Katalog podatności CVE

Podatność path traversal istnieje w Bower decompress-zip do wersji 0.3.3. Podatność zlokalizowana w `lib/decompress-zip.js` nieprawidłowo waliduje ścieżki wpisów archiwum podczas rozpakowywania ZIP. Spreparowane archiwum ZIP zawierające wpisy prowadzące do katalogów sąsiadujących z prefiksem może spowodować zapis plików poza zamierzonym katalogiem rozpakowania. Skuteczne wykorzystanie może pozwolić na dowolne nadpisanie plików, kompromitację aplikacji lub zdalne wykonanie kodu w zależności od środowiska docelowego i zapisywalnych ścieżek sąsiadujących.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. W wersjach przed 6.1.0 utworzenie msgpack5 z pustym lub częściowym obiektem opcji wyłącza domyślną ochronę protoAction: 'error'. Zdekodowana mapa zawierająca klucz __proto__ może następnie zastąpić prototyp zdekodowanego obiektu, potencjalnie zmieniając dziedziczone właściwości lub dalsze zachowanie, choć Object.prototype nie jest modyfikowany globalnie.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. Przed wersją 6.1.0, dekoder strumieniowy rekurencyjnie wywołuje sam siebie dla każdej kompletnej wartości MessagePack pozostałej w porcji. Zdalny peer może wysłać jedną porcję zawierającą wiele małych poprawnych wartości, powodując rekurencję proporcjonalną do liczby wartości, wyczerpując stos JavaScript i przerywając proces lub strumień. Problem naprawiono w wersji 6.1.0.

msgpack5 przed wersją 6.1.0 traktuje zarezerwowany bajt 0xc1 jako niekompletne wejście zamiast nieprawidłowego. Gdy strumień zaczyna się od 0xc1, kolejne dane pozostają w buforze, czekając na bajty, które nigdy nie uczynią wartości prawidłową, co pozwala zdalnemu peerowi wyczerpać pamięć.

msgpack5 przed wersją 6.1.0 nie ma limitu głębokości zagnieżdżenia dla tablic i map, co pozwala atakującemu dostarczającemu dane MessagePack na przesłanie głęboko zagnieżdżonych kontenerów, które wyczerpują stos JavaScript i przerywają działanie procesu, workera lub obsługi żądań.

W msgpack5 przed wersją 6.1.0 dekoder strumieniowy ponownie przetwarza niekompletną tablicę lub mapę od początku za każdym razem, gdy nadejdzie kolejny fragment danych. Zdalny peer może podzielić jeden prawidłowy kontener MessagePack na wiele małych fragmentów, powodując wielokrotne dekodowanie już ukończonych elementów, co prowadzi do kwadratowego zużycia CPU i blokowania pętli zdarzeń.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarek. W wersjach przed 6.1.0 dekodowanie ujemnej liczby całkowitej 64-bitowej ze znakiem modyfikuje odpowiednie bajty w buforze wejściowym dostarczonym przez wywołującego podczas obliczania wartości. Aplikacje, które przechowują lub ponownie wykorzystują zakodowane dane wejściowe do kontroli integralności, logowania lub późniejszego przetwarzania, mogą zaobserwować ciche uszkodzenie danych; liczby dodatnie i inne typy wartości MessagePack nie są objęte problemem. Problem naprawiono w wersji 6.1.0.

Pydantic AI to framework agentów Pythona do budowania aplikacji i przepływów pracy z Generative AI. Od wersji 1.34.0 do 1.107.4 i 2.28.0, endpoint Agent.to_web() i clai web development chat ma brak walidacji typu zawartości żądania. Strona odwiedzona przez programistę może wysłać żądanie zgodne z przeglądarką do serwera czatu hostowanego na loopbacku, powodując uruchomienie agenta i wykonanie narzędzi z uprawnieniami i poświadczeniami lokalnego procesu; decyzje o zatwierdzeniu przekazywane przez klienta również pozostawiają narzędzia requires_approval=True narażone. Wiązanie do localhost nie zapobiega dotarciu strony przeglądarki do adresu loopback. Problem naprawiono w wersjach 1.107.4 i 2.28.0.

Pydantic AI od wersji 1.77.0 do 1.107.2 oraz od 2.24.0 do wersji 2.24.0 (oraz 2.24.0?) — poprawnie: przed 1.107.2 i 2.24.0 — w web_fetch_tool, lokalnego fallbacku WebFetch oraz zdalnych pobieraniach mediów FileUrl buforuje całą odpowiedź HTTP przed egzekwowaniem kontroli rozmiaru. Adres URL modyfikowany przez atakującego może wysyłać dowolnie dużą odpowiedź, wyczerpując pamięć procesu i powodując awarię workera.

Pydantic AI to framework Pythona do budowania aplikacji i przepływów pracy z Generative AI. Od wersji 0.3.4 do 1.107.4 i 2.27.1 instrumentacja OpenTelemetry skonfigurowana z InstrumentationSettings(include_content=False) może eksportować prompty ponownych prób poza wywołaniami narzędzi w gen_ai.input.messages i pydantic_ai.all_messages. Agenci używający NativeOutput, PromptedOutput lub walidatorów wyjścia na wyjściu tekstowym mogą w ten sposób ujawnić informacje zwrotne z walidacji, w tym nieprawidłowe wartości modelu cytowane w tej informacji zwrotnej, czytelnikom backendu telemetrii. Ponowne próby wywołań narzędzi i wdrożenia, które nie używają include_content=False, nie są objęte tą konkretną ścieżką. Problem naprawiono w wersjach 1.107.4 i 2.27.1.

Pydantic AI od wersji 1.34.0 do 1.107.5 oraz od 2.24.0 do 2.30.0 — czyli przed 1.107.5 i 2.30.0 — w Agent.to_web() i serwerze czatu webowego clai nie weryfikuje nagłówka Host, co pozwala stronie internetowej odwiedzanej przez dewelopera na użycie DNS rebinding, aby dotrzeć do agenta działającego na loopbacku jako usługa same-origin. Wroga strona może czytać wyświetlany interfejs i wysyłać żądania czatu, które wykonują narzędzia agenta z uprawnieniami i poświadczeniami lokalnego procesu.

Pydantic AI to framework Pythona do budowania aplikacji i przepływów pracy z Generative AI. Od wersji 0.3.4 do 1.107.6 i 2.44.0 instrumentacja OpenTelemetry skonfigurowana z InstrumentationSettings(include_content=False) może nadal eksportować wrażliwą zawartość agenta poprzez zdarzenia exception.message i exception.stacktrace, opisy statusu błędów oraz model_request_parameters zawierające instrukcje lub prompted_output_template. Ujawnione dane są dostępne dla czytelników skonfigurowanego backendu telemetrii i mogą obejmować informacje zwrotne z narzędzi, treści błędów dostawcy, instrukcje środowiska wykonawczego i szablony wyjścia strukturalnego, mimo że atrybuty wiadomości są redagowane. Problem nie przyznaje nowego dostępu do danych agenta, a wdrożenia, które nie używają include_content=False, nie są objęte obejściem ustawienia. Problem naprawiono w wersjach 1.107.6 i 2.44.0.

Pydantic AI od wersji 1.77.0 do 1.107.6 oraz od 2.24.0 do 2.44.0 — czyli przed 1.107.6 i 2.44.0 — w lokalnym web_fetch_tool i WebFetch local fallback przetwarza odpowiedzi serwera z kwadratową złożonością przy ekstrakcji tytułów, normalizacji białych znaków i numerowaniu list uporządkowanych. Strona kontrolowana przez atakującego o umiarkowanym rozmiarze może zablokować pętlę zdarzeń na dłuższy czas, spowalniając inne uruchomienia agentów i żądania, podczas gdy nieobsługiwane kodeki lub nadmierne zagnieżdżenie HTML/JSON może przerwać pojedyncze uruchomienie.

Podatność na deserializację niezaufanych danych w MainWP Child (mainwp-child) pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 6.2.1.

Obsidian Desktop przed wersją 1.14.0 zawiera podatność na obejście filtra w komponencie MathJax 3.2.2 Safe, która pozwala atakującym na wykonanie dowolnego kodu przez osadzenie spreparowanej wartości \href z bajtem TAB w schemacie URL, powodując, że filterURL generuje pusty protokół, który omija ograniczenia safeProtocols. Atakujący mogą stworzyć notatkę ze złośliwą formułą MathJax, która renderuje się jako kotwica javascript: URL, a po kliknięciu przez ofiarę w Live Preview wykonuje się w rendererze skarbca z włączoną integracją Node przez require('child_process'), osiągając wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik pulpitu.

Obsidian Desktop przed wersją 1.14.0 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na tworzenie złośliwych notatek Markdown wykorzystujących niedostateczną sanityzację atrybutu data-background-iframe, która omija DOMPurify i jest przetwarzana przez dołączony Reveal.js 4.3.1 w podstawowym pluginie Slides, pozwalając na wykonanie javascript: URL w wynikowym iframe tła. Ponieważ integracja Node jest włączona, a izolacja kontekstu wyłączona w rendererze skarbca Obsidian, wstrzyknięty skrypt może wywołać parent.require() w celu dostępu do API Node, takich jak fs i child_process, umożliwiając wykonanie dowolnych poleceń systemu operacyjnego, gdy ofiara otworzy notatkę i ręcznie uruchomi prezentację.

Podatność w funkcji ConfirmNameConstraints() w pliku wolfcrypt/src/asn.c biblioteki wolfSSL w wersjach 5.9.1 i 5.9.2 pozwala atakującemu wywołać odmowę usługi (DoS) poprzez dostarczenie spreparowanych certyfikatów urzędu certyfikacji. W efekcie klienci TLS oparte na wolfSSL błędnie odrzucają prawidłowe certyfikaty bez rozszerzenia SAN.

HashiCorp go-getter przed wersją 1.8.10 oraz go-getter/v2 przed wersją 2.2.5 jest podatny na path traversal podczas pobierania katalogów z S3 i GCS, co może umożliwić zapisywanie plików poza docelowym katalogiem.

FFmpeg do wersji 9.0.2 zawiera podatność na wyczerpanie stosu w funkcji av_encryption_init_info_free() w libavutil/encryption_info.c, która rekurencyjnie zwalnia listy powiązane AVEncryptionInitInfo budowane przez demuxer MOV w mov_read_pssh(). Atakujący może dostarczyć spreparowany plik MP4 z dziesiątkami tysięcy małych pudełek pssh, aby wyczerpać stos i spowodować awarię procesu, a także kwadratowe zużycie CPU.

FFmpeg do wersji 9.0.2 zawiera podatność na nieskończoną pętlę w demuxerze DASH, która pozwala atakującym na wywołanie nieskończonej pętli poprzez dostarczenie pustego SegmentTemplate media URL. Atakujący mogą stworzyć manifest .mpd deklarujący SegmentTemplate media="", aby get_current_fragment() wywołał av_strireplace() z pustym ciągiem wyszukiwania, zużywając CPU bez końca.