Katalog podatności CVE

Stringer to samodzielny, antyspołeczny czytnik RSS. Przed commit 75cb095 istnieje nieograniczona podatność na Server-Side Request Forgery (SSRF), która pozwala każdemu uwierzytelnionemu użytkownikowi zmusić serwer Stringer do wysyłania dowolnych żądań HTTP/HTTPS do sieci wewnętrznych, usług localhost i punktów końcowych metadanych chmury (np. AWS IMDS 169.254.169.254). Gdy włączona jest samodzielna rejestracja (Setting::UserSignup), nawet użytkownik z niskimi uprawnieniami może to wykorzystać do skanowania wewnętrznych usług lub kradzieży poświadczeń IAM w chmurze. Problem został naprawiony w commicie 75cb095.

Token Optimizer MCP mierzy oszczędności tokenów na agenta kodowania AI, optymalizuje kontekst i udostępnia lokalny graf wiedzy w czasie rzeczywistym dla 16 klientów CLI. Przed wersją 5.1.0 token-optimizer-mcp jest podatny na wstrzyknięcie poleceń systemu operacyjnego w narzędziu smart_user. Każdy klient MCP, który może wywołać narzędzie smart_user, może wykonywać dowolne polecenia powłoki przez argument username operacji get-user-info. Polecenia są wykonywane z uprawnieniami użytkownika uruchamiającego serwer token-optimizer-mcp. Problem został naprawiony w wersji 5.1.0.

FreePBX to open source IP PBX. Przed wersjami 16.0.40 i 17.0.7 istnieje krytyczna podatność na zdalne wykonanie kodu (RCE) w module superfecta z powodu niebezpiecznego dołączania dowolnych plików PHP, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP na serwerze z uprawnieniami użytkownika serwera WWW. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Podatność jest zakorzeniona w przypadkach options i save_options w module AJAX Superfecta. Kod dynamicznie dołącza pliki PHP z katalogu sources/ na podstawie danych dostarczonych przez użytkownika. Pozwala to atakującemu na wykonanie dowolnego kodu w połączeniu z tworzeniem dowolnych katalogów (np. przez moduł backup) i przesyłaniem plików ujawniających pełne ścieżki (np. przez moduł soundlang). Problem został naprawiony w wersjach 16.0.40 i 17.0.7.

FreePBX to open source IP PBX. Przed wersjami 16.0.72 i 17.0.7 istnieje krytyczna podatność w module kopii zapasowych FreePBX, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu na serwerze. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika, który ma wystarczające uprawnienia dostępu i/lub zapis do plików kopii zapasowych. Podatność jest spowodowana nieprawidłowym oczyszczaniem ścieżek w funkcji przywracania kopii zapasowych, co umożliwia atakującym przesyłanie złośliwych plików PHP do katalogu głównego WWW. Problem został naprawiony w wersjach 16.0.72 i 17.0.7.

FreePBX przed wersjami 16.0.10 i 17.0.5 zawiera krytyczną podatność w funkcji przesyłania i konwersji plików dźwiękowych, która pozwala uwierzytelnionemu atakującemu na zapis dowolnych plików, prowadzący do zdalnego wykonania kodu (RCE). Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Problem wynika z niedostatecznej sanityzacji ścieżek w procesie konwersji plików, umożliwiając ataki typu path traversal i umieszczenie złośliwych plików PHP w katalogu głównym serwera WWW.

FreePBX przed wersjami 16.0.39 i 17.0.7 pozwala użytkownikom uwierzytelnionym przez Panel Kontroli Użytkownika (UCP) na wykonywanie dowolnych poleceń na PBX jako użytkownik serwera WWW (zazwyczaj asterisk) przy użyciu specjalnie spreparowanych ciągów HTTP. Wymagany jest dostęp do UCP. Problem wynika z niedostatecznej sanityzacji niektórych parametrów URL używanych przez UCP, co pozwala na wykonanie binariów na serwerze poprzez staranne łączenie poleceń.

FreePBX przed wersjami 16.0.4 i 17.0.6 zawiera krytyczną wadę w module Music on Hold (MoH), która pozwala uwierzytelnionym atakującym na wykonywanie dowolnych poleceń systemowych z uprawnieniami usługi Asterisk. Wymagane jest konto administratora FreePBX. Przyczyną jest przyjmowanie parametru POST definiującego niestandardową aplikację Asterisk, która jest przechowywana w bazie danych bez sanityzacji, a następnie zapisywana bezpośrednio do pliku konfiguracyjnego musiconhold_additional.conf, co pozwala na wstrzyknięcie dowolnych poleceń.

Axios od wersji 0.28.0 do 0.34.0 oraz od 1.15.1 do 1.20.0 przetwarza dziedziczone opcje serializacji i właściwości odwiedzającego dostarczane przez zanieczyszczenie prototypu. Osobna wada zanieczyszczenia prototypu w tym samym procesie dostarcza dziedziczone wartości dots, indexes, metaTokens, maxDepth, visitor lub Blob przed serializacją obiektów. Dziedziczone opcje zmieniają nazewnictwo pól i interpretację danych, maxDepth może wymusić błąd żądania, Blob zmienia obsługę wartości, a zanieczyszczony visitor może wykonać kod, gdy atakujący ma już silniejszą zdolność wstrzyknięcia funkcji.

Axios od wersji 1.17.0 do 1.20.0 w adapterze fetch omija politykę przekierowań maxRedirects: 0. Żądanie Axios używające adaptera fetch z maxRedirects ustawionym na zero otrzymuje odpowiedź przekierowania, ale bazowa implementacja fetch podąża za przekierowaniem zamiast zwrócić odpowiedź bez zmian. Przekierowane żądanie może uzyskać dostęp do wewnętrznych odpowiedzi lub osiągnąć wewnętrzne punkty końcowe zmieniające stan, mimo że przekierowania są wyłączone.

Axios od wersji 1.15.0 do 1.20.0 w funkcji shouldBypassProxy stosuje kwadratowe wyrażenie regularne z kropkami na końcu do nazw hostów przekierowań. Gdy skonfigurowano HTTP_PROXY lub HTTPS_PROXY, NO_PROXY lub no_proxy nie jest puste, przekierowania są śledzone, a spreparowane przekierowanie Location zawiera wiele kropek po których następuje znak niebędący kropką, wyrażenie regularne może powodować kwadratowe cofanie się, blokując pętlę zdarzeń Node.js i powodując odmowę usługi.

Axios od wersji 1.15.2 do 1.20.0 w adapterze HTTP Node.js (lib/adapters/http.js) dostarcza opcje żądania bez własnej wartości createConnection. Osobna wada zanieczyszczenia prototypu w tym samym procesie umieszcza funkcję na Object.prototype.createConnection. Node.js rozwiązuje i wywołuje dziedziczoną fabrykę gniazd createConnection, pozwalając atakującemu kontrolować funkcję wyboru punktu końcowego transportu. Punkt końcowy atakującego może otrzymać nagłówki i treści żądań, w tym poświadczenia, i zwracać odpowiedzi kontrolowane przez atakującego, podczas gdy URL wydaje się legalny.

Axios od wersji 1.16.1 do 1.20.0 w wyrażeniu regularnym RFC 2397 pozwala na ukośniki po obu stronach separatora typu mediów. Aplikacja przekazuje kontrolowany przez atakującego zniekształcony URL danych zawierający wiele ukośników i bez przecinka. Silnik wyrażeń regularnych JavaScript bada wiele miejsc separatora przed odrzuceniem URL. Nadmierne cofanie się może zablokować pętlę zdarzeń Node.js i spowodować odmowę usługi.

Axios od wersji 1.13.0 do 1.20.0 w Http2Sessions nie instaluje odpowiedniej obsługi błędów dla ClientHttp2Session podczas inicjalizacji lub ponownego użycia sesji HTTP/2. Żądanie używa httpVersion: 2, a ClientHttp2Session emituje błąd podczas inicjalizacji lub ponownego użycia sesji. Nieobsłużony błąd sesji wymyka się normalnej obsłudze odrzuceń Promise. Nieprzechwycony błąd może zakończyć proces Node.js i spowodować odmowę usługi.

Axios od wersji 1.13.0 do 1.20.0 w konfiguracji żądań HTTP/2 nie stosuje spójnie ustawień proxy i polityki rozwiązywania DNS dostarczonej przez wywołującego. Żądanie HTTPS używa httpVersion: 2 z jawnym config.proxy lub ustawieniami proxy pochodzącymi ze środowiska, lub polega na dostarczonej przez wywołującego polityce config.lookup. Ścieżka HTTP/2 może połączyć się bez skonfigurowanego zachowania proxy lub bez zastosowania polityki config.lookup przed http2.connect(). Żądania mogą ominąć zamierzoną trasę proxy lub politykę rozwiązywania DNS.

Wersje DBI dla Perla przed 1.654 niepoprawnie traktują wartości numeryczne jako łańcuchy znaków w FetchHashKeyName. Gdy FetchHashKeyName ma wartość całkowitą (IV) lub zmiennoprzecinkową (NV), wskaźnik łańcucha jest nieprawidłowy, a odczyt nazwy klucza powoduje błąd segmentacji.

Podatność na wstrzyknięcie poleceń systemu operacyjnego w diagnostycznym CLI WatchGuard AP pozwala uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego poprzez dostarczenie spreparowanych danych wejściowych.

W narzędziu kube-compare podczas przetwarzania ścieżki referencyjnej 'container://' wykonywany jest punkt wejścia niezaufanego obrazu kontenera zamiast jedynie wyodrębnienia danych z zatrzymanego kontenera. Zdalny atakujący może wykorzystać tę wadę do wykonania dowolnego kodu na stacji roboczej operatora. Jeśli demon Dockera wymaga podniesionych uprawnień, niezaufany kod może zostać wykonany z uprawnieniami roota.

Biblioteka XS::Parse::Infix w wersjach 0.40–0.49 dla Perla błędnie traktuje liczby jako referencje do tablicy. Funkcja opakowująca używa SvRV() zamiast SvROK(), przez co nie sprawdza poprawnie typu argumentu i może doprowadzić do segfaultu lub dereferencji kontrolowanego adresu. Aplikacja przetwarzająca dane wejściowe (np. z JSON) może pozwolić atakującemu na wykonanie kodu lub zawieszenie interpretera.

W serwerze MCP fast-mcp-telegram przed wersją 30.1 narzędzia send_message/send_message_to_phone akceptują pliki jako listę adresów URL http(s), które serwer pobiera i dołącza do wiadomości Telegram. Walidacja bezpieczeństwa URL (_validate_url_security) sprawdza tylko dosłowną nazwę hosta, ale nie rozwiązuje DNS, co pozwala na obejście zabezpieczeń i pobranie zasobów z adresów pętli zwrotnej, prywatnych lub link-local. Ponieważ pobrana treść jest zwracana atakującemu jako załącznik, jest to pełny SSRF z eksfiltracją danych.

W Network UPS Tools przed commitami 658b24e i 1aa31d1 skrypt GitHub Actions używany do przygotowywania archiwów NUT i aktualizacji statusów GitHub Checks oraz komentarzy PR był źle skonstruowany, mieszając kod działający z wyższymi uprawnieniami (token jednorazowy z uprawnieniami do zapisu) z niezaufanymi danymi wejściowymi (gałąź źródłowa PR). Złośliwy PR z forka mógł wyodrębnić wartość GITHUB_TOKEN, co mogło pozwolić na manipulację zawartością repozytorium, statusami commitów/checks lub komentarzami PR.