Katalog podatności CVE

EmbedVideo Extension, rozszerzenie MediaWiki dodające funkcję parsera #ev oraz tagi do osadzania wideo z różnych serwisów, w wersjach przed 4.1.0 przy wyłączonym $wgEmbedVideoRequireConsent (nie jest to ustawienie domyślne) przekazuje adresy URL wideo do atrybutu src iframe bez sanityzacji. Przy błędnym adresie URL lub identyfikatorze atrybut src można zamknąć podwójnym cudzysłowem, co umożliwia wstrzyknięcie HTML/JavaScript. Wersja 4.1.0 zawiera poprawkę.

Docmost, open-source oprogramowanie wiki i dokumentacji, w wersjach przed 0.80.1 pozwala uwierzytelnionym użytkownikom zapisywać kontrolowane przez atakującego wartości avatarUrl, które są później używane przez proces czyszczenia awatarów bez ograniczenia do docelowego katalogu w instalacjach z lokalnym magazynem. Użytkownik o niskich uprawnieniach może spowodować usunięcie dowolnych plików lub katalogów lokalnych dostępnych dla konta usługi Docmost. Problem naprawiono w wersji 0.80.1.

Honeywell PD45 Industrial Printer w wersji F10.19.010040 zawiera podatność umożliwiającą uwierzytelnionemu zdalne wykonanie kodu poprzez zapis dowolnego pliku w interfejsie poleceń Intermec Fingerprint w interfejsie zarządzania web. Użytkownik z dostępem do konta admin lub itadmin może przesyłać polecenia w języku Intermec Fingerprint bezpośrednio do wewnętrznego interpretera poleceń drukarki. Honeywell zaleca aktualizację do wersji F10.22.030745, która zawiera poprawkę.

Narzędzie do zapisu plików w Amazon Kiro IDE w wersjach przed 1.0.242 może pozwolić zdalnym nieuwierzytelnionym podmiotom na wstrzyknięcie spreparowanych instrukcji do kontekstu agenta. Gdy użytkownik uruchomi agenta w spreparowanym repozytorium jako niezaufany obszar roboczy, wysłanie dowolnej wiadomości może spowodować automatyczne modyfikacje globalnych ścieżek konfiguracji przez agenta. Zaleca się aktualizację do wersji 1.0.242 lub nowszej.

ZITADEL, open-source platforma zarządzania tożsamością, w wersjach od 3.0.0 do 3.4.13 oraz 4.16.1 zawiera podatność w Actions V1, która umożliwia korzystanie z rejestru require() kompatybilnego z Node.js (goja) bez ograniczenia ładowania plików z systemu plików. Autor akcji organizacji z uprawnieniami ORG_OWNER, org.action.write i org.flow.write może uruchamiać JavaScript w punktach wyzwalania OIDC, SAML i przepływu logowania oraz ładować pliki czytelne dla procesu serwera ZITADEL. Może to ujawnić zamontowaną konfigurację i sekrety, w tym poświadczenia przechowywane przez ZITADEL_FIRSTINSTANCE_LOGINCLIENTPATPATH lub ZITADEL_FIRSTINSTANCE_MACHINEKEYPATH, a odzyskane poświadczenia bootstrap mogą umożliwić eskalację z administratora organizacji do administratora instancji. Problem naprawiono w wersjach 3.4.13 i 4.16.1.

ZITADEL, open-source platforma zarządzania tożsamością, w wersjach od 4.0.0 do 4.16.1 zawiera podatność w Login V2, która tworzy sesję przeglądarki po weryfikacji hasła i może użyć tej sesji do późniejszego żądania uwierzytelnienia bez weryfikacji zarejestrowanego drugiego składnika TOTP, OTP lub U2F. Gdy krok MFA zostanie porzucony, a logowanie rozpocznie się ponownie, kontrole ważności sesji wymagają MFA tylko wtedy, gdy organizacja włączy Force MFA lub Force MFA tylko dla użytkowników lokalnych, więc dobrowolnie zarejestrowany czynnik może zostać pominięty podczas kończenia callbacku OIDC lub SAML dla aplikacji klienta. Login V1, ZITADEL Console, Management i Admin APIs oraz samoobsługa użytkownika nie są dotknięte. Problem naprawiono w wersji 4.16.1.

Wazuh, open-source platforma bezpieczeństwa XDR i SIEM, w wersjach od 3.9.0 do 4.14.7 zawiera podatność w wazuh-clusterd w pliku framework/wazuh/core/cluster/common.py, gdzie bufor ładunku jest alokowany na podstawie rozmiaru zadeklarowanego w 20-bajtowym nagłówku protokołu klastra przed walidacją przez deszyfrowanie Fernet. Nieuwierzytelniony peer sieciowy może zadeklarować ładunek do 256 MiB, przerwać wysyłanie po nagłówku i utrzymać alokację do zamknięcia połączenia TCP. Nasłuch klastra nie ma limitu połączeń na źródło, co pozwala równoległym gniazdom zwielokrotnić zużycie pamięci i potencjalnie zakończyć proces klastra, zakłócając synchronizację i przekazywanie API. Problem naprawiono w wersji 4.14.7.

OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.

Biblioteka zbateson/mail-mime-parser w wersjach od 2.0.0 do 3.0.5 oraz od 4.0.0 do 4.0.1 zawiera podatność na niekontrolowane zużycie zasobów (CWE-400). Trzy niezależne ścieżki parsowania mają koszt super-liniowy, więc nawet wiadomość poniżej 2 MB może zużyć sekundy CPU lub setki megabajtów do kilku gigabajtów pamięci, powodując odmowę usługi. Koszt jest ponoszony przy pierwszym wywołaniu getAllParts() lub odczycie treści.

Biblioteka zbateson/mail-mime-parser przed wersjami 3.0.6 i 4.0.2 jest podatna na wstrzykiwanie nagłówków CRLF (CWE-93) podczas konstruowania wiadomości MIME z nazwami plików załączników kontrolowanymi przez atakującego. Nazwy plików zawierające CR/LF mogą zostać zserializowane jako dodatkowe nagłówki, np. sfałszowane Bcc, co umożliwia wyciek wiadomości. Problem dotyczy również wersji 1.x i 2.x, które nie otrzymają poprawek.

DBHub przed wersją 0.22.6 nie egzekwuje trybu tylko do odczytu (readonly) dla narzędzia execute_sql, mimo ustawienia readonly = true. Kod odpowiedzialny za ustawienie read-only nie jest wykonywany, a jedyną ochroną jest prosty klasyfikator sprawdzający pierwsze słowo zapytania. Umożliwia to manipulację sekwencjami, zapis plików na serwerze, odczyt plików hosta oraz zdalne wykonanie kodu. Transport HTTP jest nieuwierzytelniony i domyślnie nasłuchuje na 0.0.0.0.

Rsdoctor przed wersją 1.5.16 uruchamia domyślny serwer raportów HTTP, który nasłuchuje na wszystkich interfejsach sieciowych (0.0.0.0) i udostępnia endpoint POST /api/data/key bez uwierzytelnienia oraz z wildcard CORS. Pozwala to zdalnemu atakującemu na pobranie pełnego kodu źródłowego modułów JavaScript, konfiguracji builda i innych wrażliwych danych. Serwer jest domyślnie włączony w środowiskach nie-CI.

Python Social Auth przed wersją 5.0.0 w backendzie vk-app akceptuje dane zwrotne z aplikacji VK bez weryfikacji podpisu, gdy parametr auth_key jest pominięty. Atakujący może wysłać niepodpisane dane kontrolowane przez siebie i zostać uwierzytelnionym jako dowolny użytkownik VK. Problem dotyczy tylko aplikacji używających backendu vk-app. Poprawka w wersji 5.0.0 wymaga obecności i poprawności auth_key.

W jądrze Linux naprawiono podatność w gfs2: przeniesiono inkrementację iteratora qc w pętli gfs2_quota_init() z ciała pętli do wyrażenia inkrementacji pętli for. To sprawia, że postęp iteratora jest jawny i unika mieszania przesuwania wskaźnika z obsługą duplikatów w ciele pętli.

W sterowniku chips-media wave5 występuje ryzyko użycia po zwolnieniu (use-after-free) w momencie usuwania instancji z listy. Wątek IRQ może uzyskać blokadę między zwolnieniem m2m_ctx a jego usunięciem, co prowadzi do dereferencji pustego wskaźnika.

W sterowniku Thunderbolt brakuje utrzymywania referencji do XDomain przez czas życia usługi. Ponieważ identyfikator usługi jest zwalniany w tb_service_release(), a tablica identyfikatorów należy do rodzica XDomain, istnieje ryzyko użycia po zwolnieniu. Poprawka utrzymuje referencję.

W sterowniku Thunderbolt po zatrzymaniu domeny nie ustawia się wskaźnika root_switch na NULL. Poprawka ustawia go na NULL, co powoduje, że tb_xdp_handle_request() zwraca błąd do zdalnego hosta. Jednocześnie należy utrzymać uuid, aby odpowiadać do momentu zwolnienia domeny.

W jądrze Linux w sterowniku drm/amdkfd funkcja allocate_sdma_queue nie sprawdza granic dla parametru restore_sdma_id, co może prowadzić do nieprawidłowego dostępu do pamięci.

W jądrze Linux w funkcji get_wave_state() sterownika drm/amdkfd wartości cp_hqd_cntl_stack_size i cp_hqd_cntl_stack_offset są odczytywane bezpośrednio z MQD i nie są weryfikowane. Na ścieżce przywracania CRIU (AMDKFD_IOC_RESTORE_PROCESS) atakujący może kontrolować te wartości, co prowadzi do nieograniczonego copy_to_user() i wycieku sąsiedniej pamięci GTT/jądra (nawet ~4 GiB przy niedomiarze lub 1 MiB przy zaniżonej alokacji).

W jądrze Linux wykryto podatność w module virt: acrn, prowadzącą do użycia po zwolnieniu (use-after-free) podczas zamykania eventfd. Wyścig między funkcjami acrn_irqfd_deassign() a wybudzeniem EPOLLHUP może spowodować podwójne zwolnienie struktury hsm_irqfd, co umożliwia atakującemu wykorzystanie zwisającego wskaźnika. Problem rozwiązano, zmieniając model zarządzania cyklem życia irqfd na wzór KVM.