekierować klienta do wykonania jednego ślepego żądania do wewnętrznej usługi HTTP, co stanowi blind SSRF; czas odpowiedzi może ujawniać informacje o usługach wewnętrznych. Problem naprawiono w wersji 3.13.0.

Funkcja socket.getaddrinfo() akceptowała bajty null w parametrach *host* i *port*, co mogło powodować ciche obcięcie tych wartości. Może to prowadzić do niezamierzonego rozwiązywania nazw lub łączenia się z innym adresem niż zamierzony.

HashiCorp Nomad i Nomad Enterprise są podatne na obejście autoryzacji między przestrzeniami nazw w kilku endpointach API tylko do odczytu. Uwierzytelniony użytkownik z uprawnieniami odczytu w jednej przestrzeni nazw może przeglądać informacje o obiektach w innych przestrzeniach nazw. Podatność została naprawiona w Nomad Community Edition 2.1.1 oraz Nomad Enterprise 2.1.0, 1.11.12 i 1.10.18.

W bibliotece minimatch przed wersją 11.0.1 funkcja firstPhasePreProcess() przy optimizationLevel 2 lub wyższym wielokrotnie rozwija kontrolowane przez atakującego segmenty wzorca **/.. w pętli punktu stałego, co pozwala na ponowne przetwarzanie i rozwijanie wygenerowanych wpisów globParts. Następnie secondPhasePreProcess() porównuje rozwinięte wpisy parami, więc krótki złośliwy wzorzec glob może spowodować nadmierne zużycie CPU i pamięci podczas kompilacji wzorca. Problem naprawiono w wersji 11.0.1.

W Kubeflow Pipelines od wersji 0.5.1 do 2.17.0 trasy artefaktów frontendu nie sprawdzały, czy uwierzytelniony użytkownik ma uprawnienia do żądanej przestrzeni nazw. Użytkownik znający lokalizację artefaktu mógł wybrać przestrzeń nazw innego tenanta lub pominąć ją, aby odczytać zawartość artefaktów, takie jak zbiory danych, modele lub wyniki potoków.

Podatność Server-Side Request Forgery (SSRF) w komponencie url/title/author/coverUrl aplikacji FocusPodcast w wersji versionCode 70 pozwala atakującym skanować zasoby wewnętrzne poprzez podanie spreparowanego URL.

W punkcie końcowym konfiguracji użytkowników występuje podatność Broken Object Level Authorization, która pozwala uwierzytelnionemu użytkownikowi na ujawnienie informacji.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 zawiera podatność polegającą na alokacji zasobów bez limitów lub ograniczeń. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wywołania odmowy usługi.