Katalog podatności CVE

Chanjet CRM zawiera nieuwierzytelnioną podatność SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez manipulację parametrem site_id w punkcie końcowym webservice. Atakujący mogą wykorzystać brak sanityzacji danych wejściowych, stosując techniki UNION, aby wyodrębnić wrażliwe dane z bazy.

Weaver E-cology zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym wykonywać dowolne zapytania SQL poprzez parametr userIdentifiers w punkcie końcowym pluginu mobilnego. Atakujący mogą ominąć filtry oparte na spacjach, zawijając słowa kluczowe SQL w nawiasy, aby przeprowadzić atak typu UNION i wyodrębnić wrażliwe dane, w tym hasze haseł administratorów.

W bibliotece Mongoid występuje problem z nieefektywną złożonością wyrażeń regularnych w komponencie oceny zapytań w pamięci, co może pozwolić nieuwierzytelnionej stronie na spowodowanie nadmiernego przetwarzania w procesie aplikacji osadzającej. Aplikacje, które umieszczają tekst dostarczony przez użytkownika w warunku zapytania opartym na dopasowaniu wzorca na osadzonej asocjacji, mogą stać się nieodpowiedzialne.

Mongoid nie ogranicza, które operatory zapytań mogą pochodzić z danych filtrów dostarczonych przez wywołującego, gdy aplikacja przekazuje te dane do metod budujących zapytania. W aplikacji, która przekazuje zewnętrznie dostarczane parametry filtrów w ten sposób, osoba bez poświadczeń może wpływać na sposób oceny zapytania przez bazę danych. Może to prowadzić do niezamierzonego ujawnienia przechowywanych wartości pól oraz do zmniejszenia wydajności bazy danych.

Mongoid nie neutralizuje kryterium zapytania typu string dostarczonego do jego konstruktora zapytań i przekazuje je do bazy danych jako wyrażenie JavaScript po stronie serwera. Nieuwierzytelniona strona, która może wpływać na wartość przekazywaną przez aplikację jako argument zapytania, może spowodować, że kod wybrany przez atakującego zostanie oceniony przez silnik bazy danych. Może to prowadzić do niezamierzonego ujawnienia przechowywanych wartości pól, niezamierzonego wyboru dokumentów dla zapisów inicjowanych przez aplikację oraz zmniejszenia wydajności bazy danych.

deepmerge do wersji 4.3.1 zawiera podatność na zatruwanie prototypu w funkcji mergeObject(), która nieprawidłowo waliduje klucze zapisywane do obiektów docelowych. Atakujący mogą dostarczyć złośliwe obiekty źródłowe w operacjach scalania, aby wstrzyknąć właściwości kontrolowane przez atakującego do prototypu zwracanego obiektu, powodując, że aplikacje dziedziczą niezamierzone wartości podczas uzyskiwania dostępu do właściwości bez sprawdzania własnych właściwości.

CSSOM do wersji 0.5.0 zawiera podatność na atak DoS w funkcji CSSStyleDeclaration.setProperty(), która nieprawidłowo waliduje zarezerwowane nazwy właściwości. Atakujący mogą dostarczyć arkusz stylów z deklaracją o nazwie length, aby zastąpić wewnętrzny licznik i wywołać nadmierną alokację pamięci podczas serializacji cssText, powodując zakończenie procesu.

Biblioteka source-map-js w wersjach do 1.2.1 nie waliduje wartości przesunięcia linii w sekcjach indeksowanych map źródeł, pozwalając na podanie dowolnych wartości liczbowych. Bardzo duże wartości przesunięcia linii powodują synchroniczne blokowanie pętli zdarzeń na dłuższy czas, uniemożliwiając obsługę innych żądań.

Biblioteka http-cache-semantics w wersjach do 4.2.0 nieprawidłowo waliduje wpisy pamięci podręcznej wyzerowane ze względów bezpieczeństwa podczas przetwarzania dyrektywy max-stale klienta. Nieuwierzytelniony atakujący może pobrać odpowiedzi z pamięci podręcznej należące do innych użytkowników, w tym dane sesyjne Set-Cookie.

File Viewer to przeglądarka plików Office, PDF, CAD i archiwów działająca w przeglądarce. W wersjach przed @file-viewer/doc 2.3.1 i msdoc-viewer 0.2.2 starszy renderer DOC umieszczał kontrolowane przez dokument cele hiperłączy w generowanym HTML bez ograniczenia schematów URL, co mogło pozwolić na wykonanie skryptu po kliknięciu linku.

Moquette to lekki broker MQTT w Javie. W wersjach przed 0.18.1 metoda PostOffice.publishWill publikuje kontrolowaną przez klienta wiadomość Last Will bez wywołania sprawdzenia authorizator.canWrite używanego w normalnych ścieżkach PUBLISH, co pozwala na wstrzyknięcie wiadomości do tematu chronionego przez ACL.

PJSIP to biblioteka komunikacji multimedialnej w C. W wersjach 2.17 i wcześniejszych backendy OpenSSL i GnuTLS kopiują wartości DNS SubjectAltName za pomocą funkcji łańcuchowych, które przeliczają długość i obcinają osadzony bajt NUL, co pozwala na akceptację certyfikatu dla hosta będącego prefiksem nazwy docelowej.

SysReptor to platforma do raportowania testów penetracyjnych. W wersjach przed 2026.61 uwierzytelnieni użytkownicy SysReptor Professional mogą przesyłać pliki obrazów, których formaty powodują wywołanie Ghostscript, pozwalając na działanie osadzonego PostScript w współdzielonym katalogu tymczasowym. Atakujący może to wykorzystać w połączeniu z wyścigiem na plikach konfiguracyjnych GnuPG, aby wstrzyknąć kontrolowany kod Python do katalogu aplikacji.

SysReptor to platforma do raportowania testów penetracyjnych. W wersjach przed 2026.58 instalacje z włączonym resetowaniem hasła e-mailem i skonfigurowanym ALLOWED_HOSTS z wildcardem akceptują kontrolowany przez atakującego nagłówek Host podczas generowania linku resetowania hasła. Nieuwierzytelniony atakujący może zażądać e-maila resetującego, którego link wskazuje na system atakującego.

PJSIP to darmowa i otwarta biblioteka komunikacji multimedialnej napisana w C. W wersjach 2.17 i wcześniejszych parser AVI w PJSIP w pliku pjmedia/src/pjmedia/avi_player.c używa długości fragmentu wideo z pliku wejściowego jako liczby bajtów kopiowanych do bufora ramki, którego pojemność jest wyliczana na podstawie zadeklarowanych wymiarów mediów. Spreparowany plik AVI może zatem spowodować kontrolowane przez atakującego zapis poza granicami alokacji sterty, gdy aplikacja odtwarza plik lub pobiera jego ramki. Istniejąca asercja rozmiaru nie chroni produkcyjnych kompilacji, w których asercje są wyłączone. Typowe lokalne odtwarzanie może spowodować awarię procesu, podczas gdy aplikacje przyjmujące niezaufane źródła AVI są narażone na poważniejsze uszkodzenie pamięci. W momencie przeglądu nie jest dostępna żadna poprawiona wersja.

c-ares to asynchroniczna biblioteka resolvera DNS. W wersjach przed 1.34.7 funkcja ares_dns_name_parse() wymusza wsteczne wskaźniki kompresji DNS, ale nie ogranicza całkowitej liczby przeskoków wskaźników ani długości składanej nazwy. Złośliwy serwer DNS może wysłać odpowiedź z długim łańcuchem zstępujących wskaźników i wieloma rekordami zasobów, powodując powtarzalną dekompresję o złożoności kwadratowej.

Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-beta.3 uwierzytelniony użytkownik z dostępem viewer do jednego projektu może podać inny projekt w parametrze zapytania project na endpointach listy, co pozwala na dostęp do dashboardów, źródeł danych i zmiennych bez autoryzacji dla wybranego projektu.

Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-rc.0 endpointy listy używane z bazą danych systemu plików wiążą kontrolowany przez żądanie parametr project z strukturą Query bez walidacji pod kątem znaków przejścia katalogów, co pozwala na odczyt dowolnych plików YAML lub JSON dostępnych dla procesu Perses.

Perses w wersjach od 0.43.0 do 0.54.0-rc.0 nie wymaga uprawnień odczytu do powiązanego projektu lub globalnego Sekretu podczas tworzenia lub proxy niezapisanego datasource. Użytkownik z niskimi uprawnieniami może podłączyć Sekret, którego normalnie nie może odczytać, wskazać datasource na kontrolowaną przez siebie usługę i spowodować wysłanie odszyfrowanego sekretu w postaci jawnej.

LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionemu użytkownikowi przesłać kontrolowane identyfikatory rekordów do endpointu DuplicateRecordsToOtherVehicles, wskazując docelowe pojazdy, które może edytować. Endpoint autoryzuje pojazdy docelowe, ale pobiera rekordy źródłowe bez sprawdzania uprawnień do pojazdu źródłowego, co umożliwia kopiowanie rekordów należących do innego użytkownika do pojazdu kontrolowanego przez atakującego.