Katalog podatności CVE

Jivejdon do wersji 5.0 zawiera podatność przechowywanego cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym na wstrzyknięcie skryptu do prywatnych krótkich wiadomości, ponieważ receiveshortmessage.jsp renderuje nieprzefiltrowane treści wiadomości. Atakujący mogą wysłać krótką wiadomość zawierającą skrypt, który ToolsUtil.convertURL() przepuszcza bez zmian, aby wykonać kod w przeglądarce odbiorcy po otwarciu.

Jivejdon do wersji 5.0 zawiera podatność przechowywanego cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym na wstrzyknięcie skryptu poprzez publikowanie nieoczyszczonych treści wiadomości forumowych. Treści wiadomości są renderowane przez messageListBody.jsp z filter="false" i domyślnymi filtrami nieescapującymi, co powoduje wykonanie skryptu w przeglądarce każdego użytkownika przeglądającego wątek.

jivejdon od commita 595d8d22 do commita ee67a65e zawiera podatność na trwały cross-site scripting w domyślnie włączonym filtrze TextStyle, który wstawia niezweryfikowane adresy URL do atrybutów href kotwic. Uwierzytelnieni atakujący mogą publikować wiadomości z linkami javascript: lub adresami URL łamiącymi cytowanie, aby wykonać JavaScript, gdy inni użytkownicy klikną lub najadą na wyrenderowane linki.

Jivejdon do wersji 5.0 zawiera podatność na odbity cross-site scripting w application/message/postThread.jsp, która pozwala atakującym wstrzyknąć skrypt przez parametry to i tag. Atakujący mogą wysyłać spreparowane linki do uwierzytelnionych użytkowników, przełamując niekodowane literały ciągów JavaScript w linii, aby wykonać dowolny JavaScript w sesji ofiary.

Jivejdon od commita 5489372d do commita ee67a65e zawiera podatność na odbity cross-site scripting w application/query/taggedThreadList.jsp, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypt przez niekodowane parametry tagID i count. Atakujący mogą spreparować link z ładunkiem zamykającym skrypt w tagID lub count, wyzwalanym, gdy start przekracza zero, aby wykonać JavaScript w przeglądarkach ofiar.

Jivejdon do wersji 5.0 zawiera podatność na obejście autoryzacji w SubscriptionServiceImp.deleteSubscription, która pozwala uwierzytelnionym użytkownikom usuwać subskrypcje innych użytkowników po ID. Atakujący mogą wysłać akcję usunięcia do /account/protected/sub/subSaveAction z cudzym subscriptionId, aby usunąć subskrypcje wątków, forów, tagów lub kont.

Jivejdon od commita d58a36b0 do commita ee67a65e zawiera podatność na brak autoryzacji w UpdateThreadToForumAction, która pozwala uwierzytelnionym użytkownikom przenosić wątki innych użytkowników. Atakujący mogą wysłać spreparowane wartości threadId i forumId do /message/threadToForum/save, aby przenieść dowolny wątek bez odpowiedzi do dowolnego forum.

Hazelcast przed wersjami 5.4.5, 5.5.10 i 5.6.1 zawiera błąd niewłaściwej walidacji danych od złośliwego klienta, co umożliwia dowolny odczyt z pamięci heap i poza-heap członka klastra oraz przestrzeni adresowej procesu JVM. Ta sama wada może spowodować awarię członków klastra, a w niektórych konfiguracjach Hazelcast Enterprise Edition uszkodzenie pamięci z możliwym wykonaniem dowolnego kodu. Problem naprawiono w wersjach 5.4.5, 5.5.10, 5.6.1 i 5.7.0.

Hazelcast to platforma danych czasu rzeczywistego. W wersjach przed 5.4.5, 5.5.10 i 5.6.1 brak kontroli autoryzacji w API IMap Predicates pozwala złośliwemu klientowi z ograniczonymi uprawnieniami na wykonanie dowolnego kodu na członku klastra Hazelcast.

fast-jwt to szybka implementacja JSON Web Token. W wersji 6.2.4 biblioteka może błędnie zaklasyfikować surowy publiczny klucz JWK/JWKS jako sekret HMAC, ponieważ funkcja performDetectPublicKeyAlgorithms traktuje ciągi niebędące PEM jako materiał klucza symetrycznego. Jeśli HS256 jest dozwolony lub wywnioskowany, atakujący znający dokładne bajty klucza publicznego może użyć ich jako klucza HMAC i utworzyć token z dowolnymi roszczeniami.

fast-jwt to szybka implementacja JSON Web Token. W wersjach przed 6.3.0 funkcja createVerifier akceptuje prawidłowo podpisany JWT, którego ładunek jest tablicą JSON, ponieważ walidator nie odrzuca tablic i pomija sprawdzanie roszczeń takich jak exp, nbf, iss, aud, sub, jti czy nonce. Atakujący mogący wpłynąć na podpisany token może obejść zabezpieczenia przed wygaśnięciem, wystawcą, odbiorcą, podmiotem, unieważnieniem i powtórzeniem.

fast-jwt od wersji 6.2.0 do 6.3.0 może błędnie zaklasyfikować tekst klucza publicznego RSA jako sekret HMAC, gdy klucz zawiera nie-białe znaki przed nagłówkiem PEM. W src/crypto.js funkcja performDetectPublicKeyAlgorithms przycina białe znaki, ale publicKeyPemMatcher pozostaje zakotwiczony na początku, więc komentarze, znaki kontrolne, znaki o zerowej szerokości lub tekst opakowujący mogą uniemożliwić wykrycie PEM i doprowadzić do użycia HMAC. Atakujący znający bajty klucza publicznego może podpisać dowolne oświadczenia HS256 tym materiałem publicznym, gdy HS256 jest wywnioskowany lub dozwolony, co skutkuje obejściem uwierzytelniania lub autoryzacji. Lista dozwolonych algorytmów tylko asymetrycznych zapobiega atakowi. Problem naprawiono w wersji 6.3.0.

fast-jwt to szybka implementacja JSON Web Token (JWT). Przed wersją 6.3.0, createVerifier w fast-jwt akceptuje Infinity dla clockTolerance, ponieważ walidacja opcji sprawdza typ i negatywność, ale nie skończoność. W validateClaimDateValue, nieskończone dodatnie i ujemne modyfikatory sprawiają, że porównania exp i nbf zawsze przechodzą, co pozwala na akceptację wygasłych lub jeszcze nieaktywnych tokenów. Pamięć podręczna weryfikatora również wyprowadza nieskończone granice, więc wpisy utworzone w tej konfiguracji mogą pozostać ważne do czasu wykluczenia. Eksploatacja wymaga administratora aplikacji lub równoważnej ścieżki konfiguracji, aby ustawić clockTolerance na Infinity. Ten problem został naprawiony w wersji 6.3.0.

fast-jwt to szybka implementacja JSON Web Token. W wersjach przed 6.3.1 funkcja createVerifier akceptuje niepodpisany JWT, gdy klucz jest pustym ciągiem lub null, a lista dozwolonych algorytmów jest niepusta. Fałszywe klucze synchroniczne omijają prepareKeyOrSecret, a pusta sygnatura omija weryfikację, co pozwala atakującemu przesłać token z dowolnymi roszczeniami bez znajomości klucza podpisującego.

fast-jwt to szybka implementacja JSON Web Token (JWT). Przed wersją 6.3.4, pamięć podręczna createVerifier w fast-jwt może nadal akceptować wcześniej ważny, podpisany JWT po jego czasie exp, gdy buforowanie jest włączone, a token ma exp, ale nie ma iat. W src/verifier.js, cacheSet wyprowadza termin ważności pamięci podręcznej tylko wtedy, gdy obecne jest iat, więc pamięć podręczna używa cacheTTL, a późniejsze trafienie w pamięci podręcznej zwraca zapisany payload przed ponownym sprawdzeniem wygaśnięcia przez verifyToken. Atakujący, który może powtórzyć ten sam buforowany token nośnika, może przedłużyć dostęp do czasu wygaśnięcia wpisu w pamięci podręcznej, ale nie może sfałszować tokena przez ten problem. Ten problem został naprawiony w wersji 6.3.4.

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.3 i 9.3.0, AdonisJS HTTP Server wstawia wartości parametrów trasy do adresów URL bez encodeURIComponent w wspólnym helperze createURL() używanym przez Router.makeUrl() i Response.redirect().toRoute(). Jeśli aplikacja umieszcza dane kontrolowane przez atakującego w dynamicznym pierwszym segmencie ścieżki i używa wygenerowanego adresu URL trasy jako celu przekierowania, wartość zaczynająca się od ukośnika może wyprodukować zewnętrzny URL względny do schematu. Parametry wieloznaczne są dotknięte tym samym brakiem kodowania, podczas gdy API celowo akceptujące pełne adresy URL przekierowań nie są dotknięte. Atakujący może przekierować użytkowników z zaufanej aplikacji na witrynę kontrolowaną przez atakującego, ułatwiając phishing lub nadużycie przepływów uwierzytelniania i OAuth. Ten problem został naprawiony w wersjach 8.2.3 i 9.3.0.

Banks generuje znaczące prompty LLM przy użyciu prostego języka szablonów. Przed wersją 2.5.0, Banks Prompt.chat_messages() próbuje sparsować każdą linię wyrenderowanego wyniku szablonu jako JSON ChatMessage. Gdy aplikacja renderuje niezaufane dane i przekazuje zwrócone obiekty ChatMessage do dostawcy LLM, JSON kontrolowany przez atakującego może przekroczyć granicę promptu i stać się wiadomością systemową, asystenta lub narzędzia, ponieważ ChatMessage.role akceptuje dowolne ciągi. Może to nadpisać instrukcje aplikacji, zmienić zamierzoną strukturę promptu lub zdezorientować dalsze przetwarzanie narzędzi i wiadomości. Ten problem został naprawiony w wersji 2.5.0.

Banks to biblioteka generująca prompty LLM przy użyciu prostego języka szablonów. W wersjach przed 2.5.1 DirectoryPromptRegistry nie odrzuca dowiązań symbolicznych dla pliku index.json oraz plików .jinja, co w aplikacjach z niezaufanymi użytkownikami może prowadzić do ujawnienia, odczytu lub nadpisania plików poza katalogiem rejestru.

Biblioteka Mechanize jest używana do automatyzacji interakcji z witrynami. Przed wersją 2.14.1, Mechanize wysyła nagłówki poświadczeń dostarczone przez wywołującego do innego hosta po przekierowaniu HTTP. Mechanize#request_headers= jest ponownie stosowane przez Mechanize::HTTP::Agent#request_add_headers nawet po tym, jak Mechanize::HTTP::Agent#response_redirect usuwa nagłówki per-request, a listy chronionych nagłówków pomijają Proxy-Authorization i Cookie2. Atakujący, który kontroluje cel przekierowania, może przechwycić tokeny nośnika lub ciasteczka sesji dostarczone przez request_headers= lub argument nagłówków per-request, podczas gdy Mechanize#cookie_jar i Mechanize::HTTP::AuthStore nie są dotknięte. Ten problem został naprawiony w wersji 2.14.1.

Biblioteka Mechanize przed wersją 2.14.1 nieprawidłowo traktuje przekierowania jako samego pochodzenia, gdy host się zgadza, bez spójnego porównywania schematu i portu. Przekierowanie HTTPS na HTTP na tym samym hoście może wysłać nagłówki Authorization i Cookie w postaci zwykłego tekstu, a przekierowanie na inny port może wysłać nagłówek Cookie do innej usługi. Problem dotyczy nagłówków dostarczonych przez wywołującego i może ujawnić poświadczenia.