Katalog podatności CVE

Podatność typu denial-of-service w komponencie Security. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność typu denial-of-service w komponencie SVG. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność polegająca na ujawnieniu informacji w komponencie Networking. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność typu spoofing w komponencie DOM: Navigation. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność dotycząca izolacji witryn (site isolation) w komponencie Reader Mode. Została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność powoduje odmowę usługi w komponencie Audio/Video. Luka została naprawiona w Firefox 156 i Thunderbird 156.

Podatność typu obejście mechanizmu ochronnego (mitigation bypass) w komponencie DOM: Notifications przeglądarki Firefox i klienta poczty Thunderbird. Luka została naprawiona w wersjach Firefox 156, Firefox ESR 153.3, Thunderbird 156 oraz Thunderbird 153.3.

Podatność typu ujawnienie informacji (information disclosure) w komponencie Graphics: ImageLib przeglądarki Firefox i klienta poczty Thunderbird. Luka została naprawiona w wersjach Firefox 156, Firefox ESR 140.16, Firefox ESR 153.3, Thunderbird 156, Thunderbird 140.16 oraz Thunderbird 153.3.

Podatność typu obejście mechanizmów ochronnych w komponencie DOM: Kopiuj i Wklej oraz Przeciągnij i Upuść. Luka została naprawiona w wersjach Firefox 156, Firefox ESR 140.16, Firefox ESR 153.3, Thunderbird 156, Thunderbird 140.16 oraz Thunderbird 153.3.

Podatność typu use-after-free w komponencie Audio/Video: Web Codecs. Została naprawiona w wersjach Firefox 156, Firefox ESR 140.16, Firefox ESR 153.3, Thunderbird 156, Thunderbird 140.16 oraz Thunderbird 153.3.

Motyw WordPress Bridge - Creative Multipurpose WordPress Theme we wszystkich wersjach do 30.8.9.1 włącznie jest podatny na trwałe skrypty cross-site (Stored XSS) poprzez atrybut shortcode 'circle_line' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami na poziomie współautora (contributor) lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

W podatnych wersjach MISP nie jest konsekwentnie stosowane istniejące ograniczanie częstotliwości logowania nieudanych uwierzytelnień. Dwie gałęzie obsługi niepowodzeń uwierzytelniania API zapisywały bezpośrednio do modelu Log: żądania API bez klucza uwierzytelniającego oraz żądania z kluczem o nieprawidłowej długości. W przeciwieństwie do innych niepowodzeń uwierzytelniania ścieżki te omijały _shouldLog(), więc każde żądanie mogło utworzyć kolejny trwały wpis auth_fail. Dotyczy wersji ≤2.5.45.

W podatnych wersjach MISP używany jest Redis do ograniczania powtarzających się wpisów logowania nieudanych uwierzytelnień. Jednak User->setupRedis() zwraca false, gdy Redis jest niedostępny, a logika _shouldLog() zwracała true tylko wtedy, gdy instancja Redis istniała i nie było klucza ograniczającego. W związku z tym, gdy Redis był niedostępny, funkcja w ogóle nie pozwalała na zapis logu, skutecznie wyciszając rejestrowanie nieudanych uwierzytelnień na czas awarii. Dotyczy wersji ≤2.5.45.

evolution-api do wersji 2.3.7 zawiera niepoprawne porównanie tablic w middleware metricsIPWhitelist, które zawsze zwraca false, umożliwiając nieuwierzytelniony dostęp do endpointu /metrics. Atakujący mogą ominąć ograniczenia białej listy adresów IP, aby uzyskać dostęp do poufnych metryk ujawniających wersję serwera, nazwę klienta bazy danych, skonfigurowany adres URL serwera oraz szczegóły instancji WhatsApp.

Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.

Jpom w wersjach do 2.11.12 nie weryfikuje własności przestrzeni roboczej przy rozwiązywaniu repositoryId w punkcie końcowym /build/branch-list. Uwierzytelniony użytkownik może uzyskać dostęp do repozytoriów z innych przestrzeni roboczych, w tym wyszukiwać repozytoria, ustalać ich typ oraz wykonywać polecenia git ls-remote z użyciem poświadczeń innych przestrzeni roboczych.

Steedos Platform do wersji 3.0.15-beta.47 zawiera podatność na odbite XSS w anonimowym punkcie końcowym /api/page/render, który nieprawidłowo escapuje parametry zapytania w elementach skryptu inline. Atakujący mogą tworzyć złośliwe linki z sekwencjami kończącymi skrypt w parametrach schemaApi lub data, aby wykonać dowolny JavaScript w sesjach ofiar i ukraść poświadczenia X-Auth-Token.

W GNOME Shell wykryto błąd polegający na braku walidacji wymiarów ikony zadeklarowanych przez zdalnego dostawcę wyszukiwania przesyłane przez D-Bus względem rzeczywistego rozmiaru bufora danych. Złośliwy lub przejęty dostawca wyszukiwania może podać zbyt duże wymiary ikony, powodując odczyt poza zakresem bufora. Może to doprowadzić do awarii procesu GNOME Shell i przerwania sesji użytkownika oraz potencjalnie ujawnić dane z sąsiedniej pamięci.

fast-uri to parser URI zgodny z RFC 3986 dla Node.js używany przez Fastify i ajv, który w wersji 4.1.3 dodał parser schematu mailto. W wersjach 4.1.3 i 4.1.4 parser mailto porównuje nazwy pól zapytania z nazwami zarezerwowanymi to, subject i body, gdy nazwa jest jeszcze zakodowana procentowo, a dekoduje ją dopiero przy zapisie jako nagłówek ogólny. W efekcie zakodowana procentowo nazwa pola zarezerwowanego nie jest rozpoznawana przy parsowaniu, ale jest ponownie emitowana jako dosłowna nazwa pola przy serializacji URI. Aplikacja, która waliduje, loguje lub wyświetla listę odbiorców z pierwszego parsowania, a następnie serializuje URI i wysyła je, może w ten sposób nieświadomie uzyskać odbiorcę wybranego przez atakującego, a pola subject i body mogą zostać przemycone w tym samym cyklu.

fast-uri to parser URI zgodny z RFC 3986 dla Node.js używany przez Fastify i ajv. W wersjach przed 2.4.7, od 3.0.0 do 3.1.7 oraz od 4.0.0 do 4.1.4 fast-uri zamienia host na małe litery przed jego dekodowaniem procentowym, więc zakodowany procentowo wielki oktet, np. %41, dekoduje się do dosłownego A, które nigdy nie zostaje zamienione na małą literę. Dla referencji względem schematu, takiej jak //host, nie ma schematu, więc kanonizacja hosta, która normalnie by to naprawiła, nie uruchamia się, a parse, normalize i equal dają różne wyniki dla tego samego hosta. Aplikacja podejmująca decyzję o hoście z rozróżnianiem wielkości liter na podstawie wyniku fast-uri, np. lista dozwolonych lub zabronionych hostów porównująca sparsowany host lub używająca equal, może zostać ominięta przez zakodowany procentowo wielki oktet, a ponieważ nazwy hostów w DNS i HTTP są niewrażliwe na wielkość liter, omijający zapis i tak trafia do hosta, który kontrola miała blokować.