Katalog podatności CVE

Kata Containers przed wersją 4.0.0 jest podatne na wykonanie kodu na hoście poprzez niezweryfikowaną adnotację ścieżki konfiguracji. Runtime akceptuje dowolną adnotację io.katacontainers.config_path i ładuje wskazany plik TOML na hoście bez ograniczeń, co pozwala użytkownikowi pod na umieszczenie pliku w ścieżce widocznej dla hosta i dostarczenie konfiguracji wybierającej kontrolowany przez atakującego hipervisor lub binarny plik demona virtio-fs, wykonując kod jako root na hoście.

LightRAG do wersji 1.5.4 włącznie ma serwer API, który wiąże się ze wszystkimi interfejsami sieciowymi z wyłączonym uwierzytelnianiem domyślnie, co pozwala nieuwierzytelnionemu atakującemu sieciowemu na odczyt indeksowanych dokumentów, przesyłanie lub usuwanie dokumentów, modyfikację grafu wiedzy, anulowanie potoków, czyszczenie pamięci podręcznej i zużywanie zasobów LLM.

Meta Ads MCP przed wersją 1.0.109 ma podatność w AuthInjectionMiddleware.dispatch(), która bezwarunkowo przekazuje nieuwierzytelnione żądania Streamable HTTP do handlerów narzędzi MCP bez zwracania odpowiedzi 401, co pozwala każdemu wywołującemu z sieci na wywoływanie narzędzi MCP bez uwierzytelnienia. Gdy brakuje poświadczeń, handlery używają zmiennej środowiskowej META_ACCESS_TOKEN, a gdy wywołanie Meta Graph API nie powiedzie się, odpowiedź JSON-RPC zawiera surowy URL żądania z tokenem dostępu, co ujawnia poświadczenia nieuwierzytelnionemu wywołującemu.

crypto-js przed wersją 4.0.0 generuje losowość w CryptoJS.lib.WordArray.random() za pomocą niestandardowej wariacji generatora Multiply-With-Carry, zasilanego z Math.random(), zamiast kryptograficznie bezpiecznego źródła. Ten generator został wprowadzony w wersji 3.1.2-4 i pozostał w prawie wszystkich wydaniach 3.x. Żądania 128 lub 256 bitów entropii dają efektywne przestrzenie poszukiwań około 2^39 i 2^47 możliwości, co można łatwo przeszukać na zwykłym sprzęcie.

Nieprawidłowe zarządzanie uprawnieniami w API XML-RPC w Plesk przed wersją 18.0.80 pozwala uwierzytelnionemu resellerowi uzyskać sesję administracyjną dla konta użytkownika root.

Postiz, narzędzie do planowania postów w mediach społecznościowych, ma podatność na przechodzenie poza katalog (path traversal) w trasie serwującej lokalnie przechowywane media. Trasa nie wymaga uwierzytelnienia i nie normalizuje ścieżki, co pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików, w tym zmiennych środowiskowych z sekretami JWT i hasłami do baz danych.

Weaver (Fanwei) E-cology 9.0 w wersjach przed 10.52 zawiera podatność na przesyłanie plików, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie dowolnych plików, w tym webshelli JSP, poprzez wysłanie żądania POST do /workrelate/plan/util/uploaderOperate.jsp. Udane wykorzystanie prowadzi do zdalnego wykonania kodu.

Rozszerzenie Joomla SEBLOD w wersjach < 3.30.0, < 4.7.0, < 6.0.1 zawiera podatność na przechodzenie poza katalog (path traversal) bez uwierzytelnienia, umożliwiającą pobieranie plików zarówno z wewnątrz, jak i spoza katalogu głównego serwera.

Podatność na odczyt poza zakresem w deserializacji C++ w Apache Fory. Problem dotyczy wersji od 0.14.0 przed 1.5.0 podczas deserializacji struktur zawierających pola z liczbami całkowitymi z tagiem. Specjalnie spreparowane dane wejściowe mogą wywołać odczyt poza zakresem sterty w szybkiej ścieżce deserializacji, co może prowadzić do ujawnienia informacji lub odmowy usługi.

Podatność typu heap type confusion w Apache Fory C++ podczas deserializacji. Specjalnie spreparowane dane wejściowe mogą ominąć sprawdzanie zgodności typów podczas deserializacji polimorficznych inteligentnych wskaźników, co prowadzi do traktowania obiektu niezgodnego typu jako zadeklarowanego typu bazowego. Może to skutkować niezdefiniowanym zachowaniem, a potencjalnie odmową usługi lub wykonaniem dowolnego kodu.

Aplikacja TeamDavid Webbox udostępnia endpoint /internalRestart, który pozwala na wyłączenie serwera. Endpoint jest dostępny dla nieuwierzytelnionych użytkowników przez publiczny internet, a zamiast restartu serwer całkowicie się wyłącza. Atakujący może w ten sposób spowodować trwałą odmowę usługi, a przywrócenie działania wymaga ręcznej interwencji administratora.

Endpoint API w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora. Wysłanie specjalnie spreparowanego ciała JSON (co najmniej 8 znaków, zaczynającego się od cyfry) przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W zależności od stanu stosu lub możliwości ujawnienia canary, przepełnienie bufora może potencjalnie prowadzić do zdalnego wykonania kodu i pełnego przejęcia serwera.

Endpoint //serverClient_close.html w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora w wielu parametrach danych formularza. Przesyłanie nadmiernie długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.

Funkcjonalności przesyłania plików w aplikacji TeamDavid Webbox są podatne na przepełnienie bufora. Podanie nadmiernie długiej nazwy pliku w żądaniu przesyłania pliku przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.

Aplikacja TeamDavid Webbox ma podatność na wyciek pamięci, która pozwala nieautoryzowanemu aktorowi na odczyt wrażliwych informacji. Dostęp do URL „/.well-known/mta-sts.” powoduje, że aplikacja odpowiada zawartością pamięci. Poprzez wielokrotne żądania tego endpointu atakujący może uzyskać dostęp do wrażliwych informacji, w tym haseł użytkowników. Eksploitacja nie wymaga uwierzytelnienia.

Wtyczka Ajax Search Lite dla WordPressa przed wersją 4.14.5 nie zapobiega deserializacji niezaufanych danych wejściowych, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie PHP Object Injection. Gdy odpowiedni łańcuch POP jest obecny przez inną zainstalowaną wtyczkę, może to zostać wykorzystane do zdalnego wykonania kodu.

Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.

Wtyczka WP Events Manager dla WordPressa przed wersją 2.2.5 nie weryfikuje żądanej ilości podczas rejestracji na płatne wydarzenie i oblicza cenę na podstawie ilości kontrolowanej przez atakującego, co pozwala każdemu uwierzytelnionemu użytkownikowi na utworzenie zakończonej rezerwacji na płatne wydarzenie bez dokonania płatności.

Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa, we wszystkich wersjach do 1.2.3 włącznie, jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest uprawniony do wykonania akcji, co umożliwia nieuwierzytelnionym atakującym zmianę hasła dowolnych kont użytkowników, w tym administratorów.

Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa, we wszystkich wersjach do 1.2.3 włącznie, jest podatna na przejęcie konta przez nieprawidłową walidację resetowania hasła. Wtyczka nie weryfikuje poprawnie tożsamości użytkownika przed zresetowaniem hasła, co umożliwia nieuwierzytelnionym atakującym resetowanie haseł dowolnych kont, w tym administratorów.