Katalog podatności CVE

Aplikacja Gallery - Private Photo Vault 1.0.41 uruchamia nieuwierzytelniony serwer HTTP dostępny z sieci lokalnej. Serwer nasłuchuje na porcie TCP 8080 i udostępnia pliki oraz listy katalogów z pamięci zewnętrznej Androida.

webhook do wersji 2.8.3 wczytuje całe ciało żądania do pamięci przed oceną reguł wyzwalających, co pozwala nieuwierzytelnionym atakującym na wyczerpanie pamięci poprzez wysyłanie zbyt dużych ciał żądań. Atakujący mogą wysyłać wielogigabajtowe ciała żądań z nieprawidłowymi sygnaturami, aby wywołać warunki braku pamięci i awarię usługi.

Huly Platform do wersji 0.7.426 zawiera podatność server-side request forgery w usłudze drukowania z powodu braku walidacji listy dozwolonych nazw hostów. Uwierzytelnieni członkowie przestrzeni roboczej mogą podać dowolne adresy URL do punktu końcowego drukowania, które Puppeteer renderuje i zwraca jako pliki PDF lub obrazy do pobrania, umożliwiając dostęp do wewnętrznych usług metadanych i hostów sieciowych.

DeepWiki-Open do commita d92819a zawiera podatność dowolnego odczytu plików w nieuwierzytelnionym punkcie końcowym WebSocket /ws/chat, który przyjmuje repo_url jako ścieżkę systemu plików bez ograniczeń. Atakujący mogą podać dowolne ścieżki katalogów, aby odczytać wszystkie pliki o obsługiwanych rozszerzeniach, w tym pliki Python, JavaScript, YAML i JSON zawierające zakodowane na stałe sekrety i poświadczenia.

Krayin CRM do wersji 2.2.6 udostępnia punkt końcowy POST /admin/mail/inbound-parse bez uwierzytelnienia, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych wiadomości e-mail do skrzynki odbiorczej CRM. Atakujący mogą dostarczyć spreparowane wiadomości RFC 2822 ze sfałszowanymi informacjami o nadawcy i nagłówkami, aby wstawić wiadomości o dowolnym temacie i treści, w tym odpowiedzi do istniejących wątków konwersacji.

W aplikacji online-clinic-management-system wykryto lukę w pliku doctorlogin.php, polegającą na manipulacji argumentami doc_mail/doc_pswd prowadzącej do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być już wykorzystywany. Projekt został poinformowany o problemie, ale nie odpowiedział.

W Eclipse Ankaios w wersjach 0.1.0–1.0.2 agent tworzy pliki workloadów oraz nazwane potoki (FIFO) interfejsu sterowania w przewidywalnej ścieżce opartej na nazwie agenta i hashu konfiguracji. Jeśli ścieżka już istnieje przy starcie agenta, jest używana bez weryfikacji właściciela i uprawnień, co pozwala lokalnemu użytkownikowi na podszycie się pod workload i modyfikację stanu klastra.

Podwójne zwolnienie pamięci (double free) w Windows Secure Kernel Mode pozwala autoryzowanemu atakującemu lokalnie podnieść uprawnienia.

Warunek wyścigu (race condition) wynikający z niewłaściwej synchronizacji współdzielonego zasobu w przeglądarce Microsoft Edge (opartej na Chromium) pozwala autoryzowanemu atakującemu lokalnie podnieść uprawnienia.

W bibliotece blaze (Scala) w wersjach przed 0.23.18 oraz 1.0.0-M1 do 1.0.0-M42 ręcznie napisany parser HTTP/1.1 akceptuje nieprawidłowe nagłówki, przestarzałe linie obs-fold, nieobsługiwane Transfer-Encoding, zduplikowane Content-Length oraz jednoczesne Transfer-Encoding i Content-Length. Rozbieżność interpretacji z pośrednikiem może prowadzić do obejścia autoryzacji, zatrucia kolejki odpowiedzi lub zatrucia cache.

W bibliotece Pay (Ruby on Rails) przed wersją 11.6.2 kontroler Pay::Webhooks::PaddleBillingController porównuje HMAC SHA-256 z tokenem h1 z nagłówka Paddle-Signature przy użyciu String#==, co umożliwia atakującemu odtworzenie poprawnego podpisu na podstawie pomiarów czasu. Sfałszowany webhook może zmienić stan rozliczeń, aktywować płatne funkcje lub wywołać powiadomienia.

W frameworku DotVVM przed wersjami 4.2.11, 4.3.15 i 5.0.0-preview09-final trasa zawierająca wiele nieograniczonych parametrów w jednym segmencie ścieżki może powodować nadmierne cofanie się wyrażenia regularnego w DotvvmRoute.IsMatch przy długiej ścieżce bliskiej dopasowania. Brak limitu czasu w DotvvmRouteParser.RouteRegex prowadzi do wyczerpania zasobów.

W integracjach LangChain MongoDB przed langgraph-checkpoint-mongodb 0.3.0 i langgraph-store-mongodb 0.4.0 metody MongoDBSaver.list(), alist() i MongoDBStore.search() wstawiają słowniki filtrów do zapytań MongoDB bez odrzucania kluczy z prefiksem $. Uwierzytelniony użytkownik kontrolujący filtr może wstrzyknąć operatory MongoDB, takie jak $regex lub $where, omijając izolację między najemcami.

W bibliotece flat-to-nested przed wersją 1.1.2 funkcja FlatToNested.prototype.convert w index.js używa pól id i parent z rekordów wejściowych jako kluczy w obiektach temp i pendingChildOf. Gdy parent lub id to __proto__, dochodzi do zanieczyszczenia prototypu, co może prowadzić do korupcji logiki aplikacji, odmowy usługi lub dalszych ataków.

W Flask-Reuploaded od wersji 1.5.0 do 1.6.0 metoda UploadSet.save(storage, name=...) stosuje lowercase_ext do domyślnej ścieżki, ale dla nazwy podanej przez użytkownika używa rozszerzenia z zachowaniem wielkości liter przed sprawdzeniem listy AllExcept. Atakujący może obejść czarną listę, używając mieszanej wielkości liter w niebezpiecznym rozszerzeniu i zapisać plik w katalogu uploadu.

W bibliotece backpack/crud w wersjach przed 4.1.70, 5.6.2, 6.8.13 i 7.0.36 funkcja Backpack\CRUD\Stats::makeCurlRequest buduje polecenie powłoki z adresem URL pochodzącym z nagłówka HTTP Host i przekazuje je do exec() bez odpowiedniej neutralizacji. Nieuwierzytelniony atakujący może wstrzyknąć polecenia systemu operacyjnego, jeśli exec() i curl są dostępne, a losowa bramka 1-na-100 zostanie osiągnięta (powtarzane żądania mogą ją trafić). Udana eksploatacja wykonuje polecenia jako użytkownik serwera WWW.

W backpack/crud od wersji 6.0.0 do 6.8.14 i 7.0.38 operacje Update, Delete i Reorder pobierają rekordy z niezawężonego zapytania modelu zamiast z zapytania skonfigurowanego przez addClause() lub addBaseClause(). Uwierzytelniony użytkownik znający lub zgadujący klucz główny rekordu poza zakresem może modyfikować, usuwać lub zmieniać kolejność rekordów ukrytych przez zakresy dostępu na poziomie wiersza.

W backpack/crud przed 6.8.12 i 7.0.35 funkcja HasUploadFields::uploadMultipleFilesToDisk ufa ścieżkom względnym dysku z clear_<attribute>[] i przekazuje je do Storage::disk()->delete bez potwierdzenia, że ścieżki są zapisane w bieżącym rekordzie modelu. Uwierzytelniony użytkownik z dostępem Update do CRUD korzystającego z tego mutatora może usunąć załącznik innego rekordu, współdzielony zasób lub inny plik operacyjny na skonfigurowanym dysku.

W backpack/crud przed 6.8.11 i 7.0.34 funkcja MyAccountController::postAccountInfoForm przekazuje dane żądania z $request->except(['_token']) do modelu użytkownika zamiast ograniczać aktualizacje do pól akceptowanych przez AccountInfoRequest::validationData(). Atakujący z uwierzytelnioną sesją Backpack może masowo przypisać hasło, kolumnę uwierzytelniania lub inne atrybuty fillable.

W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.