Katalog podatności CVE

MapServer to system do tworzenia aplikacji GIS opartych na sieci Web. W wersji od 6.0 do 8.6.4 wyjście HTML OpenLayers dla SERVICE=WMS&REQUEST=GetMap&FORMAT=application/openlayers odzwierciedla kontrolowaną przez atakującego wartość X-Forwarded-Host bez escapowania jej dla łańcucha JavaScript w pojedynczych cudzysłowach. Gdy wdrożenie ufa nagłówkowi forwarded i nie ma skonfigurowanej stałej wartości ows_onlineresource lub MS_ONLINERESOURCE, osadzone pojedyncze cudzysłowy mogą uciec z generowanego łańcucha URL. Nieuwierzytelniony atakujący może spreparować URL, który wykona dowolny JavaScript w origin witryny MapServer, gdy ofiara go otworzy. Problem naprawiono w wersji 8.6.4.

Metacat to oprogramowanie repozytorium danych dla naukowców. MetacatSolrIndex.query przekazuje kontrolowany przez klienta parametr qt przez Apache SolrJ z punktów końcowych wyszukiwania, takich jak /d1/mn/v2/query/solr/, do uprzywilejowanego backendu Solr. Nieuwierzytelniony klient może wybrać handler /admin/file, a SolrJ przeformatowuje parametr na żądanie akceptowane nawet przy handleSelect=false w Solr 7.0 lub nowszym. Gdy Solr zwraca wybrany plik konfiguracyjny rdzenia, Metacat osadza surową zawartość w odpowiedzi błędu przetwarzania XML, ujawniając wewnętrzne pliki, takie jak solrconfig.xml. Problem naprawiono w wersji 3.4.2.

Cute Editor for ASP.NET 6.4 jest podatny na odbity cross-site scripting (XSS) z powodu niewłaściwej walidacji parametru GET Theme w pliku colorpicker_more.aspx. Zdalny, nieuwierzytelniony atakujący może stworzyć URL, który po otwarciu przez ofiarę w uwierzytelnionej sesji przeglądarki wykona dowolny JavaScript w kontekście bezpieczeństwa tej witryny.

W Dromara mayfly-go do wersji 1.11.5 wykryto podatność w funkcji RunMachineScript w pliku server/internal/machine/api/machine_script.go w komponencie Machine Script Feature. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Wykorzystanie nie wymaga konta administratora — dowolne konto z uprawnieniem machine:script:run i dostępem do tagów może osiągnąć wykonanie dowolnych poleceń na maszynach, których szablony zawierają placeholdery {{.param}}. Problem nie został naprawiony przez dostawcę.

Jeśli tryb logowania jest ustawiony na DEBUG lub używany jest nieprawidłowy ciąg połączenia MongoDB, logi aplikacji mogą gromadzić wrażliwe informacje (jeśli są używane), takie jak hasła i klucze dostępu AWS. Może to prowadzić do nieautoryzowanego dostępu do chronionych zasobów.

Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które umieszczają nazwę bazy danych w ciągu połączenia, mogą nieumyślnie wyłączyć szyfrowanie na poziomie pól. Może to prowadzić do przechowywania chronionych pól w postaci niezaszyfrowanej.

Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które łączą niezależne ustawienia szyfrowania z ustawieniami szyfrowania tego providera, mogą w sposób cichy utracić ustawienia TLS i mapy schematów. Prowadzi to do przechowywania chronionych pól w bazie danych bez szyfrowania.

W projekcie OmniBlocks workflow GitHub Actions disc.yml uruchamiał się przy zdarzeniach otwarcia i edycji zgłoszenia (issue) i wywoływał mutację createDiscussion dla każdego zgłoszenia zaklasyfikowanego jako off-topic, bez zapisu, że zgłoszenie zostało już przekonwertowane. Użytkownik mógł wielokrotnie edytować opis jednego zgłoszenia off-topic przed zakończeniem konwersji, powodując tworzenie wielu dyskusji dla tego samego zgłoszenia. Problem naprawiono commitem 627e0f0a16a7d74b09128106b57dd7e85d2545df.

OpenFeature Operator w wersji 0.9.2 i wcześniejszych pozwala najemcy, który może tworzyć obciążenia kontrolowane przez operatora, użyć adnotacji openfeature.dev/featureflagsource ze składnią NAMESPACE/NAME do odwołania się do FeatureFlagSource lub InProcessConfiguration w innej przestrzeni nazw. Na klastrach wielodostępnych operator o zasięgu klastra odczytuje ten zasób i materializuje wartości spec.envVars, spec.httpSyncBearerToken, URI synchronizacji oraz powiązane ConfigMapy w obciążeniu najemcy. Klastry jednodostępne nie są dotknięte, a wartości secretKeyRef i configMapKeyRef pozostają lokalne dla przestrzeni nazw.

W Dromara mayfly-go do wersji 1.11.5 wykryto lukę w nieznanej funkcji pliku server/internal/ai/api/ai.go w komponencie AI Assistant, prowadzącą do braku autoryzacji. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony. Obejście białej listy jest szerokie na jeden token — każde złożone polecenie zawierające curl, wget lub sed uruchamia się automatycznie bez zatwierdzenia, a zatwierdzenie pochodzi od tego samego użytkownika sesji (samozatwierdzenie).

Traccar to otwarty system śledzenia GPS. Przed wersją 6.14.0 uwierzytelniony użytkownik z uprawnieniami do zarządzania grupami i żądania raportów może utworzyć cykliczną hierarchię grup-rodziców i zażądać raportu trips lub stops dla urządzenia w tej hierarchii. GroupResource pozwala na cykl rodzica, a AttributeUtil.lookup podąża za rodzicami grup bez wykrywania cykli, zbioru odwiedzonych ani limitu głębokości, co powoduje, że wyszukiwanie nigdy się nie kończy, przypina wątek Jetty przy wysokim użyciu CPU i może wyczerpać pulę wątków web/API przy powtarzanych żądaniach.

W SourceCodester Drug Recommendation System 1.0 wykryto lukę w nieznanym przetwarzaniu pliku /db/drug_recommendor.sql, która prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty.

Verizon Cloud for Android (com.vcast.mediamanager) przed wersją 26.7.10 zawiera lukę path traversal, która pozwala współistniejącym złośliwym aplikacjom zapisywać kontrolowane przez atakującego bajty poza zamierzonym katalogiem tymczasowym poprzez dostarczenie spreparowanej wartości _display_name zawierającej sekwencje path-traversal przez eksportowane aktywności OneTouchUploadActivity i PrintShopCloudActivity. Atakujący mogą wykorzystać nieoczyszczoną konkatenację nazw plików w miejscu docelowym przez intencje ACTION_SEND lub ACTION_SEND_MULTIPLE, aby osiągnąć dowolny zapis plików i wstrzyknąć kontrolowaną treść do uwierzytelnionego konta Verizon Cloud bez interakcji użytkownika.

Scoold to platforma Q&A i wymiany wiedzy dla zespołów. Przed wersją 1.69.0 uwierzytelnieni użytkownicy niebędący członkami prywatnej przestrzeni mogą tworzyć treści w pytaniach należących do tej przestrzeni, ponieważ QuestionController.reply() i CommentController.createAjax() nie stosują sprawdzenia autoryzacji canAccessSpace używanego przez ścieżkę odczytu pytania. Przy scoold.is_default_space_public ustawionym na false i używaniu prywatnych przestrzeni użytkownik z ważną sesją i znanym lub możliwym do wyliczenia identyfikatorem pytania może wysyłać żądania do POST /question/{id} i POST /comment, powodując zapisanie odpowiedzi i komentarzy w wątku, którego nie może odczytać.

Scoold to platforma Q&A i wymiany wiedzy dla zespołów. Przed wersją 1.69.0 użytkownicy z osobistymi tokenami API mogą pobierać odpowiedzi z pytań w prywatnych przestrzeniach, do których nie mają dostępu, ponieważ ApiController.getPostReplies() nie stosuje canAccessSpace przed zwróceniem danych z GET /api/posts/{id}/answers. Problem występuje, gdy scoold.api_user_access_enabled i scoold.api_enabled są ustawione na true, a posiadacz tokena zna lub wylicza identyfikator prywatnego pytania. W takich warunkach endpoint pytania może odmówić dostępu, podczas gdy endpoint odpowiedzi zwraca treści prywatnych odpowiedzi.

WireGuard Portal (wg-portal) to webowy portal konfiguracyjny do zarządzania serwerem WireGuard. Od wersji 2.2.0 do 2.3.0 uwierzytelniony WebSocket statystyk GET /api/v0/ws subskrybuje TopicPeerStatsUpdated i TopicInterfaceStatsUpdated oraz przekazuje każde zdarzenie TrafficDelta bez autoryzacji per użytkownik w handleWebsocket(). Użytkownik o niskich uprawnieniach może wyliczać klucze publiczne peerów przez EntityId i monitorować wartości BytesReceived i BytesTransmitted dla peerów należących do innych użytkowników. To samo połączenie ujawnia interface_stats i nazwy interfejsów, które REST API ogranicza do administratorów.

CloudTAK to przeglądarkowe narzędzie Common Operating Picture i świadomości sytuacyjnej kompatybilne z TAK. Przed wersją 13.22.1 uwierzytelniony endpoint PUT /api/basemap przekazuje kontrolowany przez atakującego URL przez importBasemapURL() do fetch(url) bez klasyfikacji rozwiązanego adresu ani ponownej walidacji przekierowań. BasemapProtocol.isValidURL sprawdza tylko schemat HTTP lub HTTPS i nie jest stosowany na podatnej ścieżce importu. Bezpośrednie adresy wewnętrzne, alternatywne kodowania IP i przekierowania do adresów wewnętrznych mogą dotrzeć do metadanych chmurowych, loopback, prywatnych i CGNAT usług HTTP. Odpowiedź OptionalTileJSON odzwierciedla pola takie jak name, attribution i tiles[0] do wywołującego, co czyni request forgery pełnym odczytem, a nie ślepym, umożliwiając kradzież poświadczeń chmurowych i ujawnienie usług wewnętrznych.

Biblioteka rabbitmq-c przed wersją 0.16.0 zawiera błąd niedomiaru typu size_t w funkcji amqp_handle_input() w pliku librabbitmq/amqp_connection.c. Złośliwy serwer AMQP może wysłać zbyt krótką ramkę HEADER lub METHOD podczas logowania klienta, co prowadzi do odczytu poza zakresem bufora i awarii procesu. Podatność występuje również, gdy ruch AMQP nie jest chroniony przez TLS z walidacją certyfikatów.

Inicjalizacja resolvera DNS z pliku /etc/resolv.conf lub zmiennej środowiskowej LOCALDOMAIN, gdy lista wyszukiwania zawiera domenę o długości około 200 znaków lub więcej, w GNU C Library w wersjach 2.26 do 2.44 powoduje błąd asercji, który przerywa proces. Resolver obcina listę wyszukiwania przy kopiowaniu do bufora o stałym rozmiarze _res.defdname, ale kontrola spójności porównuje z niewłaściwym rozmiarem i nie obsługuje pierwszego wpisu, który się nie mieści, co prowadzi do niepowodzenia asercji.

Biblioteka AsyncHttpClient (AHC) w wersjach od 2.0.0 do 2.16.1 oraz 3.0.12 umożliwia wyciek poświadczeń origin podczas korzystania z proxy HTTP do połączeń HTTPS. NettyRequestFactory i NettyRequestSender.sendRequestWithNewChannel dołączają nagłówek Authorization do zwykłego żądania CONNECT przed ustanowieniem tunelu TLS, przez co poświadczenia Basic, Digest oraz tokeny NTLM, Kerberos lub SPNEGO są widoczne dla proxy i obserwatorów na trasie klient-proxy.