Katalog podatności CVE

W Zephyr OS funkcja net_if_ipv6_calc_reachable_time() w subsys/net/ip/net_if.c nieprawidłowo oblicza czas osiągalności sąsiada (ND reachable time), gdy base_reachable_time wynosi 1, co prowadzi do wartości 0. Atakujący może wysłać nieuwierzytelniony Router Advertisement z polem Reachable Time ustawionym na 1, co powoduje wyzerowanie czasu osiągalności. W efekcie, gdy sąsiad zostanie potwierdzony jako osiągalny, może wystąpić asercja jądra (jeśli CONFIG_ASSERT jest włączone) lub natychmiastowe wygaśnięcie timera, co prowadzi do ciągłych ponownych zapytań i degradacji Neighbor Discovery.

Docs do wersji 5.6.1 zawiera podatność na atak typu Server-Side Request Forgery (SSRF) w punkcie końcowym cors-proxy, która pozwala anonimowym atakującym na wysyłanie żądań wychodzących poprzez podanie publicznego UUID dokumentu. Atakujący mogą wykorzystać wyścigi DNS TOCTOU oraz obejścia wspólnej przestrzeni adresowej, aby uzyskać dostęp do wewnętrznych zasobów sieciowych i eksfiltrować zawartość obrazów.

Trilium Notes w wersji v0.103.0 i wcześniejszych zawiera podatność na przechowywany atak XSS w rendererze udostępniania notatek typu webView z powodu nieprawidłowego escapowania HTML wartości #webViewSrc kontrolowanych przez użytkownika. Podatność pozwala atakującym z uprawnieniami do tworzenia notatek na wstrzyknięcie dowolnego kodu JavaScript, który wykona się u każdego użytkownika otwierającego udostępnioną notatkę, w tym u administratorów.

W nanocoai NanoClaw do wersji 2.1.17 znaleziono podatność w funkcji forwardAttachedFiles w pliku src/modules/agent-to-agent/agent-route.ts komponentu Attachment Handler. Manipulacja prowadzi do podążania za linkami (link following). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Poprawka jest zidentyfikowana jako 3f9ed607b7e7a4872747295f75286f1c377d7c33.

W DjangoCRM django-crm do wersji 1.2 znaleziono podatność w funkcji BulkUpdateCasesView w pliku backend/cases/bulk_views.py komponentu Bulk Case Update. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0 rozwiązuje ten problem. Identyfikator poprawki to 799bb1210238f402c0c4948c8eedb6e61cd0c8d7.

DotVVM przed wersjami 4.2.11, 4.3.15 i 5.0.0-preview09-final pozwala nieuwierzytelnionym użytkownikom na przesyłanie plików bezpośrednio do DotvvmFileUploadMiddleware bez tokenu X-DotVVM-UploadToken generowanego przez komponent FileUpload. Atakujący może wielokrotnie przesyłać pliki i wypełnić pamięć aplikacji, powodując denial of service. Opcja DotvvmConfiguration.Security.AuthorizeFileUpload może dodatkowo ograniczyć, którzy użytkownicy mogą przesyłać pliki.

backpack/crud od wersji 6.0.0 do 6.8.15 oraz 7.0.47 zawiera podatność w obsłudze relacji HasMany i MorphMany przez attachManyRelation podczas operacji tworzenia i aktualizacji CRUD. Podatność pozwala uwierzytelnionemu administratorowi o niskich uprawnieniach na modyfikację niepowiązanych rekordów dziecięcych, w tym ich ponowne przypisanie, odłączenie, wyzerowanie lub usunięcie, nawet poza granicami właściciela lub dzierżawy. Wymaga to, aby rekordy nie powinny być możliwe do przypisania lub usunięcia przez tego administratora oraz braku dodatkowej autoryzacji na poziomie aplikacji.

Allure 2 przed wersją 2.39.0 zawiera podatność XSS w helperze ansi.js, który przekazuje wartości statusMessage i statusTrace kontrolowane przez atakującego przez AnsiToHtml bez escapowania HTML i opakowuje wynik w Handlebars SafeString, wyłączając automatyczne escapowanie w szablonie status-details.hbs. JunitXmlPlugin.java może wypełnić te pola bezpośrednio z spreparowanych wiadomości i śladów JUnit XML, a podobne wejścia istnieją w pluginach TRX, xUnit XML, xctest oraz Allure1 i Allure2. Gdy użytkownik przegląda szczegóły statusu, nieescapowany markup wykonuje dowolny JavaScript w kontekście raportu, co może ujawnić dane raportu i naruszyć sesje powiązane z tym kontekstem. Jest to niekompletna poprawka, ponieważ PR 3271 escapował helpery linków, ale nie uwzględnił helpera ANSI.

Allure 2 przed wersją 2.39.0 zawiera podatność typu path traversal w serwerze HTTP uruchamianym przez allure serve i allure open. Funkcja Commands.setUpServer() używa URI.getPath() i przekazuje zdekodowaną ścieżkę do reportDirectory.resolve() bez normalizacji wyniku ani sprawdzenia, czy pozostaje w tym katalogu. Nieuwierzytelniony klient, który może dotrzeć do serwera, może przesłać segmenty ścieżki nadrzędnej, w tym zakodowane procentowo, i spowodować, że serveFile() zwróci dowolny plik regularny odczytywalny przez proces Allure. Serwer domyślnie wiąże się z localhost, ale opcja --host może go wystawić na inne systemy, a lokalni użytkownicy, sąsiednie kontenery lub ataki z przeglądarki mogą dotrzeć do lokalnego nasłuchiwania. Może to ujawnić poświadczenia, konfigurację, kod źródłowy, sekrety budowania i inne dane CI/CD.

Tract przed wersjami 0.21.17, 0.22.3 i 0.23.2 zawiera podatność w crate tract-onnx, która przekazuje kontrolowaną przez atakującego lokalizację external_data z modelu ONNX przez onnx/src/tensor.rs get_external_resources i łączy wartość z katalogiem modelu bez odrzucania ścieżek bezwzględnych lub komponentów katalogu nadrzędnego. Ładowanie niezaufanego modelu przez model_for_path może spowodować, że MmapDataResolver otworzy dowolny lokalny plik i umieści jego zawartość w tensorach modelu lub wynikach wnioskowania. Kontrolowane przez atakującego pola offset i length mogą również wybrać zakres mapowania poza zakresem i spowodować denial of service, ale błąd nie zapisuje plików ani nie wykonuje kodu.

W devpi-server przed wersjami 6.20.2 i 7.0.0b3 serwer skonfigurowany w roli primary lub przestarzałej master pozwala nieuwierzytelnionemu użytkownikowi na zmodyfikowane żądanie GET do trasy +changelog, ponieważ funkcja verify_primary nie odrzuca brakującej tożsamości i nie wymaga ReplicaIdentity. Odpowiedź może ujawnić pełną zawartość bazy danych, w tym hashe haseł Argon2 oraz identyfikatory i sole tokenów devpi.

W backpack/crud od wersji 6.0.0 do 6.8.14 oraz 7.0.38 plik src/resources/views/crud/columns/color.blade.php odwraca gałęzie renderowania escaped i raw kontrolowane przez $column['escaped'], które domyślnie ma wartość true, powodując że $column['text'] jest domyślnie renderowany bez escapowania. Atakujący mogący zapisać nieoczyszczoną wartość w kolumnie koloru może wykonać skrypt w przeglądarce użytkownika przeglądającego listę CRUD, w tym administratora.

W backpack/crud od wersji 6.0.0 do 6.8.14 oraz 7.0.38 metody HasUploadFields uploadFileToDisk i uploadMultipleFilesToDisk używane przez CrudTrait oraz ścieżka withFiles() przez FileNameGenerator nie odrzucają wewnętrznie plików wykonywalnych przez serwer. Uwierzytelniony administrator może osiągnąć zdalne wykonanie kodu, używając pola CRUD z obsługą uploadu bez walidacji mimes: i mimetypes:, gdy publiczny dysk jest dostępny przez sieć.

W backpack/crud od wersji 6.0.0 do 6.8.14 oraz 7.0.38 endpoint MyAccountController::postAccountInfoForm pod POST /admin/edit-account-info pozwala AccountInfoRequest na aktualizację backpack_authentication_column() (domyślnie email) bez wymagania current_password ani weryfikacji istniejącego hasła. Atakujący z tymczasową uwierzytelnioną sesją Backpack może zmienić email odzyskiwania konta i później użyć resetu hasła.

W next-video przed wersją 2.8.1 endpoint GET eksportowany przez next-video/request-handler, często montowany pod /api/video, przyjmuje nieuwierzytelniony parametr zapytania url, a funkcja isRemote() traktuje każdą wartość bez prefiksu HTTP/HTTPS jako ścieżkę lokalną. Wartość przechodzi przez getAssetPath() do loadAsset(), który dodaje sufiks JSON i używa fs.readFile bez kanonizacji ścieżki ani weryfikacji, że pozostaje w skonfigurowanym folderze wideo.

W containerd na Linuksie z włączoną wtyczką CRI, przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5, funkcja drainExecSyncIO w internal/cri/server/container_execsync.go może zostać zablokowana na czas nieokreślony, gdy CRI ExecSync jest używane przez sondy exec lub hooki cyklu życia uruchamiające długotrwałe procesy potomne zachowujące potoki stdin/stdout. Faza opróżniania wejścia i wyjścia nie ma domyślnego limitu czasu i nie zatrzymywała się przy anulowaniu kontekstu żądania.

W Auth0 Symfony od wersji 5.0.0-BETA0 do 5.9.0 ścieżki Authorizer::authenticate() i Authorizer::supports() w autentykatorze bezpieczeństwa Authorizer mogą akceptować tokeny dostępu OAuth 2.0 bearer z parametru zapytania URL tokena, a także z nagłówka Authorization dla chronionych tras HTTP. Tokeny w query stringu mogą być zapisywane w logach serwera, historii przeglądarki lub danych referrer.

W OpenTelemetry przed wersją 0.154.0 eksporter Sentry odczytuje kontrolowany przez zdalnego nadawcę OTLP atrybut zasobu service.name w exporter/sentryexporter/sentry_exporter.go przez extractProjectSlug i getOrCreateProjectEndpoint, przekazuje surowy slug projektu do GetOTLPEndpoints i GetProjectKeys, i interpoluje go do URL API Sentry bez zastosowania projectSlugRegexp przez validateRoutingConfig w czasie działania. Znaki specjalne mogą zmienić oczekiwany sufiks ścieżki w dane zapytania lub wprowadzić segmenty slash i kropka umożliwiające przejście ścieżki.

W GNU C Library w wersjach od 2.1 do 2.44 wywołanie tdelete na wystarczająco głębokim drzewie może zapisać jeden wskaźnik poza końcem tablicy alokowanej przez alloca na stosie, co może spowodować awarię aplikacji. Implementacja tdelete utrzymuje jawny stos węzłów nadrzędnych do rebalansowania, który jest powiększany w razie potrzeby podczas schodzenia w drzewie; dwie gałęzie rebalansowania dodają wpis bez sprawdzenia pojemności.

W GNU Binutils 2.47 wykryto podatność w funkcji _bfd_elf_write_section_eh_frame w pliku bfd/elf-eh-frame.c, w komponencie Eh Frame Section Handler. Manipulacja argumentami cie_length/fde_length/augmentation_data_size/write_offset prowadzi do przepełnienia bufora. Atak wymaga dostępu lokalnego.