Katalog podatności CVE

W itsourcecode Baptism Information Management System 1.0 zidentyfikowano słabość. Luka dotyczy nieznanego kodu w pliku pbaptism.php. Manipulacja argumentem b_id powoduje sql injection. Atak można zainicjować zdalnie, a exploit został udostępniony publicznie i może być użyty do ataków.

Pakiet @backstage/backend-defaults przed wersją 0.17.8 zawiera błąd niewłaściwej kontroli dostępu przy wywoływaniu akcji backendu. Uwierzytelniony użytkownik mógł wywołać akcje, które operator wykluczył w konfiguracji. Istniejące uprawnienia akcji i autoryzacja niższego poziomu pozostają egzekwowane.

IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1 i 9.2 może umożliwić zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../), aby wyświetlić dowolne pliki w systemie.

GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku tools/uvr5/vr.py, która pozwala nieuwierzytelnionym atakującym wykonywać polecenia przez ścieżki folderów wyjściowych. Atakujący mogą wprowadzić substytucje powłoki, takie jak $(...), w polach tekstowych folderu wyjściowego UVR5 WebUI z eksportem mp3 lub m4a, aby uruchomić polecenia jako użytkownik serwera.

HoloViz Panel od wersji 1.2.2 do 1.9.0 zawiera podatność open redirect w pliku panel/auth.py, pozwalającą zdalnym atakującym przekierować użytkowników przez niezweryfikowany parametr zapytania next. BasicLoginHandler i PasswordLoginHandler zapisują ten parametr w ciasteczku next_url, więc spreparowane linki logowania kierują ofiary do witryn kontrolowanych przez atakującego po udanym logowaniu.

Flower przed wersją 2.2.0 zawiera podatność cross-site request forgery, ponieważ mechanizm Tornado xsrf_cookies jest wyłączony, a ciasteczko sesji OAuth nie ma atrybutu SameSite. Atakujący mogą zwabić uwierzytelnionych użytkowników na złośliwe strony wysyłające żądania POST do /api/worker/shutdown, /api/worker/pool/restart lub /api/task/revoke, aby wyłączyć workery Celery, zmienić rozmiar puli i unieważnić zadania.

fast-toml do wersji 0.5.4 zawiera podatność zanieczyszczenia prototypu, która umożliwia atakującym modyfikację Object.prototype przez dostarczenie TOML zawierającego segmenty kluczy __proto__, constructor lub prototype. Atakujący mogą przekazać nagłówki tabel [__proto__] lub [constructor.prototype] albo klucze kropkowe __proto__.x do parse(), aby zanieczyścić wszystkie obiekty, powodując odmowę usługi lub obejście autoryzacji.

Servor od 1.0.0 do 4.0.2 zawiera podatność przechodzenia przez katalogi, która umożliwia nieuwierzytelnionym zdalnym atakującym opuszczenie serwowanego katalogu głównego przez wysyłanie zakodowanych w URL segmentów kropek. Atakujący mogą wysyłać sekwencje %2e%2e/, które decodeURI() dekoduje przed path.join() w serveStaticFile i serveDirectoryListing, aby czytać dowolne pliki i listować katalogi poza katalogiem głównym.

cbor-sync do wersji 1.0.4 zawiera podatność na wyczerpanie zasobów w funkcji CBOR.decode, która ufa zadeklarowanym długościom tablic i map bez sprawdzania pozostałych danych wejściowych. Zdalny atakujący może dostarczyć mały, spreparowany ładunek CBOR deklarujący ogromne długości, co prowadzi do miliardów iteracji i wyczerpania CPU oraz pamięci procesu.

easy-pdf-merge w wersjach 0.1.0 do 0.2.6 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala atakującym wykonywać polecenia poprzez wstrzyknięcie metaznaków powłoki do ścieżek źródłowych, ścieżki docelowej lub opcji maxHeap. Atakujący mogą dostarczyć nazwy plików lub opcje zawierające cudzysłowy, średniki, $() lub backticks, które child_process.exec() uruchamia przez powłokę z uprawnieniami procesu Node.js.

IBM Db2 Mirror for i w wersjach 7.4, 7.5 i 7.6 jest podatny na eskalację uprawnień. Uwierzytelniony atakujący może wysłać złośliwe żądanie, które omija dodatkowe kontrole autoryzacji i walidacji danych wejściowych, aby wykonać złośliwy kod i uzyskać podwyższone uprawnienia.

containerd przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5 zawiera błąd, w którym obsługa rozpakowywania warstw wielokrotnie przechodzi przez katalogi dla niektórych konfiguracji opaque whiteout. Złośliwa warstwa obrazu może wywołać powtarzające się przechodzenie przez katalogi podczas przetwarzania opaque whiteout. Pobranie lub zaimportowanie obrazu może zużywać CPU, opóźniać uruchamianie kontenerów i zmniejszać współbieżność pobierania obrazów dla niepowiązanych wdrożeń.

containerd to open-source'owy runtime kontenerów. Od wersji 2.1.0 do 2.2.7 i 2.3.4, przywracanie punktu kontrolnego CRI CreateContainer jest podatne, ponieważ CRIU przywraca stan bezpieczeństwa procesu z danych punktu kontrolnego zamiast egzekwować docelowy ContainerConfig. Atakujący, który może utworzyć kontener z przygotowanego punktu kontrolnego, może dostarczyć przywrócone poświadczenia, capabilities, no_new_privs i stan seccomp. Przywrócony proces może działać jako root z pełnymi capabilities i bez egzekwowanych filtrów seccomp, podczas gdy CRI raportuje żądaną konfigurację. Systemy, które nie używają CRI checkpoint restore, nie są dotknięte. Problem naprawiono w wersjach 2.2.7 i 2.3.4.

OWASP Coraza WAF to biblioteka zapory aplikacji webowych w Go, kompatybilna z modsecurity. Od wersji 3.0.0 do 3.8.1, Coraza po cichu pomija argumenty po przekroczeniu SecArgumentsLimit w internal/corazawaf/transaction.go, podczas gdy internal/bodyprocessors/urlencoded.go zapisuje ARGS_POST bez egzekwowania limitu. Błąd jest wyzwalany, gdy nieuwierzytelniony atakujący wysyła więcej argumentów niż SecArgumentsLimit lub dostarcza ciała, które rozszerzają się poza skonfigurowane budżety argumentów i spłaszczania. Nieuwierzytelniony atakujący może zalać żądania argumentami, aby nadmiarowe wartości były po cichu pomijane z ARGS, ARGS_GET, ARGS_NAMES, ARGS_GET_NAMES, ARGS_POST lub ARGS_PATH przed sprawdzeniem przez reguły bezpieczeństwa; dotknięte przetwarzanie urlencoded i JSON może również zużywać nadmierną pamięć. Pominięcie może ominąć reguły WAF chroniące aplikację downstream, a nieograniczone lub wzmocnione przetwarzanie argumentów może powodować zużycie pamięci i degradację usługi. Problem naprawiono w wersji 3.8.1.

HAProxy Data Plane API w wersjach od 2.2.0 do 3.4.3 (oraz odpowiednie wydania Enterprise Edition) zawiera globalną logikę uwierzytelniania, która nieprawidłowo usuwa zabezpieczenia dla wielu typów transportu. Gdy skonfigurowano TLS CA i określono numeryczny port TLS, aplikacja globalnie wyłącza podstawowe uwierzytelnianie na współdzielonym wewnętrznym handlerze żądań, co pozwala nieuwierzytelnionym atakującym na dostęp do endpointów HTTP lub UNIX, całkowicie omijając poświadczenia i uzyskując pełny dostęp administracyjny do API.

Tink-go (tink-crypto/tink-go) do wersji 2.8.0 zawiera podatność walidacji danych wejściowych, w której keyset.NewHandleWithNoSecrets() i ReadWithNoSecrets() pomijają krok strukturalnej walidacji Validate() przed utworzeniem keyset.Handle, pozwalając na akceptację zniekształconych zestawów kluczy publicznych lub bez sekretów, które naruszają niezmienniki Tink. Atakujący może dostarczyć zniekształcony zestaw kluczy, na przykład z włączonym kluczem publicznym bez prawidłowego klucza głównego lub kluczem DESTROYED bez KeyData, powodując niespójną walidację niższego poziomu, gdzie funkcje takie jak jwt.JWKSetFromPublicKeysetHandle() przetwarzają nieprawidłowy uchwyt i tworzą zestaw JWK, potencjalnie wprowadzając w błąd aplikacje polegające na pomyślnym utworzeniu uchwytu jako dowodzie integralności zestawu kluczy.

Klient NetEase Cloud Music dla Windows (cloudmusic.exe) w wersjach 3.1.38 i 3.1.39.205426 zawiera podatność słabego szyfrowania, w której treści odpowiedzi API /eapi/ i /xeapi/ są odszyfrowywane przy użyciu stałego, publicznie udokumentowanego klucza AES-128-ECB bez uwierzytelnienia integralności. Atakujący mogący przechwycić lub zainicjować odpowiedzi serwera mogą skonstruować prawidłowy szyfrogram pod znanym kluczem z dopełnieniem PKCS#7, umożliwiając klientowi akceptację sfałszowanych odpowiedzi API, co stanowi warunek wstępny dalszej eksploatacji, takiej jak osiągnięcie mostka os.navigateExternal.

Klient NetEase Cloud Music dla Windows (cloudmusic.exe) w wersjach 3.1.38 i 3.1.39.205426 zawiera podatność na walidację certyfikatów TLS, która pozwala atakującemu w sieci lokalnej na przechwycenie i odszyfrowanie ruchu HTTPS poprzez brak weryfikacji łańcucha certyfikatów serwera, nazwy hosta lub konsultacji z magazynem zaufania certyfikatów Windows. Atakujący może przeprowadzić atak man-in-the-middle przy użyciu fałszywego urzędu certyfikacji, aby odszyfrować ruch, przechwycić poświadczenie sesji MUSIC_U wysyłane w uwierzytelnionych żądaniach API i modyfikować odpowiedzi serwera w tranzycie, co umożliwia przejęcie konta i fałszowanie odpowiedzi na poziomie transportu.

Klient NetEase Cloud Music dla Windows (cloudmusic.exe) w wersjach 3.1.38 i 3.1.39.205426 zawiera podatność na zdalne wykonanie kodu w moście IPC procesu renderowania os.navigateExternal, który przekazuje adresy URL dostarczone przez wywołującego do ShellExecuteW bez walidacji schematu URL. Atakujący, który może wstrzyknąć treść do procesu renderowania, na przykład poprzez sfałszowanie odpowiedzi API /pc/upgrade/get przy użyciu publicznie znanego klucza AES przez niezweryfikowane połączenie TLS, może wywołać os.navigateExternal z adresem URL file:// poprzez ładunek img onerror, aby wykonać dowolne lokalne pliki binarne na koncie zalogowanego użytkownika.

W itsourcecode Baptism Information Management System 1.0 odkryto lukę bezpieczeństwa w nieznanej części pliku ebaptism.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany do ataków.