Katalog podatności CVE

Wada w wewnętrznym shimie WebAssembly (WASM) używanym przez operator Kuadrant. Podczas generowania predykatu CEL decydującego o uruchomieniu uwierzytelniania i rate limitingu na poziomie Gateway, shim nie escapuje poprawnie wartości z pól dopasowania HTTPRoute. Użytkownik mogący tworzyć lub modyfikować HTTPRoute podłączony do współdzielonego Gateway może podać spreparowaną wartość path, header lub query, powodując pominięcie tych sprawdzeń, a żądanie jest nadal przekazywane do backendu trasy.

temporal-proxy w wersjach 0.2.0–0.8.0 nie wiąże zaszyfrowanych ładunków z przestrzenią nazw (namespace), dla której zostały zaszyfrowane. Proxy wybiera klucz deszyfrujący na podstawie identyfikatora w ładunku, a nie na podstawie przestrzeni nazw żądania, co pozwala atakującemu z uprawnieniami do namespace B odszyfrować ładunek z namespace A.

ELADMIN w wersji 2.7 i wcześniejszych jest podatny na Cross Site Scripting (XSS) poprzez komponenty WebSocketServer, SpringSecurityConfig oraz deploy.vue. Nieprawidłowa neutralizacja danych wejściowych pozwala na wstrzyknięcie złośliwego skryptu.

Wtyczka YITH WooCommerce Compare (do wersji 3.15.0) ma błąd nieprawidłowej neutralizacji danych wejściowych podczas generowania stron, co prowadzi do stored XSS. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Biblioteka bandit (wersje 0.6.0 do 1.13.0) nieprawidłowo waliduje poprawność składniową danych wejściowych. Nieuwierzytelniony zdalny atakujący może ustawić conn.host i conn.port na wartości spoza gramatyki hosta RFC 3986 poprzez authority w żądaniu HTTP/1 absolute-form lub authority-form, co może prowadzić do wstrzyknięcia złośliwych wartości do adresów URL generowanych przez aplikację.

HtmlUnit Neko to adaptacja NekoHTML dla HtmlUnit. Przed wersją 5.4.0 HTMLWriterFilter zapisuje zdekodowaną treść TEXTAREA i TITLE bez kodowania encji, ponieważ oba elementy są traktowane jako specjalna treść. W cyklu parsowania i serializacji odwołania do encji wewnątrz tych elementów są dekodowane przez parser, a następnie emitowane jako surowy znacznik, zmieniając semantykę dokumentu.

react/http to sterowana zdarzeniami, strumieniowa implementacja klienta i serwera HTTP dla ReactPHP. Od wersji 1.0.0 do 1.11.1 React\Http\Browser używa ClientRequestStream::handleData() do dopisywania bajtów nagłówków odpowiedzi do wewnętrznego bufora bez limitu rozmiaru. Zdalny serwer może wysłać poprawną linię statusu i częściowy nagłówek, wstrzymać terminator \r\n\r\n lub \n\n i kontynuować strumieniowanie danych, przez co bufor rośnie przez cały czas trwania połączenia.

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.

Wtyczka ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes (do wersji 1.5.3) ma błąd obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

joserfc to biblioteka Pythona implementująca kilka standardów JSON Object Signing and Encryption (JOSE). Przed wersją 1.7.4 joserfc.jws.deserialize_json() akceptuje JWS General JSON Serialization z pustą tablicą signatures jako uwierzytelnione. Pętla verify_general_json() nie wykonuje żadnych iteracji dla pustej tablicy i zwraca sukces, ponieważ żadna weryfikacja podpisu nie zawiodła, co pozwala atakującemu bez klucza podpisującego dostarczyć dowolny ładunek, który aplikacje mogą uznać za autentyczny. Problem dotyczy ścieżki General JSON Serialization; kompaktowe dekodowanie JWS i JWT, Flattened JSON serialization oraz przetwarzanie JWE JSON nie podążają tą podatną ścieżką. Problem naprawiono w wersji 1.7.4.

Nieuwierzytelniony zdalny atakujący może obejść uwierzytelnianie i uzyskać pełny dostęp do administracyjnych endpointów API w Nutanix Prism Element, dołączając spreparowany wewnętrzny nagłówek HTTP zarządzania. Podatność wynika z błędnej konfiguracji filtrów uwierzytelniania aplikacji. W konsekwencji serwer odpowiada nagłówkiem Set-Cookie zawierającym ważny JSESSIONID. Ten plik cookie sesji dekoduje się do JSON Web Token (JWT) przyznającego maksymalne uprawnienia administracyjne klastra. Skuteczne wykorzystanie pozwala atakującemu na wykonywanie poleceń na poziomie root na wszystkich maszynach wirtualnych kontrolera (CVM) w klastrze, prowadząc do całkowitego zniszczenia klastra i nieautoryzowanego dostępu do pamięci maszyn wirtualnych i dysków wirtualnych.

OpenPrinting CUPS przed wersją 2.4.20 ma błąd w funkcji copy_banner(), która używa wartości attributes-natural-language kontrolowanej przez atakującego jako komponentu ścieżki katalogu. Pozwala to na wyjście poza katalog bannerów i skopiowanie dowolnego pliku do obiektu spool, który może zostać dostarczony do atakującego.

Helium to darmowy internetowy planer dla uczniów. W wersjach przed 2.2.60 endpoint POST /planner/attachments/ pozwala uwierzytelnionym użytkownikom przesyłać załączniki SVG i HTML, ponieważ conf/configs/common.py pomija te formaty w BLOCKED_ATTACHMENT_EXTENSIONS i BLOCKED_ATTACHMENT_MIME_TYPES, a helium/planner/serializers/attachmentserializer.py opiera się na tych listach blokujących. Przesłany SVG serwowany jako image/svg+xml może wykonać osadzony skrypt, gdy odwiedzający otworzy publiczny URL załącznika, umożliwiając trwałą aktywną treść kontrolowaną przez atakującego i phishing pod adresem URL zarządzanym przez aplikację. Przechowywanie załączników używa oddzielnego origin niż aplikacja, więc polityka same-origin uniemożliwia skryptowi odczyt ciasteczek lub pamięci aplikacji, a przejęcie sesji aplikacji nie jest wspierane przez utrzymywaną konfigurację wdrożenia. Naprawiono w wersji 2.2.60.

Helium przed wersją 2.2.60 pozwala uwierzytelnionemu użytkownikowi na przesłanie dowolnego URL do POST /feed/externalcalendars/. Serwer używa validate_url tylko do sprawdzenia składni, a następnie pobiera URL przez urllib.request.urlopen, co umożliwia wymuszone żądania wychodzące i rozpoznanie wewnętrznych usług.

W systemie drukowania OpenPrinting CUPS funkcja copy_model() w pliku scheduler/ipp.c tworzy przewidywalną ścieżkę TempDir/<connection-number>.ppd w katalogu zapisywalnym dla grupy lp i otwiera ją jako root bez flag O_EXCL ani O_NOFOLLOW. Wykorzystanie wymaga procesu z grupy lp mogącego pisać do tego katalogu, przewidzenia nazwy pliku i podłożenia dowiązania symbolicznego przed otwarciem przez roota, przy jednoczesnym uprzywilejowanym działaniu add-printer lub modify-printer z modelem PPD. Podatność naprawiono w wersji 2.4.20.

W systemie drukowania OpenPrinting CUPS w wersjach przed 2.4.20 funkcja budująca opcje zadania (cupsdCreateJob w scheduler/job.c) mapuje wartości destination-uri i pre-dial-string z kolejki faksu na opcje phone i faxPrefix. Wartości te omijają sanitizer znaków kontrolnych i są kopiowane bezpośrednio do argumentu opcji filtra, co pozwala użytkownikowi uprawnionemu do zlecania zadań wstrzyknąć znaki kontrolne do strumienia opcji.

W systemie OpenPrinting CUPS w wersjach przed 2.4.20 funkcja quote_string() w backend/ipp.c zachowuje znaki powrotu karetki i nowej linii w komunikacie markera kontrolowanym przez zdalną drukarkę, zanim report_attr() zapisze wartość do strumienia statusu schedulera. Scheduler może zinterpretować wstrzykniętą nową linię jako osobną linię kontrolną PPD i zapisać wybrane przez atakującego słowo kluczowe PPD.

W bibliotekach NL Portal Backend publiczne resolvery GraphQL getFormDefinitionByObjectenApiUrl oraz przestarzały getFormDefinitionById są dostępne bez uwierzytelniania CommonGroundAuthentication i przekazują URL sterowany przez wywołującego przez ObjectenApiService.getObjectByUrl do ObjectsApiClient.getObjectByUrl, który dołącza uprzywilejowany token Objecten-API. Sprawdzenie zgodności hosta ogranicza żądania do skonfigurowanego hosta Objecten-API, ale nie ogranicza schematu, portu ani ścieżki. Linię 3.0 naprawiono w wersji 3.0.4; biuletyn nie wskazuje poprawionej wersji 3.1.

Biblioteka bincookie (parser plików binarycookies) przed wersją 0.1.9 zawiera błąd przepełnienia bufora w funkcji bincookie_init_file(). Funkcja alokuje bufor na podstawie rzeczywistego rozmiaru pliku, ale jako granicę pętli przy zamianie bajtów w page_sizes używa pola num_pages kontrolowanego przez plik, co pozwala na odczyt i zapis poza zaalokowaną pamięcią. Dodatkowo niezwalidowane rozmiary stron i cookie_offsets mogą powodować dalsze dostępy poza zakresem.

Wtyczka Discourse ActivityPub przed commitem 1c8518b0f2abdf31cbea3e0b242f74d8994a9ba5 nie weryfikuje wystarczająco, czy aktor uwierzytelniony podpisanym żądaniem jest tożsamy z aktorem Activity oraz czy jest właścicielem wskazywanego postu federacyjnego. Brak tych kontroli tożsamości i własności pozwala zdalnemu atakującemu edytować, usuwać lub odpowiadać na posty federacyjne bez wymaganych uprawnień.