Katalog podatności CVE

Charm postgresql-operator uruchamia eksporter Prometheus postgres_exporter, który przy błędach połączenia z bazą danych zapisuje hasło użytkownika monitorującego w postaci jawnej w logach. Każdy, kto może odczytać te logi, może odzyskać hasło przyznające dostęp tylko do odczytu pg_monitor.

UTMStack w wersjach przed 11.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w IdentityProviderService.validateMetadataUrl(). Uwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych lub chmurowych hostów metadanych, podając złośliwy adres URL metadanych w punkcie końcowym identity-providers.

Podatność na ujawnienie informacji w Canonical MAAS przed wersjami 3.4.10, 3.5.14, 3.6.5, 3.7.3 i 3.8.0 pozwala nieuwierzytelnionemu atakującemu na odzyskanie sekretu RPC w postaci jawnej przez punkt końcowy metadanych vendor data. Jeśli maszyna docelowa została wdrożona z opcją 'register as rack', atakujący znający lub mogący wywnioskować identyfikator systemowy maszyny może zapytać serwer preseed/metadata, aby wyciekł sekret.

OpenTelemetry JavaScript Contrib dostarcza biblioteki instrumentacji do zbierania telemetrii z aplikacji JavaScript. W wersjach przed 0.66.0 dla @opentelemetry/instrumentation-cassandra-driver, 0.65.0 dla @opentelemetry/instrumentation-knex, 0.67.0 dla @opentelemetry/instrumentation-mongoose, @opentelemetry/instrumentation-mysql i @opentelemetry/instrumentation-mysql2, 0.46.0 dla @opentelemetry/instrumentation-oracledb, 0.73.0 dla @opentelemetry/instrumentation-pg oraz 0.40.0 dla @opentelemetry/instrumentation-tedious, pakiety dodają nazwę użytkownika połączenia z bazą danych do każdej operacji jako atrybut db.user. Atrybut jest emitowany domyślnie i nie jest kontrolowany przez ustawienie enhancedDatabaseReporting.

Angular SSR to narzędzie do renderowania po stronie serwera dla aplikacji Angular. W wersjach przed 20.3.36, 21.2.23 i 22.1.7 logika retrieveSSGPage w CommonEngine w @angular/ssr/node oraz w @angular/ssr dla wersji 17-18 akceptuje względny adres URL żądania zawierający segment przejścia wstecznego z ukośnikiem odwrotnym w systemie Windows. Nieuwierzytelniony żądający może pobrać sąsiednią prerenderowaną stronę HTML, jeśli zawiera ona znacznik Angular SSG.

oRPC to narzędzie do budowania API typu end-to-end z bezpieczeństwem typów. W wersjach przed 1.14.10 wtyczki ZodSmartCoercionPlugin i experimental_ZodSmartCoercionPlugin zbierają właściwości obiektów w zwykłych obiektach i rozwiązują klucze kształtu przez łańcuch prototypów. Zdalny klient może dostarczyć __proto__, aby zastąpić prototyp zwracanego obiektu żądania, co pozwala na wstrzyknięcie dziedziczonych wartości do wyszukiwań aplikacji.

oRPC to narzędzie do budowania API typu end-to-end z bezpieczeństwem typów. W wersjach przed 1.14.9 wtyczka @orpc/json-schema SmartCoercionPlugin używa JsonSchemaCoercer do zbierania właściwości obiektów w zwykłym obiekcie i rozwiązywania wpisów schema.properties przez łańcuch prototypów. Zdalny klient może dostarczyć __proto__, aby zastąpić prototyp pojedynczego koercedowanego obiektu żądania lub podać nazwy członków Object.prototype, takich jak constructor i toString, aby dziedziczone wartości były traktowane jako podschematy.

Wtyczka All in One SEO dla WordPressa w wersji przed 5.0.2.1 nieprawidłowo określa, które shortcode'y występują w treści pochodzącej od użytkownika, przed decyzją o ich usunięciu. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie, a w przypadku witryn zaktualizowanych ze starszych wersji ochrona jest całkowicie wyłączona.

Podatność typu server-side request forgery w obsłudze wykrywania OAuth2 w Loom for AWS przed wersją 1.7.0 może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na uzyskanie tokenu dostępu innego użytkownika wdrożenia oraz na wysyłanie żądań do dowolnych wewnętrznych lokalizacji sieciowych. Atak odbywa się poprzez spreparowany adres dokumentu wykrywania podany podczas rejestracji serwera narzędzi lub zdalnego agenta skonfigurowanego do uwierzytelniania delegowanego.

Nx to rozwiązanie monorepo dla TypeScript i innych języków. Od wersji 13.10.0 do 22.7.10 i 23.2.1, planowanie migracji Nx odczytuje wartość nx-migrations.migrations z manifestu pakietu bez walidacji, czy jest to względna ścieżka. Złośliwa zależność może dostarczyć segmenty .. lub ścieżkę bezwzględną, co pozwala na zapis plików poza katalogiem tymczasowym lub skrócenie istniejącego pliku. Problem występuje podczas planowania migracji przed przeglądem listy migracji.

Usługa OpenAPI platformy Meari IoT Cloud Platform jest podatna na błąd autoryzacji, który pozwala uwierzytelnionym użytkownikom na dostęp do pełnego cienia urządzenia dowolnego urządzenia, podając jego identyfikator. Podatność ujawnia wrażliwe informacje, takie jak poświadczenia urządzenia, dane właściciela, dane sieciowe i telemetrię, bez weryfikacji relacji między żądającym a docelowym urządzeniem.

Next.js w wersjach od 16.3.0 do 16.3.8 współdzieli wypełnienia pamięci podręcznej dla tego samego klucza bez rozdzielania żądań trybu roboczego od zwykłych żądań. Nakładające się zwykłe żądanie może otrzymać nieuwierzytelnione nieopublikowane treści z wypełnienia trybu roboczego, a nakładające się żądanie trybu roboczego może otrzymać opublikowane treści ze zwykłego wypełnienia. Gdy zwykłe żądanie prerenderuje stronę, treści zależne od wersji roboczej mogą pozostać w wygenerowanej stronie i być serwowane późniejszym odwiedzającym do czasu rewalidacji. Luka dotyczy witryn z włączonymi Cache Components lub experimental.useCache, gdy funkcje buforowane zwracają treści zależne od wersji roboczej. Problem naprawiono w wersji 16.3.8.

Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla samodzielnie hostowanych aplikacji używających Pages Router ze statycznie generowanymi stronami lub Incremental Static Regeneration może kluczować wpis w pamięci podręcznej odpowiedzi bez wystarczającego powiązania go z trasą źródłową. Żądanie może zastąpić wpis pamięci podręcznej jednej strony treścią z innej trasy, co powoduje serwowanie nieprawidłowych treści wszystkim odwiedzającym do czasu rewalidacji. Aplikacje wdrożone na Vercel nie są dotknięte. Problem naprawiono w wersjach 15.5.27 i 16.3.8.

Next.js to framework React do budowy aplikacji full-stack. Od wersji 16.0.0 do 16.3.8 serwer deweloperski next dev udostępnia punkt końcowy Model Context Protocol bez niezawodnego ograniczania żądań między witrynami. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do punktu końcowego i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, listę tras i logi deweloperskie. Wdrożenia produkcyjne nie udostępniają tego punktu końcowego. Problem został naprawiony w wersji 16.3.8.

Next.js w wersjach od 16.0.0 do 16.3.8 w serwerze deweloperskim `next dev` udostępnia endpoint Model Context Protocol bez wystarczającego ograniczenia żądań cross-site. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do endpointu i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, spis tras oraz logi deweloperskie. Wdrożenia produkcyjne nie serwują tego endpointu. Problem naprawiono w wersji 16.3.8.

Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla aplikacji z catch-all stroną na poziomie głównym i statycznie generowanymi trasami lub Incremental Static Regeneration może używać współdzielonego klucza pamięci podręcznej odpowiedzi, który jest niewystarczająco ograniczony do trasy źródłowej. Pojedyncze nieuwierzytelnione spreparowane żądanie może zatruć tę pamięć podręczną, powodując podmianę treści między użytkownikami lub trwałą odmowę usługi do czasu rewalidacji lub wymiany zatrutego wpisu. Problem naprawiono w wersjach 15.5.27 i 16.3.8.

Next.js w wersjach od 16.0.0 do 16.3.8 ma podatność w optymalizacji obrazów, która pozwala na ominięcie listy dozwolonych adresów URL i dostęp do prywatnych adresów IP. Atakujący może kontrolować rozwiązywanie DNS dla zdalnego URL, który pasuje do wzorca images.remotePatterns.

W SuperAGI v0.0.14 i wcześniejszych, endpointy kontrolera (/api/agents/create, /api/agents/schedule, /api/agents/delete, /api/agents/edit_schedule, /api/agents/stop_schedule) pozwalają uwierzytelnionym użytkownikom z jednej organizacji tworzyć, planować, edytować, zatrzymywać i usuwać agenty należące do projektu innej organizacji. Endpointy przyjmują parametr project_id, ale nie weryfikują, czy projekt należy do organizacji uwierzytelnionego użytkownika.

MISP zawiera podatność na nieprawidłową kontrolę dostępu w wyszukiwaniu atrybutów i paginowanym widoku atrybutów. Gdy użytkownik zapytuje o miękkie usunięte atrybuty (np. przez wyszukiwanie usuniętych atrybutów lub paginowaną listę), aplikacja zwracała miękkie usunięte atrybuty należące do zdarzeń innych organizacji każdemu uwierzytelnionemu użytkownikowi, który miał widoczność zdarzenia. Widok szczegółów zdarzenia poprawnie ograniczał widoczność miękkich usuniętych atrybutów do organizacji właściciela i użytkowników z uprawnieniami synchronizacji, ale ścieżki kodu wyszukiwania atrybutów i paginowanego widoku nie miały tego ograniczenia. Warunki: uwierzytelniony użytkownik MISP z co najmniej dostępem do odczytu zdarzenia należącego do innej organizacji oraz zapytanie o usunięte atrybuty. Wpływ: ujawnienie poufnych miękkich usuniętych atrybutów (np. IOC, wskaźników, kontekstu) z innych organizacji nieautoryzowanym użytkownikom. Dotyczy wersji MISP przed v2.5.48.

MISP zawiera podatność na obejście autoryzacji w funkcji listowania powiązanych zdarzeń. Gdy użytkownik żąda listy zdarzeń skorelowanych z danym zdarzeniem, system pobierał metadane powiązanych zdarzeń bezpośrednio z tabeli korelacji bez ponownej weryfikacji praw dostępu wywołującego do każdego powiązanego zdarzenia. Tabela korelacji przechowuje migawkę poziomu dystrybucji i grupy udostępniania w momencie utworzenia korelacji i nie zawiera flagi opublikowania. W rezultacie zdarzenia, do których wywołujący nie ma prawa dostępu (ponieważ są nieopublikowane lub ich dystrybucja/grupa udostępniania uległa zmianie od czasu zapisania korelacji), były nadal zwracane z ich metadanymi (tytuł, data, liczba skorelowanych wartości). Warunki: uwierzytelniony użytkownik z dostępem do co najmniej jednego zdarzenia w MISP oraz istnienie wpisów korelacji łączących to zdarzenie z innymi zdarzeniami, których użytkownik nie powinien widzieć. Wpływ: nieautoryzowane ujawnienie metadanych zdarzeń (tytuły, daty, liczby korelacji) oraz potencjalny rekonesans nazw i harmonogramów zdarzeń wywiadowczych między grupami udostępniania. Dotyczy wersji MISP przed commit naprawczy (2ffa97f05).