Katalog podatności CVE

W aplikacji Actual w trybie wieloużytkownikowym OpenID, dezaktywacja użytkownika blokuje jedynie przyszłe logowanie przez OpenID, ale istniejące tokeny sesji pozostają ważne. Brak weryfikacji statusu użytkownika podczas walidacji sesji pozwala dezaktywowanemu użytkownikowi na dalsze wywoływanie uwierzytelnionych endpointów serwera.

Aplikacja zawiera podatność na przepełnienie bufora opartego na stosie, która może zostać wykorzystana przez atakującego do wykonania dowolnego kodu.

Aplikacja zawiera podatność use-after-free, która może być wykorzystana do spowodowania uszkodzenia pamięci podczas analizy specjalnie spreparowanych plików. Może to pozwolić atakującemu na wykonanie dowolnego kodu w kontekście bieżącego procesu.

Aplikacja zawiera podatność polegającą na zapisie poza dozwolonym obszarem pamięci, co może zostać wykorzystane przez atakującego do zapisu danych poza przydzielonym buforem. Może to prowadzić do wykonania dowolnego kodu.

Podatność w LocalAI umożliwia nieuwierzytelnionemu atakującemu wykonanie żądań SSRF (Server-Side Request Forgery) na wewnętrzne adresy URL poprzez endpoint POST /models/apply. Brak walidacji pola URL galerii pozwala na wysyłanie żądań HTTP GET do prywatnych zakresów IP, a częściowa treść odpowiedzi może zostać ujawniona w komunikatach błędów.

Sterownik zarządzania kolorami FluxInk (dawniej Sunia SPB Peripheral) TcnPeripheral64.sys w wersji 1.0.7.2 umożliwia eskalację uprawnień dla konta standardowego użytkownika poprzez mapowanie pamięci fizycznej na urządzeniu \Device\PhysicalMemory. Podatność została naprawiona w wersji 1.0.7.6, dostępnej w Windows 11 25H2 HLK lub przez Windows Update.

GNU Wget do wersji 1.25.0 zawiera podatność polegającą na odczycie poniżej początku bufora sterty w funkcji clean_metalink_string() w pliku src/metalink.c. Złośliwy serwer może wykorzystać ten błąd, dostarczając dokument Metalink zawierający adres URL składający się wyłącznie ze znaków białych, co prowadzi do uszkodzenia pamięci.

W narzędziu DataEase przed wersją 2.10.24 wykryto podatność polegającą na użyciu zakodowanego na stałe domyślnego klucza sygnatury do linków udostępniania. Atakujący, znając ten klucz (link-pwd-fit2cloud), może sfałszować tokeny JWT i uzyskać dostęp do zasobów backendu jako twórca udostępnienia, nawet jeśli oryginalne udostępnienie zostało cofnięte.

W DataEase przed wersją 2.10.24 filtry kwot i osi Y osadzają wartości kontrolowane przez atakującego bezpośrednio w generowanym SQL w metodzie Quota2SQLObj.getYWheres(), bez walidacji literałów SQL i escapingu stosowanego w innych ścieżkach filtrów. Umożliwia to uwierzytelnionemu użytkownikowi, który może tworzyć lub modyfikować definicje wykresów albo przesyłać żądania danych wykresu zawierające filtry kwot, wstrzyknięcie SQL do zapytań wykonywanych wobec skonfigurowanych źródeł danych.

W DataEase przed wersją 2.10.24 odkryto podatność umożliwiającą ominięcie zabezpieczeń protokołu H2 zip i mechanizmu blokowania plików. Uwierzytelniony atakujący może przesłać archiwum zip zamaskowane rozszerzeniem .ttf przez FontManage.saveFile, a następnie wykorzystać je przez protokół zip do zdalnego wykonania kodu.

W narzędziu DataEase przed wersją 2.10.24 moduł zarządzania czcionkami umożliwia uwierzytelnionym użytkownikom podanie dowolnej wartości w polu fileTransName podczas tworzenia rekordu czcionki. Przy usuwaniu rekordu wartość ta jest łączona ze ścieżką katalogu czcionek i przekazywana do funkcji FileUtils.deleteFile() bez sanityzacji ścieżki, co pozwala na usunięcie dowolnych zapisywalnych plików w kontenerze aplikacji.

W narzędziu DataEase przed wersją 2.10.24 wykryto podatność polegającą na obejściu walidacji ciągów połączeń JDBC bazy danych H2. Specjalne znaki Unicode, które różnią się konwersją wielkości liter między walidacją DataEase a parsowaniem H2, umożliwiają atakującemu przemycenie niebezpiecznych parametrów (np. init) i zdalne wykonanie kodu.

W narzędziu DataEase przed wersją 2.10.24 brakuje adnotacji @DePermit w punkcie końcowym /de2api/datasetData/previewSql, co pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań SQL do wbudowanej bazy danych i odczyt wrażliwych danych.

W narzędziu DataEase przed wersją 2.10.24 uwierzytelniony użytkownik może manipulować parametrem identyfikatora zadania, aby pobierać, usuwać, ponawiać lub generować linki do pobierania zadań eksportu należących do innych użytkowników. Dodatkowo, endpoint /exportCenter/download/{id} jest wyłączony z uwierzytelniania, co umożliwia nieuwierzytelnionym osobom dostęp do wyeksportowanych plików.

Podatność w calibre przed wersją 9.10.0 pozwala na wykonanie dowolnego kodu Python przez złośliwy plik EPUB, OPF lub PDF. Atakujący może osadzić niestandardową definicję kolumny z szablonem python: w metadanych calibre:user_metadata, która jest przekazywana bez sanityzacji do funkcji exec() w formaterze szablonów.

W narzędziu DataEase przed wersją 2.10.24 interfejs danych wykresu w trybie udostępniania nie sprawdza, czy identyfikatory tabeli i pól w żądaniu należą do udostępnionego zasobu. Osoba atakująca posiadająca ważny token linku udostępniania może podmienić identyfikatory zestawu danych i uzyskać nieautoryzowany dostęp do danych przez endpoint POST /de2api/chartData/getData.

W narzędziu DataEase przed wersją 2.10.24 interfejs /de2api/share/proxyInfo generuje i zwraca token X-DE-LINK-TOKEN przed walidacją hasła lub biletu udostępniania. Umożliwia to nieuwierzytelnionym atakującym, znającym identyfikator UUID chronionego udostępnienia, uzyskanie ważnego tokena linku do dalszych wywołań API związanych z udostępnianiem, nawet przy braku lub nieprawidłowych poświadczeniach.

W aplikacji Actual do 26.7.0 brak autoryzacji umożliwia współdzielonemu użytkownikowi z dostępem do pliku budżetu wykonywanie operacji zarządzania plikami zarezerwowanych dla właściciela. Użytkownik niebędący właścicielem może wywoływać endpointy takie jak /delete-user-file, /reset-user-file i /user-create-key, ponieważ funkcja requireFileAccess traktuje zwykły dostęp współdzielony jako wystarczający dla tych operacji.

Serena przed wersją 1.5.2 udostępnia nieuwierzytelnione API Flask na stałym, przewidywalnym porcie, bez ochrony CSRF i walidacji nagłówka Host. Atak DNS rebinding pozwala złośliwej stronie WWW na zapis dowolnej treści do pamięci trwałej agenta, co w połączeniu z wykonywaniem poleceń powłoki prowadzi do zdalnego wykonania kodu.

W Coder przed wersjami 2.29.7 i 2.30.2 moduł `dotfiles` przekazywał niesanitowane dane wejściowe użytkownika do poleceń powłoki, co umożliwiało wykonanie dowolnego kodu w przestrzeni roboczej. Atakujący mógł wykorzystać specjalnie spreparowany `dotfiles_uri` (np. zawierający podstawienie polecenia `$(...)`) do uzyskania kontroli nad własnym workspacem. Dodatkowo, głębokie linki `mode=auto` na stronie tworzenia workspace'a umożliwiały atak jednoklikowy bez potwierdzenia użytkownika.