Katalog podatności CVE

IBM Cloud Pak for Business Automation jest podatny na trwałe cross-site scripting (XSS). Ta podatność pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia poświadczeń w zaufanej sesji.

IBM Cloud Pak for Business Automation jest podatny na trwałe cross-site scripting (XSS). Ta podatność pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia poświadczeń w zaufanej sesji.

IBM Business Automation Workflow (kontenery i instalacja tradycyjna) zawiera brak kontroli autoryzacji, który pozwala uwierzytelnionemu atakującemu wywołać zastrzeżone akcje importu. Luka wynika z nieodpowiedniego egzekwowania uprawnień przy operacjach importu.

Reverse proxy IBM Security Verify Identity Access może pozwalać na wstrzykiwanie parametrów do żądań kierowanych do usług stron trzecich.

IBM ContextForge MCP Gateway w wersji <= v1.0.4 pozwala uwierzytelnionemu użytkownikowi obejść mechanizmy ochronne z powodu niepełnej rekurencyjnej inspekcji zagnieżdżonej zawartości ładunków. Luka umożliwia ominięcie zabezpieczeń poprzez treści ukryte w zagnieżdżonych strukturach.

IBM Cloud Pak for Business Automation w wersjach 26.0.0 do 26.0.0 Interim Fix 001, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 008 oraz 24.0.0 do 24.0.0 Interim Fix 009 jest podatny na wstrzyknięcie XPath. Uwierzytelniony atakujący może dzięki temu wykraść poufne dane aplikacji i/lub ustalić strukturę dokumentu XML.

W Open5GS do wersji 2.7.7 wykryto lukę w pliku lib/pfcp/handler.c w komponencie PFCP Message Handler. Manipulacja prowadzi do odmowy usługi (denial of service). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Poprawka jest dostępna jako patch o nazwie 028e1dbb5e3271035ccee906ef417a97fc523f71.

W code-projects Record Management System 1.0 zidentyfikowano podatność w pliku main/reg.php. Manipulacja argumentem desc prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.

W Concrete CMS w wersjach przed 9.5.3 akcja save_control w kontrolerze formularzy encji Express nie weryfikowała tokenu anty-CSRF. Atakujący bez poświadczeń mógł nakłonić uwierzytelnionego administratora do wysłania sfałszowanego żądania i zapisać kontrolowane przez siebie wartości w kontrolce Text formularza Express. Wartości były emitowane bez kodowania wyjściowego, co prowadziło do trwałego XSS.

Concrete CMS w wersjach przed 9.5.3 nie stosuje kodowania encji HTML do etykiet pytań bloku Formularz zdefiniowanych przez użytkownika podczas renderowania ich jako nagłówki kolumn w raporcie zgłoszeń formularzy w panelu administracyjnym. Złośliwy edytor może zapisać znaczniki lub skrypt w etykiecie, który następnie wykonuje się w przeglądarce administratora otwierającego raport, powodując trwały XSS.

Concrete CMS 9.5.2 i wcześniejsze są podatne na trwały DOM-based XSS poprzez pole Caption dla poszczególnych obrazów w bloku Gallery. Dołączony skrypt Magnific Popup ponownie parsuje zdekodowany atrybut caption jako HTML przez jQuery .append() w titleSrc zamiast wstawiać go jako tekst. Użytkownik z uprawnieniami do edycji strony może zapisać caption, który wykona się w przeglądarce każdego odwiedzającego otwierającego lightbox.

Wykryto podatność w pakiecie Go buildah/copier. Gdy pakiet jest używany poza Buildah przez użytkownika innego niż root, spreparowane archiwum tar zawierające złośliwe dowiązania symboliczne może wyjść poza katalog docelowy i utworzyć pliki w nieprzewidzianym miejscu. Sam Buildah stosuje wzmocnienie chroot i nie jest podatny.

Wykryto podatność w bibliotece containers/storage. Spreparowane archiwum tar zawierające złośliwy nagłówek whiteout (np. victim/.wh.) może spowodować zastąpienie katalogu docelowego ekstrakcji dowolnym plikiem podczas przetwarzania przez storage/pkg/archive.UnpackLayer, ApplyLayer lub ApplyUncompressedLayer.

motionEye (mEye) to interfejs online dla programu "motion", czyli systemu monitoringu wizyjnego z detekcją ruchu. W wersjach przed 0.44.0 metoda ActionHandler.post() w motioneye/handlers/action.py nie ma dekoratora BaseHandler.auth(), co pozwala nieuwierzytelnionemu zdalnemu atakującemu wysyłać żądania do /action/<camera_id>/<action>. Endpoint może wywoływać akcje snapshot, record_start i record_stop, a gdy administrator skonfigurował skrypty akcji, także sterowanie PTZ, akcje alarmowe, oświetleniowe i inne predefiniowane polecenia; skonfigurowane zdalne kamery motionEye mogą umożliwić żądania po stronie serwera do zdalnej usługi kamery. Problem naprawiono w wersji 0.44.0.

MCP Memory Keeper to serwer MCP do trwałego zarządzania kontekstem w asystentach AI wspomagających kodowanie. W wersjach przed 0.13.0 funkcja context_import w src/index.ts przekazuje kontrolowaną przez wywołującego ścieżkę filePath bezpośrednio do fs.readFileSync bez ograniczania jej do katalogu eksportu. Klient MCP, w tym agent LLM nakłoniony do wywołania narzędzia, może użyć przejścia ../ lub ścieżki absolutnej, aby uzyskać dostęp do dowolnego pliku czytelnego przez proces serwera. Prawidłowy plik JSON jest parsowany i importowany do sesji wywołującego, co pozwala na odczytanie jego pełnej zawartości przez context_get lub context_export, a błędy JSON.parse dla plików niebędących JSON mogą zwrócić początkowe bajty pliku w komunikacie SyntaxError. Te dwa tryby ujawnienia mogą odsłonić inne wyeksportowane sesje, dane uwierzytelniające JSON lub pliki kont usług, pliki środowiskowe oraz fragmenty kluczy SSH i innych plików lokalnych. Problem naprawiono w wersji 0.13.0.

plone.app.textfield udostępnia typ pola w stylu zope.schema o nazwie RichText do przechowywania wartości z powiązanym typem MIME. W wersjach przed 2.0.2, 3.0.2 i 4.0.1, w zależności od linii wydania, RichTextValue.output zwraca niesanityzowaną zapisaną wartość RichText, gdy mimeType jest równy outputMimeType, w tym wartości deklarujące typ wyjściowy text/x-html-safe. Ten skrót równości omija transformację safe_html, mimo że sama transformacja poprawnie usuwa atrybuty obsługi zdarzeń i niebezpieczne schematy URI. Równe typy mogą wynikać z pola RichText skonfigurowanego z tym samym mimeType i outputMimeType lub z danych wejściowych REST API podających text/x-html-safe jako typ zawartości. Surowa zapisana wartość jest następnie emitowana przez tal:content=structure bez escapowania, co pozwala użytkownikowi mogącemu ustawić pole RichText na zapisanie JavaScriptu wykonywanego w przeglądarce przeglądającego. Problem naprawiono w wersjach 2.0.2, 3.0.2 i 4.0.1.

Fabric CA to urząd certyfikacji dla Hyperledger Fabric. W wersjach przed 1.5.21, gdy fabric-ca jest skonfigurowany z backendem LDAP, funkcja Client.GetUser w lib/server/ldap/client.go wstawia nazwę użytkownika z uwierzytelniania HTTP Basic do filtra wyszukiwania LDAP uid (UserFilter) bez escapowania metaznaków LDAP. Nieuwierzytelniony atakujący z dostępem sieciowym do endpointu rejestracji CA może zmienić wyszukiwanie LDAP przed walidacją hasła i potencjalnie skierować próby uwierzytelnienia na konto ofiary. Wdrożenia niekorzystające z backendu LDAP nie są podatne. Problem naprawiono w wersji 1.5.21.

Concrete CMS 9 przed wersją 9.5.3 oraz Concrete 8.5.21 zawiera podatność na przechowywany XSS w blokach Feature, Feature Link, Hero Image i Image. Zewnętrzny adres URL linku był niewystarczająco walidowany i renderowany bez escapowania, co pozwalało użytkownikowi z uprawnieniami edycji strony na wstrzyknięcie dowolnego JavaScriptu.

Tornado w wersjach przed 6.5.7 zawiera podatność polegającą na wycieku poświadczeń w CurlAsyncHTTPClient, gdzie uchwyty pycurl są ponownie używane między żądaniami bez prawidłowego czyszczenia stanu. Atakujący mogą uzyskać poufne poświadczenia, wysyłając żądania przez tę samą instancję klienta, co pozwala na utrzymanie certyfikatów TLS lub uwierzytelniania proxy między niepowiązanymi żądaniami.

Tornado w wersjach przed 6.5.8 zawiera niekompletną poprawkę na wstrzykiwanie atrybutów cookie, która pozwala atakującym wstrzykiwać dowolne atrybuty cookie poprzez przekazywanie pisanych wielką literą lub przestarzałych argumentów słów kluczowych do set_cookie. Atakujący mogą osadzać dane rozdzielane średnikami w parametrach pisanych wielką literą, takich jak Domain, Path lub SameSite, aby obejść walidację i zmodyfikować atrybuty bezpieczeństwa cookie.