Katalog podatności CVE

hickory-resolver przed wersją 0.26.2 nie propaguje stanów 'bogus' DNSSEC przez API Resolver::lookup() i Resolver::lookup_ip(), co pozwala zwracać nieprawidłowe rekordy jako wyniki pomyślne. Atakujący kontrolujący strefę odpowiedzi lub znajdujący się na ścieżce sieciowej mogą spowodować, że sfabrykowane rekordy DNS zostaną zaakceptowane jako zwalidowane, omijając kontrole uwierzytelniania DNSSEC.

Przepełnienie liczby całkowitej w µD3TN v0.15.0 podczas uzgadniania TCPCLv3 powoduje przepełnienie sterty, umożliwiając zdalnym atakującym niezawodne spowodowanie DoS.

Luka w Netty netty-codec-smtp polega na nieprawidłowej walidacji znaków CR i LF w polu nazwy komendy SMTP. Zdalny atakujący, jeśli aplikacja przekazuje niezaufane dane do tego pola, może wstrzyknąć dowolne komendy SMTP, prowadząc do przemytu komend SMTP.

Luka w Netty dotyczy procesu konwersji HTTP/1 na HTTP/2. Gdy żądanie HTTP/1 zawiera zarówno absolutny request-target, jak i sprzeczny nagłówek Host, Netty błędnie priorytetowo traktuje nagłówek Host dla pola :authority w HTTP/2, odrzucając oryginalny autorytet request-target.

Luka w Netty polega na nieprawidłowym przetwarzaniu spreparowanych żądań Extended CONNECT HTTP/2 lub HTTP/3 jako zwykłych żądań CONNECT HTTP/1.1. Prowadzi to do utraty krytycznych informacji o protokole i ścieżce.

Wada w kodeku HTTP/2 biblioteki Netty. Przy konwersji żądań HTTP/1 CONNECT na HTTP/2 komponent błędnie używa nagłówka Host zamiast authority-form request-target dla autorytetu tunelu. Zdalny atakujący może dostarczyć inny nagłówek Host, tworząc zniekształcone żądanie HTTP/2 CONNECT.

Wada w komponencie RtspDecoder biblioteki Netty. Funkcja `RtspMethods.valueOf()` nieprawidłowo usuwa końcowe bajty kontrolne z tokenów metod w żądaniach RTSP. Zdalny atakujący może wysłać specjalnie spreparowane żądanie RTSP, prowadząc do przemytu tokenów metod.

Wada w bibliotece Netty. Wyciek licznika referencji w dekoderze komunikatów HAProxy PROXY-v2 pozwala zdalnemu, nieuwierzytelnionemu atakującemu wysyłać specjalnie spreparowane nagłówki PROXY-protocol v2. Prowadzi to do wyczerpania pamięci.

Wada w komponencie WebSocketServerExtensionHandler biblioteki Netty. Zdalny, nieuwierzytelniony atakujący może wykorzystać potokowanie HTTP/1.1 do wysyłania żądań szybciej niż aplikacja jest w stanie odpowiadać. Prowadzi to do nieograniczonego wzrostu kolejki na połączenie i nadmiernego zużycia pamięci.

ClipBucket v5 przed 5.5.3-#182 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na zdalne wykonanie kodu poprzez przesłanie pliku PHP z prawidłowymi bajtami magicznymi obrazu przez endpoint przesyłania zdjęć. Funkcja FileUpload::manageFile() nie aktualizuje rozszerzenia pliku po walidacji MIME, co pozwala na utrzymanie rozszerzenia .php i jego wykonanie przez PHP-FPM.

vm2 do wersji 3.12.0 udostępnia funkcję crypto.setFips() z Node.js niezaufanemu kodowi gościa, gdy osadzający jawnie zezwoli na wbudowany moduł crypto dla NodeVM. Sanitizer nie blokuje crypto.setFips, co pozwala kodowi gościa zmienić tryb FIPS całego procesu hosta, naruszając izolację NodeVM. Naprawiono w vm2 3.12.1.

rustls-webpki do wersji 0.103.12 (oraz 0.104.0-alpha przed 0.104.0-alpha.7) zawiera osiągalną panikę w funkcji bit_string_flags() w src/der.rs. Guard wejściowy nie odrzuca named-bit BIT STRING o zawartości dokładnie [0x00], co powoduje niedomiar przy raw_bits.len() - 1 i panikę. Podatność jest osiągalna przez publiczne API BorrowedCertRevocationList::from_der(), gdy CRL zawiera rozszerzenie issuingDistributionPoint z taką wartością onlySomeReasons. Wymaga to aplikacji, która jawnie włącza sprawdzanie odwołań CRL i przetwarza CRL ze źródła kontrolowanego przez atakującego; domyślna konfiguracja rustls jest niezagrożona. Naprawiono w 0.103.13 i 0.104.0-alpha.7.

ArcadeDB (com.arcadedb:arcadedb-engine) do 26.8.1 zawiera niekompletną listę zabronioną w sandboxie skryptów polyglot: HostClassLookupFilter.DENIED wymienia java.util.ResourceBundle jako nazwę klasy, co nie obejmuje podklas, a ScriptTriggerExecutor.ALLOWED_PACKAGES zezwala na java.util.*. Użytkownik z uprawnieniem UPDATE_SCHEMA może odwołać się do java.util.PropertyResourceBundle lub java.util.ListResourceBundle i wywołać ResourceBundle.getBundle(String), aby odczytać zasoby .properties ze ścieżki klas aplikacji, ujawniając poufne dane konfiguracyjne. Naprawiono w 26.9.1.

ArcadeDB w wersjach przed 26.9.1 nie waliduje adresów przejściowych IPv6 w zabezpieczeniu SSRF używanym przez IMPORT DATABASE i polecenia serwera. Uwierzytelnieni atakujący mogą dostarczyć adresy URL rozwiązujące się do adresów NAT64, 6to4 lub Teredo zawierających wewnętrzne adresy IPv4 (RFC 1918 lub loopback), aby uzyskać dostęp do usług wewnętrznych i punktów końcowych metadanych chmury.

ArcadeDB (com.arcadedb:arcadedb-engine) do 26.8.1 egzekwuje reguły kontroli dostępu per typ/rekord tylko w LocalBucket, opierając się na identyfikatorze pliku. Ścieżki wykonywania zapytań, które docierają do danych przez pliki indeksu LSM lub silnik TimeSeries, nie wywołują tego sprawdzenia, więc uwierzytelniony użytkownik bez uprawnień readRecord/deleteRecord może odczytać wartości kluczy indeksu, identyfikatory rekordów, wartości MAX/MIN, próbki TimeSeries, poznać liczbę rekordów i usuwać wpisy indeksu, co desynchronizuje indeks z danymi. Nazwy indeksów i typów są odkrywalne przez SELECT FROM schema:indexes. Problem dotyczy wdrożeń embedded i serwerowych oraz wszystkich transportów. Naprawiono w 26.9.1.

ArcadeDB przed 26.9.1 nie egzekwuje wpisów ACL dla typów TimeSeries, ponieważ resolver ACL buduje uprawnienia na podstawie identyfikatorów bucketów, a typy TimeSeries nie posiadają normalnych bucketów rekordów. Uwierzytelniony użytkownik o niskich uprawnieniach może czytać lub wstawiać próbki TimeSeries pomimo jawnych reguł odmowy, wykorzystując brak sprawdzania dostępu opartego na nazwie typu, co powoduje, że wyszukiwanie uprawnień kończy się niepowodzeniem otwartym.

vLLM w wersjach przed 0.28.0 nie waliduje dolnej granicy identyfikatorów tokenów w endpointach /v1/embeddings i /pooling, co pozwala nieuwierzytelnionym atakującym na zawieszenie silnika poprzez przesłanie ujemnych identyfikatorów tokenów. Pojedyncze żądanie z ujemnym identyfikatorem tokenu wywołuje asercję po stronie urządzenia CUDA, która zatruwa kontekst GPU, powodując awarię wszystkich kolejnych żądań aż do restartu procesu.

SiYuan w wersjach przed 3.8.3 zawiera podatność na wstrzyknięcie SQL w funkcji query2Stmt w graph.go, gdzie wartości tagów są konkatenowane bezpośrednio do literałów SQL bez escapowania pojedynczych cudzysłowów. Czytelnik w trybie publikacji lub anonimowy odwiedzający może wstrzyknąć SQL poprzez inline HTML span tags w endpoincie getGraph, aby wykonać dowolne zapytania na bazie danych z prawem zapisu i wyeksfiltrować prywatne dane z notesów.

Wada w kodeku STOMP biblioteki Netty. Zdalny atakujący może wysłać specjalnie spreparowaną ramkę STOMP z nagłówkiem content-length przekraczającym maksymalną wartość całkowitą. Ta podatność na obcięcie liczby całkowitej może prowadzić do nieskończonej pętli dekodowania.

NUUO Network Video Recorder 2.0.0 jest podatny na dowolne odczytywanie plików. W pliku up.php parametr url przesłany przez użytkownika metodą POST jest odbierany, a następnie fopen() otwiera ten URL w trybie binarnym tylko do odczytu, a zawartość jest zapisywana w katalogu /tmp/ pod nazwą pochodzącą z basename() tego URL. Operacja nie wymaga uwierzytelnienia.