Katalog podatności CVE

InternLM LMDeploy do wersji 0.17.0 zawiera podatność z osiągalnym asercją w pętli migracji decode DistServe, która pozwala nieuwierzytelnionym atakującym zatrzymać silnik wnioskowania. Atakujący może przesłać migration_request z pustą listą remote_block_ids, aby wywołać AssertionError, który zawiesza pętlę silnika i powoduje niepowodzenie kolejnych żądań wnioskowania.

HUBzero CMS do wersji 2.2.32 zawiera podatność typu path traversal w procedurach obsługi przesyłania plików projektowych, która pozwala uwierzytelnionym członkom projektu zapisywać dowolne pliki poza repozytorium projektu. Atakujący mogą podać sekwencje przejścia w parametrach przesyłania, aby zapisać pliki w wybranych przez siebie ścieżkach z uprawnieniami serwera WWW, co potencjalnie umożliwia wykonanie kodu.

vm2 przed wersją 3.11.6 nie egzekwuje limitu bufferAllocLimit dla konstruktorów ArrayBuffer, SharedArrayBuffer i TypedArray, co pozwala atakującym alokować dowolną pamięć hosta. Atakujący mogą obejść limit alokacji bufora, używając tych wbudowanych funkcji V8 do wyczerpania pamięci procesu hosta i wywołania warunków braku pamięci.

vm2 przed wersją 3.11.8 nie egzekwuje w pełni opcji allowAsync: false w VM i NodeVM. Mimo że localPromise.prototype.then jest zastąpione procedurą rzucającą błąd 'Async not available', statyczne metody Promise w sandboxie (Promise.resolve, Promise.all, Promise.race, Promise.any, Promise.allSettled) nadal asymilują dostarczone przez atakującego thenable, co pozwala na zaplanowanie pracy po zakończeniu VM.run() lub NodeVM.run() i poza skonfigurowanym limitem czasu.

vm2 do wersji 3.11.6 zawiera obejście listy zablokowanych modułów wbudowanych w NodeVM. Gdy osadzający używa symbolu wieloznacznego builtin wraz z wpisami negatywnymi (np. require: { builtin: ['*', '-fs', '-child_process'] }), wpisy negatywne są dopasowywane po dokładnej nazwie modułu, więc -fs usuwa tylko moduł fs, a nie jego podścieżki, takie jak fs/promises. Kod w sandboxie może wywołać require('fs/promises') lub require('node:fs/promises') i uzyskać dostęp do API systemu plików opartego na obietnicach.

vm2 w wersjach od 3.10.0 do 3.11.7 nie oznacza jako obsłużonych obietnic zwracanych z realm hosta do sandboxa na granicy mostu. Tylko obietnice utworzone wewnątrz sandboxa są opakowywane w procedurę pochłaniającą odrzucenie, a most instaluje sanitizery odrzuceń po stronie hosta tylko wtedy, gdy kod sandboxa wywoła .then/.catch/.finally. W rezultacie kod w sandboxie może wywołać funkcję hosta zwracającą odrzuconą obietnicę i zignorować wartość zwracaną, pozostawiając obietnicę hosta nieobsłużoną, co powoduje zakończenie procesu hosta przez domyślne zachowanie Node.js.

Podatność w narzędziu CLI vm2 (przed wersją 3.11.7) umożliwia ucieczkę z piaskownicy i wykonanie dowolnego kodu w procesie Node.js hosta. Atakujący może dostarczyć złośliwy plik skryptu, który używa require(__filename) do ponownego wykonania siebie w środowisku hosta, omijając izolację piaskownicy i uzyskując dostęp do modułów takich jak fs i child_process.

W wersjach vm2 ≤ 3.11.6 opcja VM({ timeout }) nie jest egzekwowana dla kodu wykonywanego poza synchronicznym wywołaniem VM#run(). Sandboxowany kod może zarejestrować wywołanie zwrotne FinalizationRegistry i po zwolnieniu obiektu zablokować pętlę zdarzeń hosta na nieograniczony czas, powodując denial of service.

Nieuwierzytelniona podatność na Cross-Site Scripting (XSS) w wtyczce Visitor Traffic Real Time Statistics Pro w wersji ≤ 11.21. Atakujący może wstrzyknąć złośliwe skrypty bez uwierzytelnienia.

Nieuwierzytelniona podatność na Cross-Site Scripting (XSS) w wtyczce WP Inventory Manager w wersji ≤ 2.5.4. Atakujący może wykonać skrypty w przeglądarce ofiary bez uwierzytelnienia.

Biblioteka google-protobuf zawiera nieograniczoną rekursję przy parsowaniu nieznanych pól grupowych protobuf. Atakujący może wysłać mały, spreparowany pakiet z głęboko zagnieżdżonymi bajtami START_GROUP do usługi Node.js wywołującej deserializeBinary(), co powoduje błąd RangeError: Maximum call stack size exceeded i awarię procesu.

Podatność typu „Inefficient Algorithmic Complexity” w AshAuthentication umożliwia nieuwierzytelnionemu atakującemu wyczerpanie CPU i pamięci przez przesłanie zbyt dużego segmentu base62 w kluczu API. Funkcje dekodujące mają złożoność kwadratową/sześcienną i nie ograniczają długości wejścia.

Podatność „Authorization Bypass Through User-Controlled Key” w AshAuthentication pozwala uwierzytelnionemu atakującemu na nadpisanie i potwierdzenie adresu e-mail innego użytkownika, co prowadzi do przejęcia konta. Token potwierdzający wydany dla jednego użytkownika jest akceptowany dla innego.

Podatność „Use of HTTP Request With Sensitive Query String” w AshAuthenticationPhoenix powoduje, że jednorazowy token logowania jest przekazywany jako parametr zapytania w adresie URL podczas przekierowania po zalogowaniu. Token może zostać ujawniony w logach serwera, historii przeglądarki itp.

Dell OpenManage Server Administrator w wersjach wcześniejszych niż 11.1.0.3 zawiera podatność niewłaściwego zarządzania uprawnieniami. Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę podatność do manipulacji informacjami i nieautoryzowanego dostępu.

Podatność „Improper Authentication” w AshAuthentication pozwala osobie posiadającej token logowania dla jednego zasobu na zalogowanie się jako użytkownik innego zasobu. Problem wynika z nieprawidłowego parsowania klauzuli sub w tokenie JWT.

Wtyczka Xagio SEO w wersjach do 7.1.0.43 włącznie zawiera podatność typu Cross Site Request Forgery (CSRF), którą może wykorzystać nieuwierzytelniony atakujący. Brak ochrony przed CSRF pozwala na wymuszenie na zalogowanym użytkowniku wykonania niechcianych akcji.

Wtyczka MC Woocommerce Wishlist w wersjach do 1.9.21 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z uprawnieniami administratora. Pozwala to na wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.

Wtyczka PublishPress Series w wersjach do 3.1.3 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z uprawnieniami administratora. Umożliwia to wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.

Wtyczka WP-Lister Lite for eBay w wersjach do 3.8.11 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z uprawnieniami shop managera. Pozwala to na wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.