Katalog podatności CVE

Redash to pakiet do wizualizacji i udostępniania danych. W wersjach po 8.0.0 do 26.9.0 moduł Query Results w redash/query_runner/query_results.py przyjmuje parametry param_query_N_{key=value} i przekazuje wartości kontrolowane przez atakującego do replace_query_parameters() w celu surowego podstawienia do SQL zapytania referencyjnego. Ta ścieżka omija walidację schematu ParameterizedQuery używaną przy normalnym wykonywaniu zapytań i pomija sprawdzenie uprawnień is_safe. Uwierzytelniony użytkownik z co najmniej dostępem tylko do odczytu do źródła danych Query Results i źródła referencyjnego może wstrzyknąć SQL poprzez parametry tekstowe i wykonać go z uprawnieniami źródła referencyjnego. Problem naprawiono w wersji 26.9.0.

Model Context Protocol Python SDK to oficjalny zestaw SDK dla serwerów i klientów Model Context Protocol. W wersjach mcp przed 1.29.1 oraz od 2.0.0a1 do 2.0.1 menedżer sesji Streamable HTTP, punkt końcowy wiadomości SSE oraz trasy serwera autoryzacji OAuth buforują pełne treści żądań HTTP bez wymuszania maksymalnego rozmiaru. Nieuwierzytelniony zdalny klient mogący dotrzeć do podatnego punktu końcowego może wysłać duże zadeklarowane lub strumieniowane ciało żądania, które zużywa wielokrotność rozmiaru ciała w pamięci procesu i może wielokrotnie wyczerpać pamięć lub zakończyć działanie serwera. Serwery tylko ze Stdio i wdrożenia z skutecznym limitem rozmiaru żądań na poziomie nadrzędnym nie są podatne, a aplikacje używające bezpośrednio StreamableHTTPServerTransport pozostają odpowiedzialne za wymuszenie własnego limitu. Standardowe aplikacje serwera SDK i menedżery sesji są naprawione w wersjach 1.29.1 i 2.1.0.

Wtyczka Best Payments Plugin for WP (wp-payment-form) zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 4.6.27 włącznie.

Wtyczka Hippoo Mobile App for WooCommerce (hippoo) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 1.12.0 włącznie.

Wtyczka Skydropx (skydropx) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność występuje w wersjach do 2.1.4 włącznie.

Model Context Protocol Java SDK w wersjach od 0.8.0 do 0.12.0 (artefakt mcp) oraz od 0.13.0 do 0.18.3 i od 1.0.0 do 1.1.3 (mcp-core), a także mcp-core od 2.0.0-M1 do 2.0.0, w transportach serwera opartych na Servlet (SSE, Streamable HTTP, Stateless) wczytuje ciało żądania HTTP do pamięci bez limitu rozmiaru. Nieuwierzytelniony zdalny klient może przesłać dowolnie duże ciało POST (także z kodowaniem chunked), aż do wyczerpania sterty JVM i niedostępności procesu.

Nieprawidłowa autoryzacja w PgBouncer w wersjach od 1.17.0 do 1.26.0 pozwala zdalnemu atakującemu znającemu hasło użytkownika z auth_file zalogować się jako dowolny inny użytkownik uwierzytelniany przez SCRAM, w tym jako administrator PgBouncer lub superużytkownik backendu. Drugi StartupMessage wysłany podczas uwierzytelniania SCRAM do nieistniejącej bazy nie jest odrzucany i zmienia użytkownika, przy czym wymiana SCRAM jest weryfikowana względem kluczy pierwszego użytkownika.

Nieskończona pętla w PgBouncer w wersjach od 1.20.0 do 1.26.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi. StartupMessage, którego parametr options zawiera pustą nazwę parametru (np. "-c="), powoduje zapętlenie wyszukiwania na liście ignore_startup_parameters. Ponieważ PgBouncer obsługuje wszystkich klientów w jednym procesie, nasyca to rdzeń CPU i czyni PgBouncer nieosiągalnym dla wszystkich klientów do czasu restartu procesu.

Serwer NetX Secure DTLS wysyła HelloVerifyRequest z nowo wygenerowanym cookie, ale nigdy nie sprawdza cookie zwróconego przez klienta. Parser ClientHello kopiuje bajty cookie klienta nad wartością wydaną przez serwer, a serwer decyduje o weryfikacji klienta wyłącznie na podstawie długości cookie. Peer, który umieści dowolny pojedynczy bajt cookie w pierwszym ClientHello, pomija całą wymianę weryfikacyjną, więc serwer nie wykonuje sprawdzenia return-routability i kończy handshake dla sfałszowanych adresów źródłowych.

Funkcja `_nx_secure_x509_parse_signature_data` oblicza długość podpisu certyfikatu jako `tlv_length - 1` bez uprzedniego sprawdzenia, czy `tlv_length` jest różne od zera. Certyfikat, którego podpis jest pustym ASN.1 BIT STRING, parsuje się pomyślnie i pozostawia certyfikat z długością podpisu `0xFFFFFFFF` oraz wskaźnikiem podpisu o jeden bajt za końcem bufora. Certyfikaty są parsowane od peera podczas handshake TLS, więc dane wejściowe są zdalne i nieuwierzytelnione.

Podatność typu Cross-site Scripting (Reflected XSS) w wtyczce SimplyRETS Real Estate IDX (simply-rets) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 3.2.9.

Ludwig to framework low-code do budowania modeli LLM i sieci neuronowych. Przed wersją 0.17.8 funkcja `ludwig.datasets.archives.extract_archive()` walidowała nazwy członków tar przed wywołaniem `TarFile.extractall()`, ale nie walidowała dowiązań symbolicznych ani twardych. Spreparowane archiwum mogło utworzyć dowiązanie wychodzące poza katalog ekstrakcji, a następnie zapisać kolejny element przez to dowiązanie, umieszczając treść kontrolowaną przez atakującego w dowolnej ścieżce systemu plików z uprawnieniami procesu ekstrahującego. Ta sama kontrola zawierania używała `os.path.commonprefix`, więc ścieżka sąsiednia dzieląca prefiks znaków z celem również mogła przejść. Ścieżka ładowania zbiorów danych może pobierać i rozpakowywać skonfigurowane adresy URL archiwów, ale wykorzystanie wymaga przetworzenia archiwum ze źródła kontrolowanego lub przejętego przez atakującego na obsługiwanych środowiskach Python 3.12 i 3.13. Python 3.14 nie jest podatny, ponieważ jego domyślny filtr danych tar odrzuca wychodzące dowiązania. Problem naprawiono w wersji 0.17.8.

Loader zasobów binarnych GUIX (motywów) rozmiaruje arenę i wypełnia ją w dwóch oddzielnych przebiegach, które przechodzą przez plik zasobu z niezależną arytmetyką kursora. Ponieważ `gx_page_header_data_size` nigdy nie jest walidowany względem danych glifów faktycznie zawartych na stronie, oba przebiegi mogą odczytać różne nagłówki stron dla tej samej strony czcionki, wyliczyć różne liczby glifów i zarezerwować mniej, niż zapisuje przebieg ładujący. Nadmiar jest zapisywany poza końcem areny, z treścią pobraną dosłownie z pliku. Przepełniony bufor jest alokowany przez sam GUIX poprzez `_gx_system_memory_allocator`, a nie dostarczany przez wywołującego. Publiczne API `gx_binres_theme_load()` nie przyjmuje parametru rozmiaru, więc żadna staranność wywołującego nie zapobiega temu. Problem reprodukuje się w domyślnej konfiguracji; `GX_BINARY_RESOURCE_SUPPORT` jest domyślnie włączone.

Podatność typu Code Injection (nieprawidłowa kontrola generowania kodu) w wtyczce VillaTheme Salevo (woo-boost-sales) pozwala na wstrzyknięcie kodu. Problem dotyczy wersji od n/a do 1.3.0.

Podatność typu Improper Check for Unusual or Exceptional Conditions w Packet Forwarding Engine (PFE) systemu Juniper Networks Junos OS na urządzeniach MX Series z SPC3 pozwala nieuwierzytelnionemu atakującemu sieciowemu wywołać odmowę usługi (DoS). Gdy odbierany jest konkretny zniekształcony pakiet IPv6, nie jest on odrzucany, lecz tworzona jest sesja i alokowane zasoby NAT. Ciągłe odbieranie takich pakietów prowadzi do wyczerpania sesji lub zasobów, co wpływa na cały ruch przez urządzenie. Aby przywrócić działanie, urządzenie wymaga restartu.

Przepełnienie bufora na stosie w demonie protokołu routingu (rpd) w Juniper Networks Junos OS i Junos OS Evolved pozwala nieuwierzytelnionemu sąsiadowi LDP spowodować awarię rpd lub wykonać dowolny kod poprzez zniekształconą wiadomość LDP Label Mapping.

Przepełnienie bufora na stosie w usłudze authd w Juniper Networks Junos OS i Junos OS Evolved pozwala atakującemu sieciowemu z dostępem do odczytu SNMP wykonać kod z uprawnieniami roota lub wywołać odmowę usługi za pomocą specjalnie spreparowanego pakietu SNMP, gdy włączone są SNMP i AAA.

Zapis poza zakresem bufora w demonie protokołu routingu (rpd) w Juniper Networks Junos OS i Junos OS Evolved pozwala sąsiadowi eBGP, który nie wynegocjował zdolności four-octet-AS, wysłać specjalnie zniekształconą aktualizację BGP i wywołać odmowę usługi (DoS).

Błąd nieprawidłowego obliczenia w demonie protokołu routingu (rpd) w Juniper Networks Junos OS i Junos EVO pozwala zdalnemu sąsiadowi BGP EVPN wywołać awarię rpd, gdy skonfigurowany jest SRv6 EVPN multihoming.

Nieprawidłowa obsługa niespójności parametru długości w demonie protokołu routingu (rpd) w Juniper Networks Junos OS i Junos OS Evolved pozwala atakującemu wysłać specjalnie zniekształconą aktualizację multicast BGP EVPN, która przy próbie readwersji powoduje awarię rpd.