Katalog podatności CVE

W frameworku Decidim przed wersją 0.32.0 administrator o niskich uprawnieniach w zakresie procesu lub edytor wyborów z prawami do zarządzania pytaniami może zapisać treść zawierającą HTML lub skrypty w polu question.body. Helper question_title zwraca tłumaczalną treść pytania przez html_safe bez granicy sanityzacji, co powoduje wykonanie zapisanego skryptu, gdy odwiedzający otwierają publiczne strony wyborów lub ekrany lokali wyborczych. Skrypt wykonuje się w przeglądarkach odwiedzających.

Wtyczka fluent-plugin-opentelemetry przed wersją 0.5.3 w wejściu HTTP in_opentelemetry odczytywała całe ciało przychodzącego żądania i dekompresowała ładunki do pamięci bez egzekwowania maksymalnych progów rozmiaru. Gdy endpoint przyjmujący dane OpenTelemetry był wystawiony na niezaufaną sieć, atakujący mógł wysłać nadmiernie duże żądanie lub silnie skompresowany ładunek, który rozszerzał się w pamięci. Wynikające z tego wyczerpanie pamięci mogło spowodować zakończenie procesu Fluentd przez system operacyjny, zakłócając całe zbieranie i przekazywanie logów na dotkniętym węźle.

W bibliotece Tornado przed wersją 6.4.1 występuje podatność na wstrzyknięcie CRLF w klasie CurlAsyncHTTPClient, która nie odrzuca znaków powrotu karetki i przesunięcia wiersza w nagłówkach żądań. Atakujący może wstrzyknąć sekwencje CRLF do wartości nagłówków, aby wstrzyknąć dowolne nagłówki lub skonstruować całkowicie nowe żądania HTTP.

Domyślnie Payara Server nie ogranicza liczby nieudanych prób logowania, co może czynić go podatnym na ataki brute force na logowanie. W celu ograniczenia tego ryzyka Payara Server zawiera wbudowaną automatyczną ochronę przed atakami.

W OpenBankProject OBP-API do wersji 1.10.1 wykryto podatność w funkcji KryoInjection.invert w pliku obp-api/src/main/scala/code/api/cache/Redis.scala w komponencie Kryo Handler. Manipulacja ta prowadzi do deserializacji. Atak można przeprowadzić zdalnie, a jego złożoność jest wysoka. Wykorzystanie podatności określono jako trudne. Exploit został ujawniony publicznie i może być użyty. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale nie odpowiedział.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. W przypadku korzystania z HTTP/3 z OpenSSL w wersjach <= 3.5.0 w pewnych konfiguracjach może wystąpić ograniczone przepełnienie bufora sterty podczas przetwarzania uzgadniania TLS. Może to wystąpić w sposób niedeterministyczny, poza kontrolą atakującego. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX prowadzące do restartu i/lub ograniczonego uszkodzenia danych.

1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.

Outerbase Studio to lekkie, przeglądarkowe GUI baz danych obsługujące PostgreSQL, MySQL i SQLite. W wersji 0.10.2 i wcześniejszych komponent TextComponent w pliku src/components/chart/index.tsx renderuje nieoczyszczoną zawartość widżetu tekstowego przez dangerouslySetInnerHTML, co pozwala na wykonanie wstrzykniętego znacznika z obsługą zdarzeń skryptowych, gdy widżet jest wyświetlany. Outerbase Cloud i usługi backendowe zostały wycofane w 2025 roku, a obecna architektura korzysta z lokalnego przechowywania pulpitu w przeglądarce, więc wpływ ogranicza się do lokalnego self-XSS. Kradzież tokenów uwierzytelniających, przejęcie konta i dostęp do backendowej bazy danych nie mają zastosowania w obecnej architekturze. Brak dostępnej poprawionej wersji na dzień przeglądu.

W platformie Hydro od wersji 4.10.4 do 5.0.2 logika odtwarzania sesji w packages/hydrooj/src/service/layers/base.ts tworzy nowy token sesji bez usuwania poprzedniego z serwerowego magazynu tokenów. W efekcie stary plik cookie sid pozostaje ważny po wylogowaniu lub odnowieniu sesji. Atakujący posiadający stary, ważny plik cookie ofiary może go odtworzyć bez znajomości danych logowania i bez interakcji ofiary, przejmując konto.

W systemie Dragonfly przed wersją 2.4.4-rc.3 domyślny nieuwierzytelniony przepływ gRPC v1 w schedulerze przyjmuje kontrolowane przez atakującego wartości PeerHost.Ip i PeerHost.DownPort przez RegisterPeerTask i ReportPeerResult. Wartości te trafiają do resource.Host, a następnie Peer.DownloadTinyFile() buduje żądanie HTTP GET bez walidacji celu, co pozwala na odczyt SSRF do usług loopback, link-local i prywatnych. Port DownPort jest ograniczony do zakresu 1024-65534, a odpowiedź do 128 bajtów może zostać umieszczona w Task.DirectPiece.

W narzędziu Cyberdrop-DL od wersji 8.5.0 do 9.14.0 crawler Pixeldrain używa dopasowania podciągu hosta zamiast wymagania dokładnego członkostwa w SUPPORTED_DOMAINS, a następnie ponownie używa tego hosta do żądań API. Gdy skonfigurowano klucz API Pixeldrain, przetwarzanie spreparowanego URL z hosta podszywającego się powoduje wysłanie nagłówka Authorization do tego hosta, ujawniając klucz API atakującemu.

W Pipelines-as-Code przed wersjami 0.37.8, 0.39.6, 0.42.1 i 0.48.0 token instalacji GitHub App utworzony podczas przetwarzania webhooka nie jest ograniczony do repozytorium, które wywołało zdarzenie, gdy aplikacja jest zainstalowana w wielu repozytoriach. Użytkownik z prawem push do jednego repozytorium może przesłać PipelineRun z adnotacją zdalnego zadania wskazującą prywatne repozytorium w tej samej instalacji, co prowadzi do ujawnienia definicji Tekton tego repozytorium.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 połączenia kuma-dp w trybie Universal do płaszczyzny kontrolnej HTTPS wyłączają weryfikację peera TLS, gdy nie podano --ca-cert-file i nie ustawiono KUMA_CONTROL_PLANE_CA_CERT. Token uwierzytelniający dataplane jest wysyłany przez niezweryfikowane połączenie, co pozwala atakującemu w ścieżce sieci przechwycić token, podszyć się pod płaszczyznę kontrolną, wstrzyknąć sfałszowaną konfigurację bootstrap i przejąć proxy.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 profil kumactl ręcznie skonfigurowany dla płaszczyzny kontrolnej HTTPS bez --ca-cert-file wyłącza weryfikację peera TLS i wysyła tokeny API przez niezweryfikowane połączenie. Atakujący w ścieżce sieci może przechwycić tokeny API użytkownika lub administratora i działać wobec płaszczyzny kontrolnej jako ten użytkownik.

W Cosmos przed wersją 0.22.19 funkcja tokenMiddleware w src/proxy/routerGen.go może powrócić przez obejście tunelu Constellation przed usunięciem nagłówków x-cosmos-user, x-cosmos-role, x-cosmos-user-role i x-cosmos-mfa oraz przed wywołaniem AdminOnlyWithRedirect. Atakujący z ważnym kluczem API x-cstln-auth dla zarejestrowanego urządzenia, który dotrze do Cosmos przez tunel Constellation Nebula, może podać wybraną wartość x-cosmos-user do trasy z włączonym AuthEnabled, gdy aplikacja nadrzędna ufa temu nagłówkowi forward-auth.

W pyLoad przed wersją 0.5.0b3.dev101 klasa EventManager w src/pyload/core/managers/event_manager.py dodaje obiekt Client do listy klientów dla każdego unikalnego UUID przesłanego do uwierzytelnionego endpointu API getEvents, ale get_events nie wywołuje dostępnej metody clean usuwającej nieaktywnych klientów. Uwierzytelniony użytkownik może wielokrotnie przesyłać unikalne wartości UUID, powodując nieograniczony wzrost liczby obiektów klientów i pamięci procesu.

W pyLoad przed wersją 0.5.0b3.dev101 funkcja is_global_address w src/pyload/core/utils/web/check.py opiera się na klasyfikacji adresów globalnych Pythona bez analizy adresów IPv4 osadzonych w adresach IPv6 6to4 lub NAT64. Użytkownik o niskich uprawnieniach może przesłać literał IPv6 przez parse_urls do strażnika is_global_host przed rozwiązywaniem nazw, a curl rozwiązuje nazwy hostów przed zastosowaniem tej samej podatnej kontroli, co pozwala na połączenia do osadzonych adresów loopback, prywatnych, CGNAT lub link-local IPv4.

W Nextflow od wersji 25.09.2-edge do 25.10.6 i 26.04.3 polecenie nextflow auth login zapisuje tokeny bearer OIDC Seqera Platform do pliku ${NXF_HOME:-~/.nextflow}/seqera-auth.config przez AuthCommandImpl.writeConfig bez ustawienia restrykcyjnych uprawnień pliku, co przy domyślnym umask 022 tworzy plik z mode 0644. Na wieloużytkownikowym hoście POSIX lokalny użytkownik mogący przejść przez katalog domowy ofiary może odczytać seqera-auth.config i podszyć się pod ofiarę w Seqera Platform w zakresie tokenu.

W free5GC w wersji 4.2.3 i wcześniejszych funkcje HandleCreateEeSubscriptions oraz HandleQueryeesubscriptions w pliku internal/sbi/api_datarepository.go walidują wartość ścieżki ueId wyrażeniem regularnym, którego końcowa alternatywa .+ akceptuje dowolny niepusty ciąg znaków zamiast ograniczać identyfikatory do obsługiwanych formatów SUPI i GPSI. Podmiot mający dostęp sieciowy do interfejsu UDR SBI może przesłać nie-3GPP identyfikator do endpointu /nudr-dr/v2/subscription-data/{ueId}/context-data/ee-subscriptions, który przechodzi walidację i trafia do normalnego przepływu tworzenia lub zapytania. Nieprawidłowe identyfikatory mogą być utrwalane i odczytywane jako rekordy subskrypcji.

W Keyfactor SignServer przed wersją 7.6.0 atrybut ATTRIBUTESFILE w PKCS11CryptoToken może być ustawiony na czytelny plik, ale nieakceptowany (tj. nie rozpoznawany z atrybutami). W takim przypadku zgłaszany jest błąd, który wraz z błędem wypisuje zawartość pliku do logu serwera aplikacji. Daje to użytkownikowi z dostępem admina do SignServer i możliwością odczytu logów serwera możliwość odczytania zawartości plików dostępnych dla lokalnego użytkownika JBoss.