Katalog podatności CVE

OpenTelemetry Collector Contrib przed wersją 0.151.0 ma podatność w githubreceiver, gdzie walidacja nagłówków RequiredHeaders odbywa się tylko przy starcie, a nie na przychodzących żądaniach webhook. Nieuwierzytelniony nadawca może ominąć kontrolę uwierzytelniania i wysyłać dowolne payloady webhook, a przy pustym polu Secret pomijana jest również walidacja HMAC, co pozwala na wstrzyknięcie fałszywych danych CI/CD do potoku obserwowalności.

Capsule od wersji 0.13.0 do 0.13.6 ma podatność w konfiguracji webhooka walidującego, gdzie użyto nazwy namespace/finalize zamiast poprawnej nazwy zasobu Kubernetes namespaces/finalize. Użytkownik z uprawnieniami RBAC do namespaces/finalize może wysłać żądanie PUT do /api/v1/namespaces/{namespace}/finalize, a reguła pojedyncza nie pasuje do zasobu mnogiego, więc webhook nie jest wywoływany i użytkownik może zmienić etykietę tenant namespace.

Signal K Server przed wersją 2.28.0 ma podatność w funkcji makeRemoteRequest(), która akceptuje kontrolowane przez atakującego parametry host, port, useTLS i selfsignedcert bez walidacji celu. Przy braku skonfigurowanego bezpieczeństwa, endpointy testSignalKConnection, requestAccess i checkAccessRequest są dostępne bez uwierzytelnienia, co pozwala na skanowanie portów, eksfiltrację danych z metadata chmury i wewnętrznych usług oraz ruch boczny.

W systemie Kiwi TCMS w wersjach przed 16.1 endpoint potwierdzania konta przyjmował niezwalidowany parametr next, co umożliwiało nieuwierzytelnionemu atakującemu utworzenie adresu URL w zaufanej domenie Kiwi TCMS przekierowującego ofiarę na dowolną zewnętrzną domenę. Zaufane pochodzenie może służyć do stron wyłudzających dane uwierzytelniające, obejścia filtrów bezpieczeństwa poczty i kontroli reputacji linków lub dostarczania złośliwego oprogramowania. Problem naprawiono w wersji 16.1.

Narzędzie GitHacker w wersji 1.1.7 i wcześniejszych w funkcji add_head_file_tasks przetwarza kontrolowaną przez atakującego ścieżkę ref z pliku .git/HEAD i łączy niezwalidowane segmenty ścieżki z temp_dst/.git/logs/, umożliwiając złośliwemu serwerowi odczyt dowolnego lokalnego pliku ofiary. Funkcja add_hashes_parsed skanuje następnie plik w poszukiwaniu 40-znakowych ciągów heksadecymalnych i wysyła żądania przez .git/objects, tworząc obserwowalny dla atakującego oracle istnienia i ujawniając pasujące fragmenty heksadecymalne. Pełna zawartość plików nie jest zwracana, a ścieżka zapisu w wersji 1.1.7 nie pozwala na ucieczkę z katalogu. Problem naprawiono w wersji 1.1.9.

W platformach SingularityCE i SingularityPRO przed wersjami odpowiednio 4.4.2 oraz 4.3.9 i 4.1.14 nieprawidłowe dopasowanie ciągów ścieżek w dyrektywie limit container paths w pliku singularity.conf pozwala na uruchomienie kontenera z katalogu sąsiedniego, np. /data/safe-but-unsafe, gdy dozwolony jest /data/safe w trybie setuid. Umożliwia to użytkownikowi uruchomienie kontenera spoza skonfigurowanej przez administratora listy dozwolonych ścieżek. Instalacje niekorzystające z limit container paths nie są podatne.

W frameworku Decidim przed wersją 0.32.0 administrator o niskich uprawnieniach w zakresie procesu lub edytor wyborów z prawami do zarządzania pytaniami może zapisać treść zawierającą HTML lub skrypty w polu question.body. Helper question_title zwraca tłumaczalną treść pytania przez html_safe bez granicy sanityzacji, co powoduje wykonanie zapisanego skryptu, gdy odwiedzający otwierają publiczne strony wyborów lub ekrany lokali wyborczych. Skrypt wykonuje się w przeglądarkach odwiedzających.

Wtyczka fluent-plugin-opentelemetry przed wersją 0.5.3 w wejściu HTTP in_opentelemetry odczytywała całe ciało przychodzącego żądania i dekompresowała ładunki do pamięci bez egzekwowania maksymalnych progów rozmiaru. Gdy endpoint przyjmujący dane OpenTelemetry był wystawiony na niezaufaną sieć, atakujący mógł wysłać nadmiernie duże żądanie lub silnie skompresowany ładunek, który rozszerzał się w pamięci. Wynikające z tego wyczerpanie pamięci mogło spowodować zakończenie procesu Fluentd przez system operacyjny, zakłócając całe zbieranie i przekazywanie logów na dotkniętym węźle.

W bibliotece Tornado przed wersją 6.4.1 występuje podatność na wstrzyknięcie CRLF w klasie CurlAsyncHTTPClient, która nie odrzuca znaków powrotu karetki i przesunięcia wiersza w nagłówkach żądań. Atakujący może wstrzyknąć sekwencje CRLF do wartości nagłówków, aby wstrzyknąć dowolne nagłówki lub skonstruować całkowicie nowe żądania HTTP.

Domyślnie Payara Server nie ogranicza liczby nieudanych prób logowania, co może czynić go podatnym na ataki brute force na logowanie. W celu ograniczenia tego ryzyka Payara Server zawiera wbudowaną automatyczną ochronę przed atakami.

W OpenBankProject OBP-API do wersji 1.10.1 wykryto podatność w funkcji KryoInjection.invert w pliku obp-api/src/main/scala/code/api/cache/Redis.scala w komponencie Kryo Handler. Manipulacja ta prowadzi do deserializacji. Atak można przeprowadzić zdalnie, a jego złożoność jest wysoka. Wykorzystanie podatności określono jako trudne. Exploit został ujawniony publicznie i może być użyty. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale nie odpowiedział.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. W przypadku korzystania z HTTP/3 z OpenSSL w wersjach <= 3.5.0 w pewnych konfiguracjach może wystąpić ograniczone przepełnienie bufora sterty podczas przetwarzania uzgadniania TLS. Może to wystąpić w sposób niedeterministyczny, poza kontrolą atakującego. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX prowadzące do restartu i/lub ograniczonego uszkodzenia danych.

1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.

Outerbase Studio to lekkie, przeglądarkowe GUI baz danych obsługujące PostgreSQL, MySQL i SQLite. W wersji 0.10.2 i wcześniejszych komponent TextComponent w pliku src/components/chart/index.tsx renderuje nieoczyszczoną zawartość widżetu tekstowego przez dangerouslySetInnerHTML, co pozwala na wykonanie wstrzykniętego znacznika z obsługą zdarzeń skryptowych, gdy widżet jest wyświetlany. Outerbase Cloud i usługi backendowe zostały wycofane w 2025 roku, a obecna architektura korzysta z lokalnego przechowywania pulpitu w przeglądarce, więc wpływ ogranicza się do lokalnego self-XSS. Kradzież tokenów uwierzytelniających, przejęcie konta i dostęp do backendowej bazy danych nie mają zastosowania w obecnej architekturze. Brak dostępnej poprawionej wersji na dzień przeglądu.

W platformie Hydro od wersji 4.10.4 do 5.0.2 logika odtwarzania sesji w packages/hydrooj/src/service/layers/base.ts tworzy nowy token sesji bez usuwania poprzedniego z serwerowego magazynu tokenów. W efekcie stary plik cookie sid pozostaje ważny po wylogowaniu lub odnowieniu sesji. Atakujący posiadający stary, ważny plik cookie ofiary może go odtworzyć bez znajomości danych logowania i bez interakcji ofiary, przejmując konto.

W systemie Dragonfly przed wersją 2.4.4-rc.3 domyślny nieuwierzytelniony przepływ gRPC v1 w schedulerze przyjmuje kontrolowane przez atakującego wartości PeerHost.Ip i PeerHost.DownPort przez RegisterPeerTask i ReportPeerResult. Wartości te trafiają do resource.Host, a następnie Peer.DownloadTinyFile() buduje żądanie HTTP GET bez walidacji celu, co pozwala na odczyt SSRF do usług loopback, link-local i prywatnych. Port DownPort jest ograniczony do zakresu 1024-65534, a odpowiedź do 128 bajtów może zostać umieszczona w Task.DirectPiece.

W narzędziu Cyberdrop-DL od wersji 8.5.0 do 9.14.0 crawler Pixeldrain używa dopasowania podciągu hosta zamiast wymagania dokładnego członkostwa w SUPPORTED_DOMAINS, a następnie ponownie używa tego hosta do żądań API. Gdy skonfigurowano klucz API Pixeldrain, przetwarzanie spreparowanego URL z hosta podszywającego się powoduje wysłanie nagłówka Authorization do tego hosta, ujawniając klucz API atakującemu.

W Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0 token instalacji GitHub App utworzony podczas przetwarzania webhooka nie jest ograniczony do repozytorium, które wywołało zdarzenie, gdy aplikacja jest zainstalowana w wielu repozytoriach. Użytkownik z prawem push do jednego repozytorium może przesłać PipelineRun z adnotacją zdalnego zadania wskazującą prywatne repozytorium w tej samej instalacji, co prowadzi do ujawnienia definicji Tekton tego repozytorium.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 połączenia kuma-dp w trybie Universal do płaszczyzny kontrolnej HTTPS wyłączają weryfikację peera TLS, gdy nie podano --ca-cert-file i nie ustawiono KUMA_CONTROL_PLANE_CA_CERT. Token uwierzytelniający dataplane jest wysyłany przez niezweryfikowane połączenie, co pozwala atakującemu w ścieżce sieci przechwycić token, podszyć się pod płaszczyznę kontrolną, wstrzyknąć sfałszowaną konfigurację bootstrap i przejąć proxy.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 profil kumactl ręcznie skonfigurowany dla płaszczyzny kontrolnej HTTPS bez --ca-cert-file wyłącza weryfikację peera TLS i wysyła tokeny API przez niezweryfikowane połączenie. Atakujący w ścieżce sieci może przechwycić tokeny API użytkownika lub administratora i działać wobec płaszczyzny kontrolnej jako ten użytkownik.