Katalog podatności CVE

webonyx graphql-php przed wersją 15.32.3 ma podatność na wyczerpanie stosu w parserze GraphQL\Language\Parser, który wykonuje rekurencyjne zejście bez limitu rekurencji w parseSelectionSet, parseValueLiteral i parseTypeReference. Zdalny atakujący może przesłać głęboko zagnieżdżone zestawy selekcji, wartości obiektów lub list, co prowadzi do wyczerpania stosu procesu PHP podczas parsowania przed walidacją zapytania. Może to spowodować SIGSEGV i zakończenie procesów PHP-FPM lub innych długo działających procesów.

JHipster od wersji 7.0.0 do 9.4.0 ma podatność w generowanych aplikacjach reaktywnych (Spring WebFlux, Spring Data R2DBC, SQL). Parametr sort kontrolowany przez atakującego jest przekazywany do createOrderByFields w EntityManager_reactive.java.ejs, a następnie renderowany do klauzuli ORDER BY bez walidacji lub cytowania. Protokół R2DBC simple query może wykonać dodatkowe instrukcje oddzielone średnikami. Uwierzytelniony użytkownik może czytać wrażliwe tabele, modyfikować lub usuwać dane, lub usuwać tabele.

Komponent file-upload w Malcolm zawiera prawie niezmodyfikowany serwer PHP FilePond (pqina/filepond-server-php). Upstream index.php udostępnia trasę fetch API, która instruuje serwer, aby pobrał dowolny URL za pomocą curl (z FOLLOWLOCATION) i dla żądań HEAD przechowuje odpowiedź w katalogu transfer i zwraca ID transferu, umożliwiając odczyt pobranej zawartości.

Usługa Arkime live capture (arkime-live) w Malcolm działa z network_mode: host, wystawiając port 8005 na wszystkich interfejsach sieciowych (viewHost=0.0.0.0). Arkime ufa nagłówkowi X-Forwarded-User z dowolnego adresu IP (userAuthIps=::,0.0.0.0/0) i automatycznie tworzy użytkowników z pełnym dostępem. passwordSecret jest zaszyty na stałe do publicznej wartości "Malcolm". Atakujący w sieci może ominąć nginx całkowicie, łącząc się bezpośrednio z portem 8005 z podrobionym nagłówkiem tożsamości.

Aplikacja Flask kiosk w Malcolm udostępnia endpoint POST /script_call/<script> bez uwierzytelniania i z wildcard CORS. Atakujący może wymusić na przeglądarce operatora wykonanie dowolnych poleceń zarządzających przez CSRF, w tym control.py --wipe, które trwale usuwa wszystkie przechwycone dane sieciowe i logi, lub control.py --stop, które oślepia monitoring bezpieczeństwa.

Frontowy reverse proxy nginx w Malcolm definiuje lokalizację "Dashboards → Arkime shortcut" używając matchera regex bez rozróżniania wielkości liter, ale przepisania (rewrite) z rozróżnianiem wielkości liter. Żądanie, którego segment ścieżki nie jest dokładnie małymi literami (np. /IDDASH2ARK/...) wchodzi do lokalizacji (matcher działa), ale omija przepisanie (brak przekierowania), więc nginx przechodzi do proxy_pass lokalizacji do backendu Arkime. Ta lokalizacja jest jedyną proxowaną lokalizacją w dostarczonej konfiguracji, która nie zawiera pliku uwierzytelniania per lokalizacja, więc żądanie dociera do Arkime bez uwierzytelnienia. Ta sama lokalizacja przekazuje również nagłówek X-Forwarded-User dostarczony przez klienta bez nadpisania, a Arkime jest skonfigurowany, aby ufać X-Forwarded-User jako nazwie uwierzytelnionego użytkownika — więc nieuwierzytelniony wywołujący z sieci może dotrzeć do backendu Arkime, podając podrobioną, automatycznie utworzoną tożsamość.

Potok przetwarzania uploadów w Malcolm (scripts/safe-extract.py) egzekwuje limity liczby wpisów, głębokości zagnieżdżenia i całkowitego rozmiaru nieskompresowanego podczas rozpakowywania archiwów kontenerowych (zip/tar/rar/7z przez libarchive), ale te limity nie są stosowane, gdy przesłany plik jest pojedynczym strumieniem skompresowanym (.gz, .bz2, .xz, .lzma, .lz), który nie jest archiwum .tar.*. Każdy uwierzytelniony użytkownik uprawniony do przesyłania plików PCAP/log może przesłać mały, wysoko kompresowalny plik (np. bombę gzip), który dekompresuje się do praktycznie nieograniczonego rozmiaru na dysku, wyczerpując współdzielony wolumen Docker używany przez OpenSearch, Logstash, Arkime i Zeek, i zakłócając platformę dla wszystkich użytkowników.

Warstwa kontroli dostępu oparta na rolach (RBAC) nginx Lua w Malcolm decyduje, czy uwierzytelniony użytkownik może uzyskać dostęp do ścieżki ograniczonej rolą (np. /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, punkty uploadu) przez dopasowanie wzorca do surowego, percent-encoded URI żądania. Sam nginx wybiera jednak, która lokalizacja faktycznie obsługuje żądanie, używając zdekodowanego, znormalizowanego URI. Ponieważ kontrola RBAC nigdy nie dekoduje percent-encoding, uwierzytelniony użytkownik z niskimi uprawnieniami może zażądać ścieżki admin-only używając percent-encoding (np. /%68tadmin.php) i nginx przekieruje go do ograniczonej lokalizacji, podczas gdy brama Lua RBAC oceniająca nieodkodowany surowy string nie znajdzie żadnego ograniczenia i przyzna dostęp.

Rewers proxy oparty na nginx w Malcolm ma niespójność normalizacji ścieżek URL między warstwą RBAC opartą na Lua a logiką routingu nginx. Uwierzytelniony użytkownik może sformułować specjalnie sformatowaną ścieżkę, aby ominąć ograniczenia ról i uzyskać dostęp do administracyjnych lub chronionych endpointów, w tym upload plików, serwer PHP, htadmin i interfejsy zarządzania uwierzytelnianiem.

Niebezpieczne uprawnienia do plików w handlerze połączeń CodeCatalyst w AWS Toolkit for VS Code przed wersją 4.10.0 pozwalały lokalnym użytkownikom uzyskać tokeny CodeCatalyst poprzez odczyt plików cache tokenów, które były czytelne dla wszystkich. Aby złagodzić ten problem, użytkownicy powinni zaktualizować do wersji 4.10.0 lub nowszej.

JHipster przed wersjami generator-jhipster 9.4.0 i react-jhipster 1.1.0 ma podatność, w której generowane aplikacje mogą przechowywać dane Blob kontrolowane przez atakującego i towarzyszące wartości ContentType, zwracać je przez REST i przekazywać do wygenerowanego pomocnika openFile. Pomocnik używa zwróconego ContentType jako typu MIME Bloba i otwiera URL obiektu, co pozwala uwierzytelnionemu użytkownikowi z dostępem do encji z Blobem przechowywać aktywną zawartość HTML lub SVG, która może wykonać się w kontekście aplikacji, gdy otworzy ją uprzywilejowany użytkownik.

msgpack5 przed wersją 6.1.0 ma podatność, w której dekoder odczytuje czterobajtową długość wartości map32 przed walidacją, czy pełny pięciobajtowy nagłówek jest dostępny. Z tego powodu obcięty nagłówek map32 powoduje sprawdzone odczytanie poza zakresem bufora i rzuca RangeError zamiast IncompleteBufferError, co może nieoczekiwanie zakończyć żądanie, strumień lub worker w aplikacjach oczekujących na dodatkowe bajty po IncompleteBufferError.

Obejście weryfikacji nazwy hosta w GnuTLS v3.8.13 pozwala atakującym obejść mechanizm fallback Common Name i podsłuchiwać komunikację za pomocą spreparowanego certyfikatu.

CVE zostało odrzucone, ponieważ jest duplikatem innego CVE.

CVE zostało odrzucone, ponieważ jest duplikatem innego CVE.

CVE zostało odrzucone, ponieważ jest duplikatem CVE-2026-60089.

Pakiet 'github.com/moby/sys/user' dostarcza narzędzia Go do parsowania i wyszukiwania wpisów w plikach baz danych użytkowników i grup w stylu uniksowym. Wersje przed 0.4.1 nie ograniczają wystarczająco liczby wpisów podczas parsowania plików w stylu '/etc/passwd' lub '/etc/group', co pozwala atakującemu dostarczającemu specjalnie spreparowany plik na nadmierne zużycie pamięci i potencjalne zakończenie procesu z powodu braku pamięci.

Błąd egzekwowania polityki w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi obejść wyłączone przekazywanie poczty, wykorzystując akcję Sieve notify do wysyłania kopii treści i nagłówków wiadomości na dowolny adres.

Podatność autoryzacyjna w Zimbra Collaboration Suite w żądaniu GrantRightsRequest pozwala atakującemu z dostępem do uwierzytelnionego konta na nadanie innemu lokalnemu kontu prawa loginAs, tworząc trwały dostęp do skrzynki pocztowej i uprawnienia do wysyłania poczty, które przetrwają zmianę hasła i wygaśnięcie sesji.

Obejście autoryzacji w handlerze EWS FindItem w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.19 pozwala uwierzytelnionemu użytkownikowi z włączonym EWS na odczyt pełnych elementów skrzynki pocztowej, w tym surowego MIME i załączników, z dowolnych lokalnych kont bez nadania współdzielenia lub delegacji.