Katalog podatności CVE

Backstage to otwarty framework do budowania portali deweloperskich. Przed wersjami 1.14.8, 1.15.6 i 2.0.1 pakiet @backstage/plugin-techdocs-node nieprawidłowo walidował konfigurację markdown_extensions w stylu mapowania. Uwierzytelniony atakujący mogący zarejestrować lub wpłynąć na źródło dokumentacji oparte na SCM może obejść sanityzację TechDocs i spowodować import oraz instancjonowanie obiektów Pythona w środowisku uruchomieniowym generatora, prowadząc do wykonania dowolnego kodu. Wcześniejsze poprawki w wersjach 1.14.6 i 1.15.4 nie rozwiązały w pełni obsługiwanej reprezentacji mapowania markdown_extensions. Wpływ jest największy, gdy generowanie dokumentacji działa z poświadczeniami backendu, dostępem do systemu plików lub dostępem do sieci wewnętrznej.

Backstage to otwarty framework do budowania portali deweloperskich. Przed wersją 1.14.6 pakiet @backstage/plugin-techdocs-node jest podatny na obejście konfiguracji w sanityzacji pliku techdocs mkdocs.yml. Niewystarczająca walidacja konfiguracji MkDocs podczas generowania TechDocs może pozwolić uwierzytelnionemu użytkownikowi, który może rejestrować lub modyfikować źródła dokumentacji, na wykonanie dowolnych poleceń w środowisku budowania. Wpływ jest ograniczony do zasobów dostępnych dla backendu TechDocs lub kontenera budowania.

Backstage, framework do budowy portali deweloperskich, przed wersją 1.14.6 zawiera podatność na zdalne wykonanie kodu w pakiecie @backstage/plugin-techdocs-node. Uwierzytelniony użytkownik, który może rejestrować encje katalogu, może dostarczyć spreparowany plik mkdocs.yml z polami markdown_extensions, co prowadzi do wykonania dowolnych poleceń systemu operacyjnego na hoście budującym TechDocs. Problem został naprawiony w wersjach 1.14.6 i 1.15.4.

W wtyczce eksportu GIF w GIMP występuje przepełnienie bufora na stercie. Eksportowanie obrazu o bardzo dużej szerokości i wysokości może spowodować 32-bitowe przepełnienie podczas obliczania rozmiaru bufora pikseli, co prowadzi do przepełnienia licznika i niezgodności między alokacją a rzeczywistym zapisem danych przez GEGL.

Coturn 4.10.0 zawiera lukę ujawnienia niezainicjalizowanej pamięci, która pozwala zdalnym nieuwierzytelnionym atakującym na wyciek zawartości stosu poprzez wysłanie żądania TURN Allocate bez poświadczeń. Funkcja stun_init_error_response_common_str() nie zeruje bufora avalue przed obliczeniem jego długości i skopiowaniem wyciekłych bajtów stosu do frazy ERROR-CODE.

Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.

Narzędzie diagnostyczne ping w portalu zarządzania Fanvil x7a w wersji 2.6.0.1182 nie obsługuje bezpiecznie danych wprowadzanych przez użytkownika. Brak bezpiecznej walidacji danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć polecenia i uruchomić kod w systemie Android urządzenia.

Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.

Komponent dziennika urządzenia w Fanvil x7a w wersji 2.6.0.1182 nie sanityzuje ani nie koduje prawidłowo odzwierciedlanych danych wprowadzanych przez użytkownika. Brak sanityzacji pozwala na wstrzyknięcie kodu HTML, który może posłużyć do wykonania złośliwego kodu JavaScript w dowolnej przeglądarce renderującej komponent dziennika.

Portal zarządzania oprogramowaniem układowym Fanvil x7a w wersji 2.6.0.1182 zawiera narzędzie diagnostyczne ping, które nie obsługuje bezpiecznie danych wprowadzanych przez użytkownika. Brak bezpiecznego przetwarzania wejścia pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie poleceń i uruchomienie kodu w systemie operacyjnym Android.

Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.

Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.

Komponent dziennika urządzenia w firmware Fanvil x7a w wersji 2.6.0.1182 nieprawidłowo oczyszcza lub koduje dane pochodzące od użytkownika. Brak sanityzacji umożliwia wstrzyknięcie kodu HTML, co pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce wyświetlającej komponent dziennika.

Problem w iTerm2 na macOS w wersji przed 3.6.12 pozwala lokalnemu atakującemu na uzyskanie poufnych informacji.

W NTFS-3G przed wersją 2026.7.7 występuje przepełnienie bufora na stercie w funkcji ntfs_ib_cut_tail() w libntfs-3g/index.c. Atakujący może uszkodzić pamięć sterty w binarium ntfs-3g z uprawnieniami SUID-root poprzez spreparowanie złośliwego obrazu NTFS; przepełnienie jest wyzwalane przez utworzenie pliku w specjalnie przygotowanym katalogu.

W NTFS-3G przed wersją 2026.7.7 występuje odczyt poza zakresem w funkcji ntfs_fix_file_name() w libntfs-3g/reparse.c. Atakujący może odczytać potencjalnie poufne informacje z pamięci procesu ntfs-3g, tworząc złośliwy obraz NTFS i wywołując readlink na uszkodzonym pliku.

W NTFS-3G przed wersją 2026.7.7 występuje przepełnienie bufora na stercie w funkcji ntfs_ib_copy_tail() w libntfs-3g/index.c. Atakujący może uszkodzić pamięć sterty w binarium ntfs-3g z uprawnieniami SUID-root poprzez spreparowanie złośliwego obrazu NTFS; przepełnienie jest wyzwalane przez rozszerzenie katalogu, np. poprzez utworzenie pliku.

W wger przed wersją 2.6 uwierzytelniony atakujący może wstrzyknąć dowolne wpisy dziennika treningowego do SlotEntry innego użytkownika, podając identyfikator slot_entry ofiary w żądaniu POST /api/v2/workoutlog/. Klucz obcy slot_entry nie jest weryfikowany pod kątem własności, a dane są włączane do obliczeń przeciążenia progresywnego ofiary, zaburzając automatycznie generowane cele.

W wger przed wersją 2.6 występuje luka w cyklu życia uwierzytelniania/sesji, gdzie tokeny API typu bearer pozostają ważne po wylogowaniu użytkownika i po zmianie hasła. Atakujący, który ukradnie token DRF lub JWT refresh, może nadal uzyskiwać dostęp do chronionych punktów końcowych /api/v2/* aż do ręcznego unieważnienia lub naturalnego wygaśnięcia tokenu.

wger, menedżer treningów i fitnessu, przed wersją 2.6 zawiera podatność, która pozwala użytkownikowi z uprawnieniem `gym_trainer` dezaktywować dowolne konto w tej samej siłowni, w tym konta `gym_manager` i `general_gym_manager`. Widok `UserDeactivateView` przyznaje dostęp każdemu posiadającemu którekolwiek z uprawnień `gym.manage_gym`, `gym.manage_gyms` lub `gym.gym_trainer` (logika OR), bez sprawdzania hierarchii uprawnień, co pozwala niższej roli wyłączyć wyższą. Wersja 2.6 naprawia problem.