Katalog podatności CVE

W funkcji extract_parts w EmailSheet w VisiData (wersja dev, commit 38b21f78) występuje luka path traversal. Specjalnie przygotowany plik .eml może doprowadzić do zapisu dowolnego pliku, co atakujący może wykorzystać, dostarczając złośliwy plik.

Podatność typu path traversal w funkcji unzip_http RemoteZipFile w VisiData (wersja dev, commit 38b21f78). Specjalnie spreparowany plik .zip może prowadzić do zapisu dowolnych plików. Atakujący może podać spreparowany URL, aby wywołać tę podatność.

W instancjach MISP skonfigurowanych z wymaganym TOTP (Security.otp_required), wymuszanie konfiguracji dwuskładnikowego uwierzytelniania dotyczyło tylko standardowych żądań przeglądarki. Uwierzytelniony użytkownik, który nie zapisał się jeszcze do TOTP, mógł ominąć wymuszoną konfigurację, wysyłając żądania nieprzeglądarkowe, takie jak AJAX/XHR, API REST, URL-e .json, restSearch czy akcje automatyzacji. Ponieważ te żądania nie mogą podążać za przekierowaniem, które prowadzi do strony rejestracji TOTP, kontrola była pomijana, a użytkownik zachowywał pełny dostęp bez dokończenia konfiguracji drugiego czynnika. Poprawki (commity 8deb0619e i 6b527ba6e) rozszerzyły ochronę na wszystkie nieprzeglądarkowe żądania, z wyjątkiem uwierzytelnienia przez klucz API. Wersja dotknięta: <2.5.48.

Express Gateway do wersji 1.16.11 zawiera podatność polegającą na zaszytym na stałe kluczu kryptograficznym, która pozwala atakującym z dostępem do magazynu danych na odszyfrowanie zapisanych sekretów tokenów OAuth 2.0 za pomocą domyślnego crypto.cipherKey 'sensitiveKey'. Atakujący, którzy mogą odczytać Redis, mogą odszyfrować wartości tokenEncrypted i połączyć je z przechowywanymi identyfikatorami tokenów, aby uzyskać ważne tokeny bearer dla dowolnego użytkownika.

MISP zawiera defekt w przepływie zapisu zdarzeń, który uniemożliwia silnikowi korelacji ponowne przeliczenie korelacji, gdy zmieniany jest poziom dystrybucji lub grupa udostępniania zdarzenia. Podczas edycji istniejącego zdarzenia i zmiany jego dystrybucji lub sharing_group_id, wewnętrzny hook przed zapisem przechowywał nowe dane zamiast wcześniej zapisanych wartości. W rezultacie porównanie po zapisie, które decyduje o potrzebie odświeżenia korelacji, nigdy nie wykrywało zmiany, a nieaktualne korelacje pozostawały. Wpływ na bezpieczeństwo: nieaktualne korelacje mogą nadal ujawniać dane zdarzenia użytkownikom w szerszej grupie udostępniania po przeniesieniu zdarzenia do bardziej restrykcyjnej grupy, co prowadzi do niezamierzonego ujawnienia informacji. Odwrotnie, nowo istotne korelacje mogą nie pojawić się po poszerzeniu dystrybucji, pogarszając kompletność wymiany informacji o zagrożeniach. Warunki wstępne: uwierzytelniony użytkownik z prawem zapisu do co najmniej jednego zdarzenia MISP; użytkownik modyfikuje pole dystrybucji lub sharing_group_id. Dotknięte wersje: <2.5.48

W bibliotece m17n-lib stwierdzono błąd polegający na tym, że częściowa awaria podczas inicjalizacji może pozostawić wewnętrzny wskaźnik sterownika niezainicjalizowany. W określonych warunkach błędu, takich jak wyczerpanie zasobów systemowych lub uszkodzenie bazy danych, aplikacja próbująca otworzyć metodę wprowadzania danych dereferencjonuje wskaźnik null, co powoduje awarię aplikacji (DoS).

W m17n-lib znaleziono błąd: dostarczenie spreparowanych danych wejściowych zawierających nieprawidłową sekwencję znaków UTF-8 może spowodować, że funkcja parsowania tekstu wejdzie w nieskończoną pętlę. Problem prowadzi do ciągłego wysokiego zużycia procesora, co skutkuje odmową usługi (DoS) dla dotkniętej aplikacji.

Express Gateway do wersji 1.16.11 zawiera podatność umożliwiającą ominięcie uwierzytelniania w przepływie refresh_token OAuth 2.0, która nie weryfikuje sekretu tokena ani klienta wydającego. Atakujący z dowolnymi prawidłowymi danymi uwierzytelniającymi klienta oraz identyfikatorem części tokena odświeżania innego użytkownika może uzyskać token dostępu tego użytkownika i podszywać się pod niego wobec API chronionych przez OAuth2.

W pakiecie smart_proxy_dynflow stwierdzono brak uwierzytelniania w aktualizacjach zadań zdalnego wykonywania. Wywołania zwrotne postępu i zakończenia akceptują raport, gdy brakuje jednorazowego tokena. Atakujący sieciowy lub użytkownik musi znać identyfikator uruchomionego zadania. Dotyczy to trybu pull lub pull-mqtt. Mogą wysyłać własne dane wyjściowe zadania i oznaczać zadanie jako zakończone sukcesem lub porażką. Zadanie jest następnie rejestrowane z tym wynikiem.

Obot 0.25.0 przed 0.25.6 oraz 0.26.0 przed 0.26.1 zawiera wyścig w odświeżaniu grup dostawcy uwierzytelniania, który może przywrócić członkostwa w grupach właśnie odebrane w dostawcy tożsamości. Gdy nakładające się odświeżenia dla tego samego użytkownika są zatwierdzane w złej kolejności, nieaktualne członkostwa są utrwalane i użytkownik zachowuje odebrany dostęp oparty na grupach przez około dziesięć minut.

Obot 0.26.0 przed 0.26.2 zawiera podatność umożliwiającą ominięcie autoryzacji, która pozwala uwierzytelnionym użytkownikom pasującym do dowolnego profilu vMCP na dostęp do promptów i zasobów nieprzyznanych komponentów. Ponieważ profile były egzekwowane tylko dla narzędzi, atakujący mogą uzyskać dostęp do promptów, zasobów i szablonów zasobów przez połączenie współdzielonego komponentu właściciela vMCP.

Obot 0.12.0 przed 0.26.2 zawiera podatność niewystarczającej ochrony poświadczeń, która pozwala uwierzytelnionym użytkownikom na odczyt statycznych sekretów ustawionych na wpisach katalogu MCP przez administratorów lub zaawansowanych użytkowników. Podstawowi użytkownicy, którym przyznano wpis przez reguły kontroli dostępu, mogą wysłać żądanie GET /api/all-mcps/entries/{entry_id}, aby uzyskać klucze API lub tokeny w postaci jawnego tekstu i nadużyć ich wobec usług zaplecza.

Claude Code sprawdzał, czy docelowa ścieżka pliku znajduje się w katalogu roboczym projektu w momencie sprawdzania uprawnień, ale ponownie rozwiązywał ścieżkę w momencie zapisu bez powtórnej walidacji. Ta luka typu time-of-check to time-of-use (TOCTOU) pozwalała atakującemu, który może pisać do przestrzeni roboczej, na atomową zamianę pliku projektu na dowiązanie symboliczne, co powodowało, że Claude Code podążał za dowiązaniem i zapisywał dane do dowolnego pliku poza piaskownicą projektu. Wymagało to wygrania wyścigu z operacją zapisu i dostępu do zapisu w współdzielonej przestrzeni roboczej, co umożliwiało atakującemu o niższych uprawnieniach przekierowanie nieszkodliwych edycji do wrażliwych plików (np. konfiguracji powłoki) w sesji o wyższych uprawnieniach. Użytkownicy standardowej automatycznej aktualizacji otrzymali poprawkę; ręczne aktualizacje wymagają aktualizacji do najnowszej wersji.

Po uwierzytelnieniu, w urządzeniu SMA1000 zidentyfikowano podatność na wstrzyknięcie poleceń systemu operacyjnego (OS Command Injection), która w określonych warunkach może pozwolić zdalnemu uwierzytelnionemu atakującemu z uprawnieniami administratora na wykonanie dowolnych poleceń systemowych, co prowadzi do zdalnego wykonania kodu.

Podatność SSRF przed uwierzytelnieniem w interfejsie SMA1000 Appliance Work Place wynika z niezamierzonej alternatywnej ścieżki dostępu. Zdalny nieuwierzytelniony atakujący może wykorzystać tę ścieżkę, aby skierować urządzenie do wysyłania żądań w jego imieniu, docierając do wewnętrznych funkcji i wykonując nieautoryzowane operacje.

Wtyczka Slider by 10Web (slider-wd) zawiera podatność na ślepą iniekcję SQL. Problem występuje w wersjach do 1.2.63 włącznie.

Wtyczka WP Post Author od AF themes zawiera podatność na ślepą iniekcję SQL. Problem dotyczy wersji do 4.0.0 włącznie.

MiniUPnPd do wersji 2.3.11 zbudowany z opcją --strict zawiera podatność dzielenia przez zero w funkcji ProcessSSDPData(), która pozwala nieuwierzytelnionym atakującym w sieci lokalnej na zniszczenie demona. Atakujący mogą wysłać pojedynczy multicastowy datagram M-SEARCH z MX: 0 i znanym ST na port 1900, wywołując SIGFPE i odmawiając usługi UPnP IGD.

GitAhead do wersji 2.7.1 na macOS zawiera podatność na iniekcję poleceń, która pozwala atakującym na wykonanie poleceń powłoki poprzez spreparowane nazwy plików w repozytorium. Atakujący może dodać plik, którego ścieżka zawiera cudzysłów i kod do wykonania, który uruchomi się przy wybraniu opcji 'Show in Finder'.

GitAhead do wersji 2.7.1 zawiera podatność na iniekcję poleceń systemu operacyjnego w pliku src/git/Filter.cpp, która pozwala złośliwym repozytoriom na wykonanie poleceń poprzez podstawienie spreparowanych nazw plików do poleceń filtrów clean/smudge. Atakujący mogą dostarczyć pliki z nazwami zawierającymi $(command) wybrane przez .gitattributes, tak aby operacje checkout lub staging uruchomiły polecenie przez bash -c jako ofiara.