Katalog podatności CVE

W Zammad przed wersją 7.0.2 dowolny uwierzytelniony agent może przeglądać tytuły, statusy, etykiety i adresy URL zgłoszeń GitHub/GitLab powiązanych z dowolnym zgłoszeniem w systemie, podając kolejne identyfikatory zgłoszeń. Narusza to granice izolacji zgłoszeń między agentami.

W zhistaredu StarTraining do wersji 3.8.1 włącznie odkryto lukę w nieznanej funkcji pliku SecurityConfig.java komponentu api-docs Endpoint, która prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność typu Missing Authorization w obsłudze kodu escape askpass w terminalu kitty (wersje od 0.25.0 do 0.49.0). Funkcja handle_remote_askpass() otwiera obiekt pamięci współdzielonej POSIX wskazany w kodzie escape i zapisuje do niego odpowiedź użytkownika, nie sprawdzając właściciela ani uprawnień obiektu. Inny lokalny użytkownik może utworzyć taki obiekt, wymusić wyświetlenie fałszywego monitu (np. o hasło) i odczytać wpisany sekret.

Podatność Use After Free w protokole przeciągnij i upuść w kitty od wersji 0.47.0 do 0.49.0 pozwala programowi piszącemu do terminala na odczyt i zapis do zwolnionej pamięci sterty. Błąd występuje w funkcji drag_remote_file_data() w kitty/dnd.c, gdzie wskaźnik do tablicy jest używany po jej zwolnieniu przez funkcje pomocnicze.

Bludit CMS do wersji 3.22.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z rolą Autor lub Redaktor na odczyt pełnej treści prywatnych szkiców i zaplanowanych wpisów innych użytkowników, w tym administratorów, poprzez wykorzystanie punktu końcowego AJAX content-get-list.

Bludit CMS do wersji 3.22.0 zawiera lukę masowego przypisania, która pozwala uwierzytelnionym użytkownikom z rolą Autor na modyfikację pól stron zarezerwowanych dla administratorów poprzez wstrzyknięcie zarezerwowanych parametrów do żądania zapisu treści, co umożliwia konwersję stron na statyczne wpisy nawigacyjne lub przeniesienie własności strony na dowolne konto.

Adapter przechowywania @payloadcms/storage-vercel-blob dla Payload zawiera lukę niewłaściwej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na ominięcie uprawnień na poziomie kolekcji poprzez bezpośredni dostęp do trasy client-upload, umożliwiając przesyłanie plików bez wymaganych uprawnień.

Brak autoryzacji w ścieżce obsługi upuszczania protokołu drag and drop w kitty od wersji 0.47.0 przed 0.49.0 pozwala programowi piszącemu do terminala na uzyskanie zawartości plików przeciągniętych nad oknem, nawet jeśli użytkownik nie zakończy upuszczania, a także na kontynuowanie odczytu plików po opuszczeniu okna przez przeciąganie.

W RabbitMQ Management, gdy włączony jest interfejs OAuth, powód błędu autoryzacji AMQP zawierający nazwę kolejki kontrolowaną przez atakującego jest renderowany jako HTML. Nazwa kolejki z elementem base może przekierować automatyczne odświeżanie, a przez CORS atakujący może przechwycić nagłówek Authorization administratora.

RabbitMQ w wersjach od 3.13.0 do 3.13.19, 4.0.24, 4.1.15, 4.2.10 i 4.3.5 zawiera podatność, w której odświeżenie poświadczeń OAuth utrzymuje wygasłe tagi runtime. Kiedy istniejące połączenie AMQP odświeża token OAuth z uprawnieniem impersonator na token z tą samą nazwą użytkownika, ale bez tego uprawnienia, tag 'impersonator' pozostaje w połączeniu. Dzięki temu połączenie (w tym nowo otwarte kanały) może dalej publikować wiadomości z obcym AMQP userid, mimo że powinno to być już odwołane.

Podatność w RabbitMQ przed wersją 4.3.5. Uwierzytelniony użytkownik, który może powiązać kolejkę z wymianą tematyczną i publikować do niej, może użyć kolejnych segmentów # w kluczu powiązania, co powoduje, że oba matchery tematyczne przetwarzają te same stany bez memoizacji. Skutkuje to duplikowaniem miejsc docelowych przed deduplikacją, co prowadzi do kombinatorycznego obciążenia CPU i pamięci, zakłócając routing dla wszystkich dzierżawców.

Parser parametrów Shovel w RabbitMQ konwertuje wartości parametrów kontrolowane przez atakującego na atomy Erlanga, które nie podlegają garbage collection, przed ich ograniczeniem lub sprawdzeniem dozwolonej listy. Atakujący może wyczerpać tablicę atomów węzła i spowodować odmowę usługi, a złośliwe parametry są trwale zapisywane i ponownie parsowane po restarcie.

Wtyczka rabbitmq_jms_topic_exchange w RabbitMQ przyjmuje kontrolowane przez klienta wyrażenie rjms_erlang_selector, którego ewaluator LIKE rozwija wildcardy do nakładających się fragmentów PCRE wykonywanych bez limitów dopasowania lub rekurencji. Uwierzytelniony najemca może wyczerpać CPU brokera i spowodować odmowę usługi.

Podatność w RabbitMQ od wersji 3.13.0 do 4.3.3, 4.2.9, 4.1.14, 4.0.23 i 3.13.18, polegająca na ignorowaniu kodu statusu HTTP przy pobieraniu kluczy JWKS. Mechanizm pobierania kluczy w uaajwt.erl nie sprawdza kodu odpowiedzi HTTP podczas pobierania kluczy podpisujących z punktu JWKS dostawcy OAuth2. Odpowiedzi inne niż 200 (w tym błędy 4xx i 5xx) są przetwarzane jak poprawne. Gdy punkt JWKS zwraca błąd z poprawnym JSON bez pola keys, wszystkie wcześniej zapamiętane klucze podpisujące są kasowane, co powoduje trwałą blokadę uwierzytelniania.

Podatność w RabbitMQ od wersji 4.1.0 do 4.3.3, 4.2.9 i 4.1.11, polegająca na możliwości przydzielenia dużych ilości pamięci przy niskich uprawnieniach przez zarządzanie strumieniami. Funkcja przyjmuje PUT /api/stream/super-streams/{vhost}/{name} od uwierzytelnionego użytkownika zarządzającego z dostępem do vhosta. Gdy ciało żądania zawiera pole binding-keys, handler parsuje kontrolowany przez atakującego ciąg rozdzielany przecinkami i buduje pełną listę nazw strumieni przed sprawdzeniem uprawnień. Użytkownik o niskich uprawnieniach z dostępem do vhosta może wymusić duże tymczasowe alokacje. W kontenerze z limitem pamięci 768 MB jedno żądanie HTTP PUT z ok. 4,5 MB JSON może zabić kontener.

Shovel w RabbitMQ nie formatuje stanu logowanego przez crash reporter, co może pozostawić niezaszyfrowane poświadczenia w pliku zrzutu awarii. Gdy procesy worker Shovel ulegają awarii, OTP SASL zapisuje pełny stan procesu, w tym jawnotekstowe hasła i URI AMQP, do logu błędów.

W RabbitMQ OAuth2 guard isinteger(Exp) pomija sprawdzanie wygaśnięcia tokenu dla wykładniczej wartości exp typu float. Gdy IdP wysyła exp jako float, zarówno sprawdzenie przy logowaniu, jak i timer rozłączenia są pomijane, przez co wygasły token jest akceptowany, a połączenia nigdy nie wygasają.

W RabbitMQ AMQP 1.0 management exchange.declare pomija sprawdzenie uprawnień alternate-exchange. Użytkownik z uprawnieniem configure na wymianie X może kierować jej niekierowalne wiadomości do alternate exchange, do którego nie ma uprawnień zapisu.

W RabbitMQ w wersjach od 3.13.0 do 3.13.18, 4.0.23, 4.1.14, 4.2.9 i 4.3.3 występuje podatność Stored XSS w interfejsie zarządzania strumieniami. Nazwa DN z certyfikatu TLS peera jest renderowana bez escapowania, co pozwala na wstrzyknięcie złośliwego kodu HTML/JavaScript. Wymaga to konfiguracji z listenerem TLS i verifypeer oraz certyfikatu zaufanego przez listener, z atakującym kontrolowanym DN.

RabbitMQ w wersjach 4.2.0 do 4.2.8 i 4.3.2 zawiera podatność w funkcji get_auth_mechanism/1, która przy czyszczeniu ciasteczka używa term_to_binary/1 na atomie strict_auth_mechanism lub preferred_auth_mechanism. Powoduje to wygenerowanie nie-ASCII nazwy ciasteczka, co narusza RFC 6265 i może uniemożliwić przeglądarce usunięcie ustawień. Podatność nie ma bezpośredniego wpływu na wykonanie kodu, ale wpływa na trwałość preferencji po wylogowaniu.