Katalog podatności CVE

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 pozwala uwierzytelnionemu atakującemu na odczyt dowolnych plików z systemu plików serwera — w tym tajnych materiałów serwera (secret_key, klucze podpisywania JWT, baza danych aplikacji, /proc/self/environ oraz katalogi przesyłania innych dzierżawców) — poprzez podanie ścieżek bezwzględnych lub sekwencji traversal w parametrze files uwierzytelnionego żądania budowy. Zawartość plików była osadzana jako załączniki tekstowe w promptcie modelu językowego i przesyłana do skonfigurowanego punktu końcowego modelu, co skutkowało eksfiltracją poufnych danych. Obejściu uległa granica LANGFLOW_RESTRICT_LOCAL_FILE_ACCESS=true, która była egzekwowana dla innych komponentów odczytujących pliki, ale nie dla potoku załączników od wejścia czatu do wiadomości.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu podatności na fałszowanie żądań po stronie serwera (SSRF).

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z wewnętrznych usług z powodu rozbieżności w parserze URL.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 umożliwia zdalnemu uwierzytelnionemu atakującemu usunięcie dowolnych plików lub katalogów lokalnych z powodu nieprawidłowego ograniczenia ścieżki do katalogu zastrzeżonego.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu niepełnego usuwania wrażliwych pól poświadczeń.

IBM Langflow OSS w wersjach od 1.0.0 do 1.11.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu obejścia autoryzacji w procesie budowania przepływu.

IBM Observability with Instana (Agent) Build 1.0.303 do 1.0.323 oraz IBM Instana Agent Operator mogą pozwolić uwierzytelnionemu zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu braku walidacji docelowej przestrzeni nazw podczas kopiowania poświadczeń klienta etcd mTLS z systemowej przestrzeni nazw openshift-etcd do przestrzeni nazw kontrolowanej przez atakującego.

IBM ContextForge MCP Gateway (`mcp-contextforge-gateway`) w wersji <= v1.0.6 MCP Context Forge może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu podatności na ponowne wiązanie DNS podczas wywoływania narzędzi.

W Trimble TM4WEB 21.4.0.4 endpoint zewnętrznego podglądu faktur jest podatny na odbity cross-site scripting poprzez wstrzyknięcie w dowolny parametr dodany do URL.

jina-ai reader zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), gdzie walidacja URL jest wykonywana tylko dla początkowego żądania, ale nie jest ponownie stosowana do kolejnych przekierowań. Atakujący mogą stworzyć publiczny URL, który przekierowuje do wewnętrznych adresów sieciowych lub punktów końcowych metadanych chmury, umożliwiając serwerowi pobranie i zwrócenie treści odpowiedzi celu atakującemu.

LaVague 0.2.35 zawiera podatność na zdalne wykonanie kodu w PythonFromMarkdownExtractor.extract_as_object, która ocenia niezaufane dane wyjściowe modelu językowego pochodzące z treści stron internetowych. Atakujący mogą wstrzyknąć złośliwy kod Pythona przez strony internetowe za pomocą pośredniego wstrzyknięcia promptu, aby wykonać dowolny kod na hoście operatora bez przeglądu.

MegaParse 0.0.55 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym POST /v1/url, który pobiera adresy URL dostarczone przez wywołującego po stronie serwera. Atakujący mogą bez uwierzytelnienia podać adresy URL wewnętrznych usług lub punktów końcowych metadanych, aby odczytać ich odpowiedzi bezpośrednio z odpowiedzi JSON.

Plandex 2.2.1 zawiera podatność na przechodzenie poza katalog (path traversal) w funkcji ApplyFiles, która umożliwia atakującym zapisywanie plików poza katalogiem projektu. Atakujący mogą wpływać na dane wyjściowe modelu poprzez zatrute pliki repozytorium lub kontekst kontrolowany przez atakującego, aby zapisywać w dowolnych lokalizacjach, takich jak pliki rc powłoki lub cron, osiągając wykonanie kodu.

Serwer zrzutów ekranu surya 0.22.1 zawiera nieuwierzytelnioną podatność na odczyt dowolnych plików w trasach /info, /page i /process, które akceptują surowe parametry file_path. Atakujący mogą odczytać dowolny obraz lub plik PDF na hoście, podając dowolne ścieżki plików do Image.open lub pypdfium2.PdfDocument, uzyskując renderowaną zawartość jako base64 i używając /info jako wyroczni istnienia.

ms-swift 4.5.2 zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w interfejsie API zgodnym z OpenAI do wdrażania, który pobiera multimedia z adresów URL bez walidacji lub filtrowania przekierowań. Nieuwierzytelnieni atakujący mogą podać dowolne parametry image_url, audio_url lub video_url, aby serwer wysyłał żądania do wewnętrznych usług i punktów końcowych metadanych chmury.

AgentScope do wersji 2.0.7.post1 zawiera podatność na przechodzenie po ścieżkach w LocalWorkspace.add_skill, która kopiuje dowolne katalogi serwera do przestrzeni roboczej agenta poprzez nieskonfigurowany parametr ścieżki źródłowej. Atakujący mogą podać dowolną ścieżkę katalogu w parametrze skill_path, aby skopiować pliki do katalogu umiejętności, czyniąc je dostępnymi przez listę umiejętności.

OWL's DocumentProcessingToolkit zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w narzędziu extract_document_content, które pobiera adresy URL dostarczone przez wywołującego bez filtrowania schematu, hosta lub adresu IP. Atakujący mogą wstrzykiwać złośliwe adresy URL przez wstrzykiwanie promptów, aby serwer pobierał wewnętrzne zasoby, a odpowiedzi są zwracane do kontekstu agenta.

aider (aider-chat) automatycznie ładuje plik konfiguracyjny .aider.conf.yml z katalogu głównego repozytorium git, w którym jest uruchamiany. Złośliwe repozytorium może ustawić test-cmd (wykonywany przy starcie) lub lint-cmd (wykonywany przy pierwszej edycji pliku), które aider uruchamia przez powłokę (subprocess z shell=True) bez potwierdzenia użytkownika, interakcji z LLM lub klucza API. W rezultacie użytkownik, który klonuje i uruchamia aider w repozytorium dostarczonym przez atakującego, może wykonać dowolne polecenia na swojej maszynie.

LLaMA-Factory zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w interfejsie API zgodnym z OpenAI do obsługi adresów URL multimediów, która pozwala nieuwierzytelnionym atakującym ominąć walidację SSRF. Funkcja check_ssrf_url waliduje adresy URL tylko raz, ale requests.get podąża za przekierowaniami i ponownie rozwiązuje DNS bez ponownej walidacji, co umożliwia atakującym użycie przekierowań HTTP lub ponownego wiązania DNS do uzyskania dostępu do wewnętrznych adresów i punktów końcowych metadanych chmury.

QAnything 2.0.0 zawiera podatność na ominięcie uwierzytelniania w punktach końcowych /api/local_doc_qa/get_file_base64 i /api/local_doc_qa/get_doc, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do dowolnych przesłanych plików lub dokumentów. Atakujący mogą enumerować identyfikatory plików przez nieuwierzytelnione punkty końcowe i pobierać pliki zakodowane w base64 lub fragmenty przetworzonych dokumentów bez weryfikacji własności, ujawniając zawartość baz wiedzy między dzierżawcami.