Katalog podatności CVE

LibreChat przed wersją 0.8.4 ufa polu 'name' zwracanemu przez sandbox execute_code podczas zapisywania artefaktów wygenerowanych przez kod. Atakujący może użyć sekwencji nawigacyjnych (np. '../../') w nazwie pliku, co prowadzi do zapisu pliku w dowolnej lokalizacji na serwerze bez walidacji.

Cronicle przed wersją 0.9.111 zawiera podatność, w której procesy potomne mogą modyfikować konfigurację zdarzenia nadrzędnego poprzez klucz update_event w wyjściu JSON, bez żadnej kontroli autoryzacji. Umożliwia to użytkownikowi z niskimi uprawnieniami, który może tworzyć i uruchamiać zdarzenia, zmianę dowolnej właściwości zdarzenia, w tym adresów URL webhooków i e-maili powiadomień.

Cronicle, wieloserwerowy harmonogram zadań, przed wersją 0.9.111 pozwala użytkownikom niebędącym administratorami na wstrzykiwanie dowolnego kodu JavaScript przez pola wyjściowe zadań. Serwer nie oczyszcza danych, a klient renderuje je przez innerHTML na stronie szczegółów zadania.

xdg-dbus-proxy przed wersją 0.1.7 zawiera podatność w parserze polityk, która pozwala na ominięcie ograniczeń podsłuchiwania. Proxy nieprawidłowo obsługuje przypadki takie jak 'eavesdrop ='true'' (ze spacją przed znakiem równości), co umożliwia klientom przechwytywanie komunikatów D-Bus, do których nie powinni mieć dostępu.

Open Source Point of Sale przed wersją 3.4.3 zawiera podatność na trwały XSS w tabeli zarządzania dzienną sprzedażą. Kolumna customer_name jest renderowana jako surowy HTML, co pozwala atakującemu z uprawnieniami do zarządzania klientami na wstrzyknięcie JavaScript przez pola first_name lub last_name.

Podatność na przechowywany XSS w rozszerzeniu Cargo dla MediaWiki. Brak neutralizacji tagów HTML związanych ze skryptami umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript, który jest wykonywany przy każdym wyświetleniu strony.

Podatność na XSS w rozszerzeniu Cargo dla MediaWiki, umożliwiająca atak na elementy nieskryptowe. Brak neutralizacji danych wejściowych podczas generowania strony pozwala na wstrzyknięcie złośliwego kodu.

Rozszerzenie Cargo dla MediaWiki przed wersją 3.8.7 zawiera podatność na przechowywany XSS z powodu nieprawidłowej neutralizacji tagów HTML związanych ze skryptami. Umożliwia to atakującym wstrzykiwanie złośliwych skryptów, które wykonują się przy każdym wyświetleniu strony.

Rozszerzenie ProofreadPage dla MediaWiki jest podatne na atak XSS (Cross-Site Scripting) wymierzony w elementy nieskryptowe. Luka została naprawiona w gałęzi master oraz w wersjach MediaWiki 1.43, 1.44 i 1.45.

Rozszerzenie Cargo dla MediaWiki jest podatne na Stored Cross-Site Scripting (XSS) z powodu nieprawidłowej neutralizacji tagów HTML związanych ze skryptami.

Cosign, narzędzie do podpisywania kontenerów i plików binarnych, błędnie raportuje „Verified OK” dla atestacji z nieprawidłowymi ładunkami lub niezgodnymi typami predykatów. Błąd występuje w wersjach przed 3.0.6 i 2.6.3.

Parse Server jest podatny na ujawnienie chronionych pól sesji poprzez endpoint GET /sessions/me. Endpoint ten zwraca pola _Session, które administrator skonfigurował jako chronione, podczas gdy inne endpointy poprawnie je usuwają.

Podatność na przechowywany XSS w Open Source Point of Sale (wersje przed 3.4.3). Brak odpowiedniego oczyszczania danych wejściowych w parametrze stock_location umożliwia wstrzyknięcie złośliwego JavaScript, który jest wykonywany w interfejsie pracowników.

Plane, otwartoźródłowe narzędzie do zarządzania projektami, zawiera lukę w punkcie końcowym IssueBulkUpdateDateEndpoint. Umożliwia ona członkowi projektu (ADMIN lub MEMBER) modyfikację dat startu i celu dowolnego zgłoszenia w całej instancji Plane, niezależnie od przynależności do obszaru roboczego lub projektu. Luka występuje przed wersją 1.3.0.

JWCrypto przed wersją 1.5.7 nie sprawdza rozmiaru zdekompresowanych danych w tokenach JWE z kompresją ZIP. Atakujący może wysłać mały token (poniżej 250KB), który po dekompresji zajmuje około 100MB, powodując wyczerpanie pamięci serwera.

WWBN AVideo, otwartoźródłowa platforma wideo, zawiera lukę Server-Side Request Forgery (SSRF) w przepływie logowania retransmisji na żywo. Uwierzytelniony streamer może przechowywać dowolny URL callback, który jest następnie pobierany po stronie serwera. Luka występuje w wersjach 26.0 i wcześniejszych.

AVideo to otwarta platforma wideo, w której funkcja EPG (Electronic Program Guide) parsuje XML z kontrolowanych przez użytkownika URL-i i renderuje tytuły programów bezpośrednio w HTML bez sanityzacji. Użytkownik z uprawnieniami do przesyłania może ustawić złośliwy plik XML, którego elementy <title> zawierają JavaScript. Podatność dotyczy wersji 26.0 i wcześniejszych.

WWBN AVideo w wersjach 26.0 i starszych ma podatność w handlerze PayPal IPN v1, który nie deduplikuje transakcji. Atakujący może powtarzać pojedyncze powiadomienie IPN, wielokrotnie zwiększając saldo portfela i odnawiając subskrypcje.

Vite, framework narzędziowy frontendu dla JavaScript, w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5, ma podatność w obsłudze żądań .map dla zoptymalizowanych zależności. Serwer deweloperski rozpoznaje ścieżki plików i wywołuje readFile bez ograniczania segmentów ../ w URL, co pozwala ominąć listę dozwolonych server.fs.strict i odczytać pliki .map poza katalogiem projektu, jeśli mogą być sparsowane jako poprawny JSON mapy źródłowej.

Transceivery LoRa Semtech LR11xx z wczesnymi wersjami firmware'u mają podatność na ujawnienie informacji w funkcji walidacji firmware'u. Po wydaniu polecenia sprawdzenia poprawności firmware'u przez interfejs SPI, ostatni odszyfrowany blok pozostaje w pamięci, co pozwala atakującemu z dostępem do SPI na odczytanie odszyfrowanego firmware'u.