Katalog podatności CVE

Podatność na przepełnienie bufora na stercie w procesie iked w Fireware OS pozwala uwierzytelnionemu administratorowi na doprowadzenie do awarii demona IKE (iked), co skutkuje odmową usługi, poprzez zapisanie specjalnie spreparowanej konfiguracji.

W scrapling-fetch-mcp do wersji 0.2.2 wykryto podatność na server-side request forgery (SSRF) w funkcjach s_fetch_page/s_fetch_pattern w pliku src/scrapling_fetch_mcp/_fetcher.py. Atak może być przeprowadzony zdalnie. Naprawa dostępna w wersji 0.2.3.

Podatność w MAA-AI MaaMCP do wersji 1.1.1.dev6+g2e4a41287 dotyczy funkcji save_pipeline/load_pipeline w pliku pipeline_tools.py. Manipulacja prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Zalecane jest wdrożenie poprawki o nazwie c93ef45cba75295eba26d9ff1ffb9202a91c6150.

Podatność w arben-adm mcp-sequential-thinking do wersji 0.5.0 dotyczy funkcji import_session/export_session w pliku mcp_sequential_thinking/server.py. Manipulacja argumentem file_path prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Zalecane jest uaktualnienie do wersji 0.6.0.

Podatność w RooCodeInc Roo-Code do wersji 3.51.1 dotyczy funkcji path.resolve w pliku src/core/tools/ApplyPatchTool.ts. Manipulacja powoduje path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Producent poinformował, że projekt nie jest już wspierany, więc podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.

W Roo-Code do wersji 3.51.1 wykryto podatność w komponencie OAuth Callback (plik src/integrations/claude-code/oauth.ts), która powoduje przesyłanie wrażliwych informacji w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Projekt nie jest już wspierany przez autora.

Podatność w RooCodeInc Roo-Code do wersji 3.51.1 dotyczy funkcji fetch_instructions w pliku malicious_mcp_server.py w komponencie MCP Integration Trust Model. Manipulacja prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Producent poinformował, że projekt nie jest już wspierany, więc podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.

Podatność w jwcrypto pozwala zdalnemu atakującemu na wysłanie specjalnie spreparowanego tokena JSON Web Encryption (JWE) zawierającego wiele separatorów kropek. Ten nieprawidłowy token może zmusić funkcję JWE.deserialize() do przydzielenia nadmiernej ilości pamięci, co prowadzi do błędu MemoryError. Problem skutkuje odmową usługi (DoS) dla usług przetwarzających niezaufane wartości JWE.

Urządzenie Xiiaozet LK100W udostępnia krytyczną funkcję zarządzania, która może być wywołana bez uwierzytelnienia, co pozwala zdalnemu atakującemu na włączenie usług administracyjnych, które powinny być ograniczone. Skuteczne wykorzystanie może umożliwić nieautoryzowany dostęp do urządzenia.

Xiiaozet LK100W jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez interfejs zarządzania oparty na sieci Web. Uwierzytelniony atakujący może wykonać dowolne polecenia systemu operacyjnego z podwyższonymi uprawnieniami, co może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji lub całkowitego przejęcia urządzenia.

Narzędzie konfiguracyjne bramy Ebyte nie wymaga uwierzytelnienia przed wykonaniem niektórych destrukcyjnych akcji administracyjnych, gdy pozostawione są domyślne poświadczenia. Nieuwierzytelniony atakujący w sąsiedniej sieci może zrestartować urządzenie lub przywrócić ustawienia fabryczne, co prowadzi do utraty konfiguracji i dostępności usług.

cpp-httplib to biblioteka HTTP/HTTPS w C++ tylko z nagłówkami. W wersjach od 0.33.0 do 0.50.0 klient WebSocket z obsługą TLS zwalnia sesję TLS przed zamknięciem WebSocket, który nadal jej używa, co powoduje użycie po zwolnieniu (use-after-free). Problem został naprawiony w wersji 0.50.1.

cpp-httplib w wersji 0.49.0 nie waliduje nazw i wartości nagłówków w trailerach odpowiedzi chunked, co pozwala na wstrzyknięcie CRLF i podział odpowiedzi HTTP. Aplikacje umieszczające dane sterowane przez atakującego w trailerach mogą wysyłać kontrolowane przez atakującego CRLF. Problem naprawiono w wersji 0.50.0.

Urządzenie Ebyte polega na tokenach uwierzytelniających zarządzanych przez klienta bez wystarczającej weryfikacji po stronie serwera. Atakujący może powtórzyć lub manipulować tokenami uwierzytelniającymi, aby uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Urządzenie Xiiaozet LK100Wt zawiera słabość uwierzytelniania w usłudze administracyjnej, która może pozwolić atakującemu na ominięcie zamierzonych kontroli dostępu i uzyskanie możliwości wykonywania poleceń. Skuteczne wykorzystanie może umożliwić nieautoryzowaną interakcję z uprzywilejowanymi funkcjami i doprowadzić do całkowitej kompromitacji urządzenia.

Urządzenie Ebyte nie ogranicza powtarzanych prób uwierzytelniania poprzez limitowanie szybkości lub mechanizmy blokady konta. To może pozwolić atakującemu na przeprowadzanie zautomatyzowanych ataków uwierzytelniających na systemy korzystające z uwierzytelniania hasłem.

W niektórych produktach bramek Ebyte występuje podatność polegająca na niewłaściwej ochronie tokenów uwierzytelniających. Tokeny używane przez interfejs zarządzania siecią są niewystarczająco chronione podczas obsługi sesji po stronie klienta, co może pozwolić atakującemu z dostępem do ujawnionych informacji sesji na uzyskanie i ponowne użycie ważnego tokena. Skuteczne wykorzystanie może umożliwić atakującemu podszycie się pod uwierzytelnionego użytkownika i uzyskanie nieautoryzowanego dostępu do funkcji zarządzania urządzeniem.

W ZoneMinder istnieje podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji eksportu zdarzeń. Parametr exportFile w żądaniu HTTP jest przekazywany bez sanityzacji do polecenia powłoki wykonywanego przez funkcję exec() w PHP, co pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami View Events na wykonanie dowolnych poleceń systemu operacyjnego na serwerze.

Urządzenie Ebyte nie weryfikuje odpowiednio pochodzenia ani autentyczności żądań przesyłanych do interfejsu zarządzania siecią. Nieuwierzytelniony zdalny atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia spreparowanej strony, co może spowodować nieautoryzowane zmiany konfiguracji lub zakłócenie dostępności urządzenia.

Niektóre punkty końcowe konfiguracji mogą nie mieć odpowiednich kontroli autoryzacji po stronie serwera, co pozwala nieautoryzowanym użytkownikom na dostęp lub modyfikację wrażliwych ustawień urządzenia. Może to prowadzić do całkowitego przejęcia funkcji urządzenia.