Katalog podatności CVE

Biblioteka uri-js w wersjach do 4.4.1 zawiera błąd nieprawidłowego dekodowania UTF-8 w funkcji pctDecChars(), która zamienia nieprawidłowe i zbyt długie sekwencje procentowe na metaznaki ASCII. Atakujący może przygotować specjalnie zakodowane ładunki, aby ominąć walidację dekodera platformy i wstrzyknąć sekwencje path traversal lub CRLF, które kolejne komponenty przetwarzają bez filtrowania.

Biblioteka http-cache-semantics w wersjach do 4.2.0 zawiera błąd walidacji pamięci podręcznej w funkcji _varyMatches(), która nieprawidłowo obsługuje wieloznaczniki nagłówka Vary z powodu porównywania ciągów znak po znaku. Atakujący może żądać adresów URL wcześniej pobranych przez innych klientów, aby otrzymać odpowiedzi z pamięci podręcznej przeznaczone dla innych użytkowników, ujawniając poufne informacje między klientami.

W silniku szablonów Quarkus Qute wykryto błąd. Gdy pomocnik sekcji {#eval} przetwarza podszablon, nie przekazuje informacji o typie zawartości szablonu nadrzędnego, co omija standardowe mechanizmy escapowania i pozwala na wyświetlenie niezaufanych danych jako surowego, nieescapowanego tekstu. Podatność może prowadzić do Cross-Site Scripting (XSS) i JSON Injection, umożliwiając zdalnemu atakującemu wykonanie dowolnego kodu w przeglądarce użytkownika lub manipulację danymi.

W komponencie cockpit-machines wykryto błąd. Podatność pozwala lokalnemu atakującemu na ujawnienie poufnych danych uwierzytelniających maszyny wirtualnej (VM), w tym haseł w postaci jawnej, poprzez analizę argumentów wiersza poleceń procesu podczas tworzenia lub instalacji VM. Komponent cockpit-machines przekazuje wartości haseł bezpośrednio w wierszu poleceń, co czyni je widocznymi dla innych lokalnych użytkowników w systemach, gdzie argumenty procesów nie są ograniczone. Skuteczne wykorzystanie prowadzi do ujawnienia informacji, potencjalnie kompromitując dostęp do VM.

W komponencie cockpit-machines wykryto błąd. Podatność pozwala lokalnemu atakującemu z możliwością analizy uruchomionych procesów na ujawnienie poufnych danych uwierzytelniających maszyny wirtualnej gościa (VM), takich jak rootPassword i userPassword. Dzieje się tak, gdy skrypt install_machine.py przekazuje te poświadczenia jako argument wiersza poleceń w formacie JSON podczas tworzenia lub instalacji VM. Ujawnienie jest ograniczone do okresu, gdy proces instalacji jest aktywny, i zależy od polityk widoczności procesów na hoście.

W komponencie cockpit-machines wykryto błąd. Podatność pozwala lokalnemu atakującemu z możliwością analizy metadanych procesów na ujawnienie poufnego tokenu offline Red Hat Subscription Management (RHSM). Token jest ujawniany, gdy jest przekazywany jako argument wiersza poleceń do skryptu pomocniczego podczas procesu walidacji tokenu. Skuteczne wykorzystanie może prowadzić do naruszenia poufności, ponieważ ujawniony token może być użyty do żądania tokenów dostępu.

md-editor-v3 to edytor Markdown dla Vue 3 napisany w JSX i TypeScript. W wersjach przed 6.5.4 funkcja wywołania zwrotnego highlight w useMarkdownIt() w pliku packages/MdEditor/layouts/Content/composition/useMarkdownIt.ts wstawia wartość języka bloku kodu do atrybutów HTML class i language bez escapowania lub konsekwentnego cytowania. Zarówno ścieżki renderowania z podświetlaniem, jak i bez niego osiągają tę wartość zwracaną, podczas gdy XSSPlugin filtruje tylko istniejące tokeny html_block i html_inline przed renderowaniem i dlatego nie może sprawdzić HTML generowanego przez renderer. Atakujący, który może dostarczyć Markdown, może użyć spreparowanych metadanych bloku kodu do wykonania JavaScript w origin aplikacji, gdy ofiara go wyrenderuje, w tym jako przechowywany cross-site scripting, gdy host utrwala Markdown. Problem został naprawiony w wersji 6.5.4.

SysReptor to w pełni konfigurowalna platforma do raportowania testów penetracyjnych. W wersjach przed 2026.68 nieuwierzytelniony atakujący posiadający publiczny link do notatki z prawem odczytu i zapisu może ujawnić przesłany plik lub obraz z tego samego projektu, aktualizując współdzieloną notatkę tak, aby odwoływała się do nazwy pliku docelowego. Kontrolowane przez użytkownika odwołanie powoduje, że logika autoryzacji współdzielonej notatki traktuje zasób jako dozwolony, po czym atakujący może go pobrać. Atakujący musi znać nazwę pliku, a problem nie pozwala na dostęp między projektami. Problem został naprawiony w wersji 2026.68.

Kyoo to samodzielnie hostowany serwer multimediów skupiony na filmach, serialach i anime. W wersjach przed 5.1.0 nieuwierzytelniony atakujący mógł zainicjować przepływ logowania OIDC z kontrolowanym przez siebie redirectUrl. Obsługa logowania w auth/oidc.go przechowywała ten URL wraz z nieprzejrzystym stanem logowania, a /auth/oidc/logged/{provider} dołączał wartości provider, token i error przed przekierowaniem przeglądarki ofiary bez walidacji miejsca docelowego. Ponieważ jednorazowy token nie był powiązany z sesją przeglądarki, która zainicjowała logowanie, atakujący, który nakłonił ofiarę do zakończenia uwierzytelniania OIDC, mógł przechwycić token w kontrolowanym przez siebie miejscu docelowym i wymienić go przez /auth/oidc/callback/{provider} na sesję Kyoo ofiary. Problem został naprawiony w wersji 5.1.0.

W serwerze multimedialnym Kyoo w wersjach przed 5.1.0 zarejestrowany użytkownik z uprawnieniem core.play mógł podać ścieżkę systemu plików zakodowaną w base64 do transkodera. Obsługa ścieżek sprawdzała jedynie prefiks Settings.SafePath, a nie weryfikowała istnienia rekordu w katalogu Kyoo, co pozwalało na odczyt ukrytych, tymczasowych lub niekatalogowanych plików w katalogu mediów, jeśli ścieżka była znana lub odgadnięta.

W Paymenter przed wersją 1.5.7 funkcja doUpgrade() polegała na Service::upgradable do sprawdzenia oczekującej aktualizacji, a następnie zwiększała saldo kredytu bez transakcji bazodanowej ani blokady. Uwierzytelniony klient z aktywną usługą podlegającą downgrade'owi mógł wysłać równoległe żądania downgrade'u, tworząc wiele rekordów aktualizacji i wielokrotnie zwiększając to samo saldo kredytu.

W bibliotece c-ares przed wersją 1.34.7 funkcja ares_dns_parse() ufała polom ANCOUNT, NSCOUNT i ARCOUNT kontrolowanym przez atakującego, zanim potwierdziła, że odpowiedź DNS zawiera wystarczającą liczbę bajtów. Złośliwa odpowiedź DNS mogła powodować rezerwację nieproporcjonalnie dużej pamięci sterty dla małej wiadomości, prowadząc do degradacji lub odmowy rozwiązywania nazw.

W frameworku AnyIO przed wersją 4.14.2 procesy robocze puli procesów były uruchamiane ze standardowym błędem podłączonym do potoku, którego rodzic nigdy nie opróżniał. Kod roboczy zapisujący wystarczającą ilość danych do sys.stderr mógł zapełnić potok i zablokować się przed zwróceniem odpowiedzi, powodując trwałe zablokowanie oczekującego wywołania puli procesów.

W stosie HTTP/2 biblioteki Netty wykryto lukę, która pozwala zdalnemu atakującemu na wstrzyknięcie zabronionych znaków, takich jak NUL, Line Feed i Carriage Return, do wartości pól nagłówka HTTP/2 z powodu niewystarczającej walidacji. Gdy wartości te przekraczają granicę tłumaczenia HTTP/2 na HTTP/1.1, mogą być wykorzystane do przemytu żądań, wstrzykiwania nagłówków lub rozdzielania odpowiedzi.

W komponencie Self Update Handler pakietu spatie Scotty do wersji 1.4.2 występuje podatność polegająca na pobieraniu kodu bez sprawdzania integralności. Funkcja SelfUpdater::update umożliwia zdalne przeprowadzenie ataku.

W komponencie Doctor Command Handler pakietu spatie Scotty do wersji 1.4.4 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego poprzez argument host. Funkcje DoctorCommand::checkSshConnectivity i DoctorCommand::checkRemoteTools umożliwiają zdalny atak.

Urządzenie Grandstream GWN7660ELR przed wersją firmware 1.0.27.6 zawiera podatność na ujawnienie informacji. Uwierzytelniony zdalny atakujący może wykorzystać usługę SNMP v2c z domyślną społecznością 'public' do pobrania szczegółowych danych systemowych.

W usłudze cockpit-ws występuje podatność na atak DoS. Zdalny, nieuwierzytelniony atakujący może wysłać specjalnie spreparowane żądanie, które w przypadku skonfigurowanego WebService.UrlRoot i braku końcowego ukośnika powoduje nieoczekiwane zakończenie działania usługi.

Rozszerzenie Semantic MediaWiki w wersjach 7.0.0 do 7.1.0 zawiera podatność na refleksyjne XSS w funkcji Special:Ask. Parametr 'cursor' jest niepodpisany i w pełni kontrolowany przez atakującego; brak walidacji prowadzi do wstrzyknięcia surowego HTML do strony.

Przed wersją 7.2.0 rozszerzenia Semantic MediaWiki dane debugowania zapytań (format=debug lub parametr 'debug' na Special:Ask) są generowane jako surowy HTML bez odpowiedniego kodowania kontekstu, co prowadzi do refleksyjnego XSS.