Katalog podatności CVE

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność niewłaściwej walidacji certyfikatów. Nieuwierzytelniony atakujący z dostępem do sieci sąsiedniej może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia i modyfikacji informacji.

W Vendure przed wersją 3.6.5 publiczne zapytania Shop API dotyczące produktów, kolekcji i aspektów łączą obowiązkowe filtry widoczności z filtrami dostarczonymi przez wywołującego za pomocą kontrolowanego przez niego filterOperator. Gdy filterOperator ma wartość OR, predykat dopasowujący ukrytą encję może ominąć zabezpieczenia Product.enabled, Collection.isPrivate lub Facet.isPrivate. Nieuwierzytelniony wywołujący może w ten sposób pobrać wyłączone produkty oraz prywatne kolekcje lub aspekty.

W nuxt-og-image od wersji 6.0.2 do 6.7.0 nieuwierzytelniona trasa /_og/d/** jest wystawiona przy domyślnych ustawieniach security.strict = false i security.secret = "", a parametr fonts jest dekodowany przez decodeOgImageParams. Wartości fonts[].path kontrolowane przez atakującego trafiają przez loadDefinedFonts do font-assets/node.js, gdzie wykonywane jest żądanie po stronie serwera bez walidacji schematu URL, pochodzenia, adresu ani przekierowań. Umożliwia to żądania do pętli zwrotnej, sieci prywatnych, link-local, metadanych chmurowych i innych wewnętrznych usług HTTP, a różnice w statusie i czasie odpowiedzi mogą ujawnić osiągalność usług. Wolne cele mogą też zajmować procesy renderujące obrazy OG.

W ansi2html w wersjach od 1.7.0a0 do 1.9.3 występuje podatność cross-site scripting w obsłudze hiperłączy OSC 8, która nie waliduje ani nie escapuje docelowych adresów URL. Atakujący kontrolujący tekst ANSI może wstrzyknąć schematy javascript: lub zakończyć atrybuty href, aby wykonać dowolne skrypty w kontekście stron wyświetlających przekonwertowany wynik.

W vm2 w wersjach przed 3.11.2 nieprawidłowo ograniczono dostęp do globalnej zmiennej VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL. Atakujący może uzyskać dostęp do tego wewnętrznego obiektu stanu poprzez globalThis i pozyskać wrażliwe elementy wewnętrzne piaskownicy.

W vm2 w wersjach od 3.11.4 do 3.11.6 niekompletnie filtrowano zarejestrowane wewnętrzne symbole Node.js na granicy piaskownicy. Filtry w lib/setup-sandbox.js oraz sprawdzenia symboli i pułapki zapisu w lib/bridge.js używają stałej listy znanych niebezpiecznych symboli, pomijając nodejs.stream.disturbed i nodejs.stream.errored, które są eksponowane na prototypach WebStream w nowszych wersjach Node.js. Gdy osadzający udostępnia obiekt WebStream i moduł stream/web piaskownicy, kod piaskownicy może uzyskać prawdziwe symbole hosta i użyć ich jako kluczy zapisu na obiektach strumieni hosta, uszkadzając widoczny dla hosta stan strumienia. Może to obejść logikę hosta opartą na publicznych pomocnikach stanu strumienia Node.js. Nie jest to prymityw wykonania kodu hosta w zgłoszonym dowodzie podatności. To niekompletna poprawka wcześniejszego problemu filtrowania symboli nodejs.*. Naprawiono w vm2 3.11.7.

W vm2 w wersjach od 3.9.6 przed 3.11.7 nieprawidłowo ograniczono dostęp do właściwości akcesorów na zamrożonych obiektach, co pozwala skryptom w piaskownicy obejść zabezpieczenia vm.freeze() i vm.readonly(). Atakujący może użyć Object.getOwnPropertyDescriptor() lub __lookupSetter__() do wyodrębnienia i wywołania setterów obiektów hosta bezpośrednio, modyfikując właściwości oznaczone przez osadzającego jako tylko do odczytu.

vm2 w wersjach przed 3.11.7 zawiera podatność obejścia listy dozwolonych modułów w funkcji isPathAllowedForModule, która używa dopasowania prefiksu ciągu znaków zamiast porównania z granicami ścieżki. Atakujący może uzyskać dostęp do niedozwolonych pakietów dzielących prefiks z modułami z listy dozwolonych, wykonując względne require z dozwolonych pakietów przy wyłączonym ładowaniu tranzytywnym.

vm2 w wersjach od 3.11.0 do 3.11.6 ujawnia bezwzględne ścieżki systemu plików hosta do kodu w sandboxie poprzez formatowanie stosu błędów. Kod dostarczony przez atakującego może wymusić na transformatorze źródła hosta zgłoszenie SyntaxError i odczytać właściwość .stack błędu, omijając redakcję ścieżek hosta po stronie sandboxa. Domyślne konfiguracje new VM() i new NodeVM() są podatne bez specjalnych opcji.

vm2 w wersjach <= 3.11.7 udostępnia hostowy moduł util w sandboxie jako niefiltrowaną płytką kopię, a przestarzały wbudowany moduł sys (alias hostowego util) jest udostępniany przez ogólny loader wbudowany. W Node.js >= 22.9 daje to kodowi w sandboxie dostęp do util.getCallSites(), który zwraca pełny stos wywołań procesu hosta, w tym bezwzględne ścieżki plików, nazwy funkcji i numery linii. Podatność została naprawiona w vm2 3.11.8.

W vgmstream do wersji r2117 wykryto lukę bezpieczeństwa w funkcji parse_mus w pliku src/meta/mus_acm.c. Manipulacja prowadzi do zużycia zasobów, a atak może być przeprowadzony zdalnie. Poprawka jest identyfikowana jako ae37662ad626254ddd96ad69ac263792d7a92024.

Podatność niewłaściwej neutralizacji danych wyjściowych w logach w team-alembic AshAuthentication pozwala nieuwierzytelnionemu atakującemu sfałszować wpisy logów aplikacji poprzez przesłanie tożsamości resetowania hasła zawierającej znaki nowej linii lub znaki kontrolne. Funkcja AshAuthentication.Strategy.Password.RequestPasswordReset.run/3 interpoluje argument tożsamości do szablonów Logger.warning/1 bez escapowania, obcinania lub ograniczenia typu, co pozwala atakującemu wybrać tag ważności i treść wpisów. Problem dotyczy ash_authentication od 4.2.0 przed 4.15.0 oraz od 5.0.0-rc.0 przed 5.0.0-rc.14.

W SmallRye JWT's AwsAlbKeyResolver, używanym do weryfikacji tokenów JWT podpisanych przez AWS Application Load Balancers, wykryto lukę. Gdy skonfigurowany jest dostawca kluczy AWS_ALB, resolver konstruuje URL pobierania klucza, bezpośrednio łącząc kontrolowaną przez atakującego wartość nagłówka kid z przychodzącego JWT bez sanityzacji znaków przejścia ścieżki lub separatorów zapytań. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu wymusić na serwerze aplikacji wysyłanie żądań GET do dowolnych ścieżek w tej samej domenie co skonfigurowany endpoint klucza.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność niewłaściwego ograniczenia ścieżki do katalogu restrykcyjnego (Path Traversal). Nisko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do dostępu do systemu plików przez atakującego.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność Server-Side Request Forgery (SSRF). Nisko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do fałszowania żądań po stronie serwera.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.3 zawiera podatność Cross-Site Request Forgery (CSRF). Nieuwierzytelniony atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do zdalnego wykonania.

Nieuwierzytelniona podatność Broken Access Control w BerqWP w wersjach <= 4.1.15. Podatność pozwala na obejście kontroli dostępu bez uwierzytelnienia.

Podatność Cross Site Scripting (XSS) wtyczki Geo Mashup w wersjach do 1.13.21 włącznie. Osoba z uprawnieniami autora (Contributor) może wstrzyknąć złośliwy skrypt do strony. Umożliwia to wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Podatność w bibliotece AshAuthentication (wersje od 0.2.0 do przed 4.15.0 oraz od 5.0.0-rc.0 do przed 5.0.0-rc.14) dotyczy nieprawidłowej weryfikacji podpisu kryptograficznego. Mechanizm unieważniania tokenów nie sprawdza podpisu, co pozwala atakującemu na neutralizację unieważnienia lub wstawienie dowolnych wierszy do zasobu tokenów.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce User Registration w wersjach do 5.2.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji, które powinny być chronione, np. do panelu administracyjnego lub wrażliwych zasobów.