Katalog podatności CVE

W przypadku użycia RPK (Raw Public Key), klient TLS 1.2, 1.3 i DTLS 1.2 może zaakceptować niechciany typ certyfikatu serwera RawPublicKey, co pozwala złośliwemu lub błędnie działającemu serwerowi ominąć uwierzytelnianie. RPK jest domyślnie wyłączone i dostępne tylko w buildach z --enable-rpk, --enable-all lub --enable-distro.

Podatność w wolfSSL przy włączonym WOLFSSL_SMALL_CERT_VERIFY pozwala atakującemu na obejście weryfikacji podpisu certyfikatu. Z powodu błędnego scalania wyników, błędy parsowania ukrywają nieprawidłowy podpis, a sprawdzenie daty ważności i ograniczeń jest wykonywane przed weryfikacją podpisu. Atakujący może użyć samodzielnie wygenerowanego certyfikatu z dowolnymi bajtami w miejscu podpisu, aby przejść weryfikację, jeśli aplikacja używa callbacku zezwalającego na błędy daty.

Wtyczka Malcure Malware Shield — Removal, Repair, Monitor dla WordPressa przed wersją 19.9.7 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX, co pozwala użytkownikom z rolą administratora podsieci w sieci multisite na zapisywanie i usuwanie dowolnych plików we współdzielonym systemie plików sieci, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Download Manager przed wersją 7.5.6 nie sanityzuje ani nie escapuje danych przesyłanych przez formularz subskrypcji pobierania zablokowanego adresem e-mail przed wyświetleniem ich z powrotem na stronie administracyjnej. Może to umożliwić nieuwierzytelnionym atakującym przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom. Dotyczy to wyłącznie komercyjnej edycji Pro; darmowa wtyczka Download Manager przed wersją 7.5.6 opublikowana pod tym samym slugiem nie zawiera tej funkcji.

Wtyczka WordPress Ad Inserter w wersjach przed 2.8.19 nie ogranicza prawidłowo dostępu do jednej ze swoich stron ustawień, przez co jest ona osiągalna dla każdego zalogowanego użytkownika w konfiguracji dozwolonej przez jej własne ustawienia, oraz nie filtruje zapisywanej tam treści. Umożliwia to użytkownikom o roli tak niskiej jak subskrybent zapisanie kodu, który jest następnie wykonywany jako PHP lub wyświetlany odwiedzającym witrynę bez escapowania.

Podatność w coollabsio Coolify do wersji 4.1.0 dotyczy funkcji Github::redirect w pliku /webhooks/source/github/redirect komponentu GitHub App Setup Handler. Manipulacja argumentem state prowadzi do braku uwierzytelnienia. Atak może być wykonany zdalnie, a exploit jest publiczny. Wersja 4.1.1 zawiera poprawkę.

Podatność w Heym przed wersją 0.0.53, polegająca na ewaluacji wyrażeń warunków przepływu pracy za pomocą eval() w Pythonie z niewystarczającym sandboxingiem w usłudze wykonawczej przepływów pracy.

heym przed wersją 0.0.91 zawiera podatność ucieczki z sandboxa w silniku wyrażeń (DotList map/filter i fallback resolver), która umożliwia uwierzytelnionym użytkownikom wykonanie dowolnego kodu Python. Atakujący mogą tworzyć wyrażenia workflow z dostępem do atrybutów dunder, aby uzyskać dostęp do os.system i wykonać komendy jako proces backendu.

AzuraCast przed wersją 0.23.4 zawiera podatność wstrzykiwania kodu w metodzie ConfigWriter::cleanUpString(), która nie sanitizuje sekwencji interpolacji Liquidsoap. Uwierzytelnieni użytkownicy z uprawnieniami Media lub Profile mogą wstrzyknąć dowolny kod Liquidsoap do konfiguracji stacji, co prowadzi do wykonania poleceń powłoki jako użytkownik azuracast przy restarcie stacji.

AzuraCast przed wersją 0.23.6 zawiera podatność wstrzykiwania kodu w polu hasła zdalnego przekaźnika z powodu niepełnej migracji z podatnej metody cleanUpString do toRawString. Atakujący z uprawnieniami RemoteRelays mogą wstrzyknąć zagnieżdżoną składnię interpolacji Liquidsoap, aby wykonać dowolny kod w procesie Liquidsoap, ujawnić wewnętrzne klucze API lub zakłócić działanie stacji.

Podatność na wstrzykiwanie poleceń w AzuraCast przed wersją 0.23.8, występująca w generowaniu konfiguracji Liquidsoap dla nagrań na żywo. Brak odpowiedniego cytowania nazwy użytkownika streamera w wywołaniach process.run.

AzuraCast przed wersją 0.23.8 zawiera podatność uszkodzonej kontroli dostępu w endpointcie GET /api/station/{id}/vue/profile, która umożliwia uwierzytelnionym użytkownikom z uprawnieniem View Station Page odczytanie haseł administratora, źródła i przekaźnika Icecast/Shoutcast. Atakujący z dostępem tylko do podglądu może wywołać ten endpoint i otrzymać jawne poświadczenia frontendu w odpowiedzi JSON, a następnie użyć hasła administratora do uwierzytelnienia w interfejsie administracyjnym Icecast bez uprawnień Broadcasting.

AzuraCast przed wersją 0.23.8 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) i odczyt lokalnych plików w funkcji pobierania zdalnej playlisty AutoDJ (getMediaFromRemoteUrl()). Użytkownik z uprawnieniami Media może utworzyć playlistę z source=remote_url i remote_type=playlist, wskazując na ścieżkę file:// lub wewnętrzny adres HTTP. Gdy AutoDJ buduje kolejkę, backend przekazuje URL bezpośrednio do file_get_contents() bez listy dozwolonych schematów ani polityki IP, co umożliwia odczyt plików hosta (np. /etc/passwd lub .env) i treści wewnętrznych żądań HTTP. Brak dostępnej wersji z poprawką w momencie publikacji.

AzuraCast przed wersją 0.23.8 zawiera podatność SSRF w walidacji URL webhooka. Walidacja odrzuca tylko adresy IP link-local, ale nie blokuje adresów loopback ani prywatnych, a nazwy hostów niebędące adresami IP całkowicie omijają sprawdzenie. Użytkownik z uprawnieniami WebHooks może skonfigurować webhook wskazujący na wewnętrzne zasoby i wywołać żądanie HTTP POST z danymi Now Playing.

AzuraCast przed wersją 0.23.8 zawiera podatność SSRF w walidacji URL Remote Relay. Walidacja sprawdza tylko składnię URL i schemat http/https, bez ograniczeń dotyczących hosta lub adresu IP. Użytkownik z uprawnieniami RemoteRelays może ustawić URL wskazujący na loopback, sieć prywatną lub adresy metadata chmury, a automatyczna synchronizacja Now Playing będzie wysyłać żądania do tych adresów.

AzuraCast przed wersją 0.23.8 zawiera podatność wstrzykiwania DQL w parametrze sortOrder w AbstractSearchableListAction.php. Atakujący może wstrzykiwać dowolne wyrażenia DQL, aby wyodrębnić wrażliwe dane z bazy, w tym dane uwierzytelniające użytkowników i ustawienia stacji.

MONAI przed wersją 1.5.2 zawiera podatność deserializacji niezaufanych danych w funkcji algo_from_pickle w monai/auto3dseg/utils.py. Funkcja wczytuje plik .pkl i przekazuje jego zawartość do pickle.loads bez walidacji źródła lub zawartości. Jeśli aplikacja wywoła algo_from_pickle na pliku dostarczonym przez atakującego, obiekt definiujący __reduce__ zostanie wykonany podczas deserializacji, co prowadzi do wykonania dowolnego kodu.

MONAI przed wersją 1.6.0 zawiera podatność niebezpiecznej deserializacji w klasie NumpyReader, która bezwarunkowo używa numpy.load z allow_pickle=True podczas ładowania plików .npy i .npz. Atakujący mogą stworzyć złośliwe pliki .npy z ładunkiem pickle, który wykonuje dowolny kod podczas ładowania przez standardowy potok danych MONAI.

MONAI przed wersją 1.6.0 jest podatny na wstrzykiwanie poleceń systemu operacyjnego w komponencie nnUNetV2Runner. Wartości kontrolowane przez użytkownika z pliku konfiguracyjnego YAML (np. dataset_name_or_id) oraz z argumentów CLI/kwargs są łączone w ciąg poleceń bez cytowania i walidacji, a następnie przekazywane do subprocess z shell=True. Jeśli ofiara załaduje przetworzony złośliwy plik konfiguracyjny, dowolne polecenia są wykonywane z uprawnieniami użytkownika uruchamiającego zadanie.

MONAI przed wersją 1.6.0 zawiera podatność zdalnego wykonania kodu w funkcji algo_from_pickle() z powodu niebezpiecznej deserializacji pickle.loads() w monai/auto3dseg/utils.py. Atakujący mogą stworzyć złośliwe pliki pickle, które wykonują dowolne polecenia systemowe podczas deserializacji przez podatną funkcję.