Katalog podatności CVE

Podatność w weryfikatorze syscall RTIO w Zephyr RTOS (przed v4.3.0) pozwala nieuprzywilejowanemu wątkowi użytkownika zapisać wskaźnik do kontrolowanych danych pod dowolnym adresem jądra. Brakuje sprawdzenia K_SYSCALL_MEMORY_WRITE dla parametru wyjściowego handle, co umożliwia eskalację uprawnień do trybu jądra.

Biblioteka brace-expansion generuje dowolne ciągi znaków zawierające wspólny prefiks i sufiks. W wersjach przed 1.1.20, 2.1.6, 3.0.8 i 5.0.11 głęboko zagnieżdżone grupy nawiasów powodują, że expand_() rekursuje raz na poziom zagnieżdżenia w miejscach rozwinięcia elementów oddzielonych przecinkami i pojedynczych zestawów, wyczerpując natywny stos zanim limity wyjściowe mogą zostać zastosowane, potencjalnie kończąc proces Node.js. expand_ wykonuje niekontrolowaną rekurencję dla zagnieżdżonych alternatyw nawiasów i zestawów jednoczęściowych. głęboko zagnieżdżone grupy nawiasów dostarczone jako niezaufany wzorzec. expand_ jest dotknięty. expand jest dotknięty. Elementy oddzielone przecinkami są dotknięte. Pojedynczy zestaw jest dotknięty. wyczerpanie natywnego stosu podczas zagnieżdżonego podrozwinięcia. odmowa usługi kończąca proces. Problem został naprawiony w wersjach 1.1.20, 2.1.6, 3.0.8 i 5.0.11.

Biblioteka brace-expansion generuje dowolne ciągi znaków na podstawie wspólnego prefiksu i sufiksu. W wersjach przed 1.1.19, 2.1.5, 3.0.7 i 5.0.10 specjalnie spreparowane wzorce nawiasów klamrowych mogą wyczerpać natywny stos w funkcji parseCommaParts, ponieważ funkcja ta rekurencyjnie przetwarza resztę raz na każdą grupę nawiasów oraz używa push.apply do przekazania wszystkich elementów bardzo dużej tablicy jako argumentów funkcji. Może to doprowadzić do zakończenia procesu Node.js w wyniku ataku typu denial of service.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.13.0 do 2.14.0 funkcja HMACAlgorithm.prepare_key jest podatna, ponieważ ochrona klucza HMAC rozpoznaje tylko publiczne formy JWK najwyższego poziomu i pomija reprezentacje kontenerowe. Gdy aplikacja zezwala na algorytmy HMAC i asymetryczne oraz przekazuje publiczny kontener JWK jako surowy klucz, publiczny materiał klucza asymetrycznego jest akceptowany jako sekret HMAC. W rezultacie atakujący znający klucz publiczny może sfałszować token z dowolnymi uwierzytelnionymi oświadczeniami.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.13.0 do 2.14.0 funkcja HMACAlgorithm.prepare_key w jwt/algorithms.py jest podatna, ponieważ detektor surowego JWK nie normalizuje akceptowanych znaczników kolejności bajtów Unicode przed sprawdzeniem JSON. Gdy publiczny JWK jest poprzedzony BOM UTF-8 i używany w ścieżce weryfikacji mieszanej algorytmami, publiczny JWK omija wykrywanie klucza asymetrycznego i staje się sekretem HMAC. W rezultacie atakujący znający klucz publiczny może sfałszować uwierzytelnione tokeny.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.4.0 do 2.14.0 funkcja HMACAlgorithm.prepare_key jest podatna, ponieważ ochrona klucza asymetrycznego opiera się na znacznikach tekstowych nieobecnych w kodowaniu DER. Gdy aplikacja miesza algorytmy HMAC i asymetryczne oraz dostarcza publiczny klucz DER jako wspólny klucz weryfikacyjny, PyJWT używa publicznych bajtów DER jako sekretu HMAC. W rezultacie atakujący znający klucz publiczny może sfałszować uwierzytelnione tokeny HMAC.

PyJWT to implementacja standardów JSON Web Token w Pythonie. W wersjach przed 2.14.0 komponent PyJWKClient jest podatny, ponieważ miejsca docelowe przekierowań nie są ponownie weryfikowane względem granicy zaufania JWKS. Gdy skonfigurowany zaufany punkt końcowy JWKS zwraca przekierowanie pod wpływem atakującego, PyJWKClient podąża za przekierowaniem i zużywa przekierowaną odpowiedź jako materiał klucza. W rezultacie przekazywane poświadczenia mogą zostać ujawnione lub klucze weryfikacyjne mogą zostać podmienione.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.13.0 do 2.14.0 funkcja HMACAlgorithm.from_jwk jest podatna, ponieważ ścieżka weryfikacji PyJWK używała zdekodowanego klucza bez zastosowania walidacji prepare_key. Gdy zaufany zestaw JWK zawiera wpis oct z pustą wartością k, atakujący podpisuje token HMAC tym samym kluczem o zerowej długości akceptowanym przez PyJWT. W rezultacie sfałszowany token może przenosić dowolne uwierzytelnione oświadczenia.

@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.

InvoicePlane to samodzielnie hostowana aplikacja open source do zarządzania fakturami, klientami i płatnościami. W wersji 1.7.2 funkcja Users::form() nie wykonuje kontroli autoryzacji na poziomie obiektu dla user_id = 1. Administrator drugorzędny (user_type = 1, user_id != 1) może zmienić user_type administratora głównego na 2 (Gość / tylko do odczytu), niszcząc uprawnienia konta root i blokując legalnemu właścicielowi dostęp do instancji. W momencie publikacji nie ma publicznie dostępnych poprawek.

InvoicePlane, samodzielna aplikacja open source do zarządzania fakturami, klientami i płatnościami, w wersji 1.7.2 ma podatność umożliwiającą przejęcie konta głównego administratora. Wcześniejsza poprawka (PR #1638) zabezpieczała bezpośrednią zmianę hasła, ale nie chroni atrybutu user_email. Secondary administrator (user_type=1, user_id != 1) może edytować konto głównego administratora (user_id=1) i zmienić jego adres email, a następnie skorzystać z publicznego mechanizmu odzyskiwania hasła, aby otrzymać token resetujący i przejąć konto user_id=1.

LiteLLM zawiera lukę słabego uwierzytelniania, która pozwala atakującemu posiadającemu ważny JWT od skonfigurowanego dostawcy tożsamości na uwierzytelnienie się jako dowolny istniejący użytkownik poprzez wykorzystanie mechanizmu zapasowego wyszukiwania opartego na adresie e-mail w przepływie uwierzytelniania JWT, bez weryfikacji oświadczenia email_verified. Atakujący może przedstawić token z niezweryfikowanym adresem e-mail pasującym do konta ofiary, aby przejąć rolę ofiary, w tym uprawnienia proxy_admin, i trwale nadpisać powiązanie tożsamości ofiary, aby zachować stały nieautoryzowany dostęp do punktów końcowych administracyjnych ujawniających klucze API i zarządzanie użytkownikami.

Wtyczka ConvertPlus dla WordPressa jest podatna na deserializację niezaufanych danych we wszystkich wersjach do 3.6.3 włącznie, poprzez parametr style akcji AJAX cp_display_preview_modal. Podatność wynika z braku odpowiedniego zabezpieczenia nonce, braku kontroli uprawnień oraz niedostatecznego filtrowania danych, co pozwala uwierzytelnionemu atakującemu z dostępem na poziomie Subskrybenta na wstrzyknięcie obiektu PHP. Wpływ jest ograniczony, chyba że w systemie zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP.

W systemie Wind River VxWorks 7 przed wersją 26.09, określone argumenty wywołań systemowych mogą powodować uszkodzenie pamięci w podsystemie zarządzania pamięcią. Problem został naprawiony w wersji 26.09.

Podatność na przechodzenie po ścieżkach w obsłudze katalogu export/bin przez Flatpak podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na usunięcie wybranych przez atakującego plików poza katalogiem wdrożenia podczas instalacji lub aktualizacji aplikacji. W instalacjach systemowych usunięcie jest wykonywane z uprawnieniami roota.

W bibliotece moxygen przed commitem 004123dd24c3 funkcja MoQSession::dataStreamReadLoop nadal używa uchwytu odczytu strumienia po odczytaniu FIN, co unieważnia ten uchwyt w API WebTransport biblioteki proxygen. Zdalny peer może wywołać użycie nieaktualnego uchwytu, otwierając strumień danych, który wskazuje nieznany alias ścieżki i zawiera FIN w tym samym zapisie.

Znaleziono błąd w GCC. Gdy aplikacja wywołuje funkcję erase_if na kolejce priorytetowej typu binary heap w libstdc++, biblioteka ponownie alokuje pamięć, ale nie aktualizuje wewnętrznego wskaźnika wpisu. Atakujący, który może wywołać tę operację, może wykorzystać ten błąd use-after-free, prowadząc do odmowy usługi (DoS) poprzez awarię aplikacji lub potencjalne uszkodzenie pamięci.

FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.

Stringer to samodzielny, antyspołeczny czytnik RSS. Przed commit 75cb095 istnieje nieograniczona podatność na Server-Side Request Forgery (SSRF), która pozwala każdemu uwierzytelnionemu użytkownikowi zmusić serwer Stringer do wysyłania dowolnych żądań HTTP/HTTPS do sieci wewnętrznych, usług localhost i punktów końcowych metadanych chmury (np. AWS IMDS 169.254.169.254). Gdy włączona jest samodzielna rejestracja (Setting::UserSignup), nawet użytkownik z niskimi uprawnieniami może to wykorzystać do skanowania wewnętrznych usług lub kradzieży poświadczeń IAM w chmurze. Problem został naprawiony w commicie 75cb095.