Katalog podatności CVE

fastify od wersji 5.8.3 do przed 5.12.1 ma podatność związaną z niedostateczną ochroną nagłówków przekazywanych (forwarded headers) w przypadku użycia numerycznej formy trustProxy. Ochrona dodana w poprawce CVE-2026-3635 sprawdza adres połączenia, ale w przypadku formy hop-count (liczba) predykat ignoruje adres, więc ochrona jest zawsze spełniona dla dowolnej liczby hopów większej lub równej jeden. Aplikacje z numerycznym trustProxy, np. ustawionym na 1, pozostają podatne: atakujący, który może dotrzeć bezpośrednio do Fastify, omijając proxy, może sfałszować pola forwarded, co prowadzi do wstrzyknięcia hosta w generowanych URL-ach, obejścia wymuszania HTTPS, obejścia bezpiecznych ciasteczek i pochodzenia CSRF oraz ataków na routing oparty na hoście i zatruwanie pamięci podręcznej.

Podatność w jądrze Zephyr dotyczy systemowych wywołań k_thread_join() i k_thread_abort(). Błąd w sprawdzaniu dostępu (thread_obj_validate()) powoduje, że nieautoryzowany wątek użytkownika może wywołać te funkcje na obiekcie wątku, do którego nie ma uprawnień. Zamiast przerwania wątku, wykonanie przechodzi do niezdefiniowanego zachowania, co może prowadzić do awarii jądra (na Clang) lub obejścia kontroli dostępu (na GCC).

Pydio Cells 5.0.0 do 5.0.2 ujawnia szczegóły linków udostępniania każdemu uwierzytelnionemu użytkownikowi. Obsługa REST dla GET /a/share/link/{Uuid} nie sprawdza autoryzacji, a identyfikator UUID przestrzeni roboczej nie jest tajny, ponieważ jest osadzony w publicznej stronie. Atakujący z rolą standardowego użytkownika może uzyskać hash linku, URL, identyfikator właściciela, ukryty login, uprawnienia, limity pobrań, docelowych użytkowników, datę wygaśnięcia i flagę wymaganego hasła.

Wykryto podatność na iniekcję SQL w EasyReport do wersji 2.0.17.0522_Beta, w pliku ModuleController.java, w operacjach przenoszenia. Manipulacja argumentem sourcePath umożliwia zdalny atak. Exploit został publicznie ujawniony, a projekt nie odpowiedział na zgłoszenie.

Plainpad do wersji 1.1.1 zawiera brak ograniczeń tempa żądań, co pozwala nieuwierzytelnionym atakującym na wysyłanie nieograniczonej liczby prób logowania do punktu końcowego POST /v1/sessions. Martwy kod w App\Http\Kernel.php powoduje, że konfiguracja throttlingu nie jest podpięta do żadnej trasy. Atakujący mogą również powodować wyczerpanie CPU przez wielokrotne porównania bcrypt.

Lemur przed wersją 1.9.3 ma podatność w funkcji CertificateExport, gdzie sprawdzenie własności CertificatePermission było wykonywane tylko w gałęzi plugin.requires_key. Plugin z requires_key false omijał to sprawdzenie, a handler nadal przekazywał klucz prywatny i rejestrował zdarzenie audytu key_view. Poprawka nie przekazuje klucza prywatnego pluginom, które go nie wymagają.

Lemur przed wersją 1.9.3 nie wymagał AuthorityPermission na nadrzędnym urzędzie certyfikacji przy tworzeniu sub-CA, gdy ADMIN_ONLY_AUTHORITY_CREATION było fałszywe. Uwierzytelniony użytkownik nie tylko do odczytu mógł utworzyć sub-CA i użyć klucza prywatnego nadrzędnego urzędu do podpisania nowego certyfikatu pośredniego, co pozwalało na wydawanie zaufanych certyfikatów poza normalnymi kontrolami.

FUXA w wersji 1.3.2 i wcześniejszych nie sprawdza autoryzacji isSocketAdminAuthorized dla niektórych zdarzeń Socket.IO (DEVICE_BROWSE, DEVICE_NODE_ATTRIBUTE, HOST_INTERFACES, DEVICE_TAGS_REQUEST), gdy secureEnabled jest włączone. Zdalny nieuwierzytelniony lub gość może zbierać informacje o systemie, które nie są wymagane do normalnego przeglądania HMI.

FUXA w wersji 1.3.2 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na kontrolowanie property.address w handlerze device-webapi-request, co umożliwia serwerowi FUXA wysyłanie żądań HTTP/HTTPS do wewnętrznych usług i zwracanie odpowiedzi atakującemu. To prowadzi do podatności SSRF.

ZEBRA przed wersją 4.5.0 może zostać zatrzymany przez złośliwego producenta bloków, który umieszcza tę samą transakcję shieldowaną w bloku nadrzędnym i podrzędnym. Asercja o unikalności transakcji w łańcuchu jest osiągalna przed walidacją kontekstową, a wersje release używają panic=abort, co kończy proces.

ZEBRA przed wersją 4.5.0 może zostać trwale zatrzymany przez konsensusowo ważny blok zawierający długi łańcuch transparentnych self-spendów. Kolejność kredytów przed debetami może spowodować przekroczenie MAX_MONEY, co prowadzi do paniki w wersji release. Blok jest akceptowany przez zcashd, więc zatrzymanie utrzymuje się po restarcie.

ZEBRA przed wersją 4.5.0 może być spowolniony przez złośliwego peera P2P, który odpowiada na żądania getblocks/FindBlocks małą listą i serwuje blok z coinbase height znacznie powyżej lokalnego tipa. Błąd nie jest przypisywany do peera, co powoduje anulowanie pobrań i 67-sekundowe opóźnienie synchronizacji. Peer nie jest oceniany ani rozłączany, więc może powtarzać atak.

ZEBRA to węzeł Zcash napisany w języku Rust. Przed wersją 4.5.0 nieuwierzytelniony peer P2P może spowodować, że potok pobierania mempoola będzie przechowywał transakcje po przekroczeniu limitu czasu RATE_LIMIT_DELAY. W rezultacie wpisy cancel_handles nie są usuwane po przekroczeniu limitu czasu, co prowadzi do niekontrolowanego wzrostu pamięci i może doprowadzić do awarii węzła.

ZEBRA to węzeł Zcash napisany w języku Rust. Przed wersją 4.5.0 naturalny lub wywołany przez atakującego fork łańcucha może pozostawić nieaktualne korzenie poddrzew zobowiązań Sapling i Orchard w stanie węzła. Te nieaktualne dane mogą zostać zapisane do RocksDB i przetrwać restarty, co prowadzi do błędnych odpowiedzi dla klientów takich jak lightwalletd.

ZEBRA to węzeł Zcash napisany w języku Rust. Przed wersją 4.5.0 jeden nieuwierzytelniony peer P2P może zmonopolizować wszystkie 25 slotów MAX_INBOUND_CONCURRENCY w potoku pobierania i weryfikacji mempoola. Atakujący może reklamować fałszywe identyfikatory transakcji i blokować sloty, co prowadzi do odrzucania uczciwych transakcji i lokalnych żądań sendrawtransaction.

ZEBRA to węzeł Zcash napisany w języku Rust. Przed wersją 4.5.0 atakujący z uwierzytelnieniem do włączonego punktu końcowego RPC może spowodować zakończenie działania zebrad, dostarczając getblocktemplate LongPollId zawierający wielobajtowe znaki UTF-8. Błąd prowadzi do paniki Rust, a wersje produkcyjne używają panic=abort, co kończy cały proces.

Problem w oprogramowaniu SJRC F11 SJ-GPS-PRO (build 2019-09-17) pozwala zdalnemu atakującemu uzyskać wrażliwe informacje poprzez usługę inetd.

Dell Alienware Command Center (AWCC) w wersjach przed 6.14.20.0 zawiera podatność na nieprawidłowe rozwiązywanie linków przed dostępem do pliku (Link Following). Uwierzytelniony atakujący z niskimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność, prowadząc do odmowy usługi i podniesienia uprawnień.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). Przed wersją 1.3.2, endpointy POST /api/scheduler i DELETE /api/scheduler nie egzekwują spójnie uprawnień administratora. Uwierzytelniony operator bez uprawnień administratora może tworzyć lub modyfikować akcje urządzeń, które wywołują onSetValue lub onRunScript, lub usuwać harmonogramy, uzyskując dostęp do zmian wartości urządzeń i wykonywania skryptów po stronie serwera.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). Przed wersją 1.3.2, funkcja escapeTdString w łączniku magazynu TDengine nie poprawnie escapuje backslashy. Zdalny nieuwierzytelniony atakujący może przesłać spreparowany identyfikator tagu sids przez GET /api/daq lub zdarzenie Socket.IO DAQ_QUERY, co pozwala na wstrzyknięcie SQL i odczytanie wszystkich wierszy z tabeli fuxa.meters, ujawniając historyczne wartości tagów PLC i nazwy urządzeń.