Katalog podatności CVE

Wstawienie poufnych informacji do plików dziennika w komponencie git_utils[.]py w Amazon SageMaker Python SDK V3 przed 3.10.0 i V2 przed 2.257.3 może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na uzyskanie jawnych poświadczeń repozytorium z CloudWatch Logs, gdy operacja git clone zakończy się niepowodzeniem, ponieważ funkcja runclone_command() nie usuwa poświadczeń z wyjścia błędów podprocesu. Aby naprawić ten problem, użytkownicy powinni zaktualizować do Amazon SageMaker Python SDK V3 3.10.0 lub V2 2.257.3.

Wiele wzmacniaczy Wi-Fi TP-Link używa niestandardowej, odwracalnej transformacji XOR i słownikowej w przepływie logowania do zarządzania przez HTTP. Nieuwierzytelniony atakujący w tej samej sieci lokalnej, który może przechwycić ruch sieciowy związany z logowaniem legalnego administratora, może uzyskać alternatywną wartość poświadczeń dającą ten sam akceptowany wynik uwierzytelnienia i użyć jej do zalogowania się do interfejsu zarządzania z uprawnieniami administratora. Wykorzystanie wymaga, aby logowanie zarządzania używało HTTP, a atakujący obserwował klucz sesji, słownik i wartość logowania związaną z legalnym logowaniem administratora. Udane wykorzystanie może pozwolić nieuwierzytelnionemu atakującemu sąsiadującemu na uzyskanie dostępu administratora do urządzenia i modyfikację ujawnionych ustawień konfiguracji.

DataEase to narzędzie do wizualizacji i analizy danych o otwartym kodzie źródłowym. Przed wersją 2.10.26 uwierzytelnieni użytkownicy mogą zapisać spreparowany niestandardowy dateFormat dla pola zestawu danych. DatasetTableFieldDTO.dateFormat jest wstawiany bez walidacji do szablonów konwersji dat używanych przez Dimension2SQLObj, CustomWhere2Str, Field2SQLObj, WhereTree2Str i ExtWhere2Str. Gdy wykres renderuje pole w zestawie danych między źródłami, parsowanie Calcite jest pomijane, a spreparowany format może bezpośrednio zmienić generowane SQL.

DataEase to narzędzie do wizualizacji i analizy danych o otwartym kodzie źródłowym. Przed wersją 2.10.26 uwierzytelnieni użytkownicy mogą zapisać spreparowane wartości FieldGroupDTO.min, FieldGroupDTO.max, FieldGroupDTO.startTime lub FieldGroupDTO.endTime w definicjach binowania grup pól zestawu danych. Utils.transGroupFieldToSql wstawia te dowolne wartości do generowanych wyrażeń CASE bez walidacji, a wynikowy SQL może trafić do nieparametryzowanego wykonania zapytania w backendzie, gdy wykres używa tego pola.

DataEase to narzędzie do wizualizacji i analizy danych o otwartym kodzie źródłowym. Uwierzytelnieni użytkownicy z dostępem do źródła danych mogą dostarczyć spreparowane nazwy schematów, nazwy użytkowników połączenia, nazwy tabel lub nazwy baz danych do operacji metadanych źródła danych, w tym przepływów getSchema, validate, save i update. CalciteProvider wstawia te identyfikatory do zapytań metadanych wykonywanych przez zwykły JDBC Statement, co pozwala na zmianę generowanego SQL i uruchomienie go przeciwko skonfigurowanemu backendowi z poświadczeniami źródła danych posiadanymi przez aplikację.

lichess.org to wiecznie darmowy, bez reklam i open source serwer szachowy. Przed commitem c54596c9e1569d378fe20f80d4c790c6fdee54c4 użytkownik mogący dodać rozdział do studium może umieścić tekst kontrolowany przez atakującego w tagu PGN Annotator, który staje się Comment.Author.External i jest zwracany dosłownie przez authorText. Gdy węzeł studium ma co najmniej dwa komentarze, ui/analyse/src/treeView/inlineView.ts interpoluje ten ciąg autora do HTML przekazanego do hooka innerHTML bez escapowania. Otwarcie zainfekowanego studium może zatem renderować przechowywany HTML i CSS kontrolowany przez atakującego dla innych widzów, w tym nawigację do witryny kontrolowanej przez atakującego, podszywanie się pod treść i ekspozycję danych opartą na CSS, chociaż polityka bezpieczeństwa treści witryny blokuje wstrzyknięty JavaScript. Ta luka jest naprawiona commitem c54596c9e1569d378fe20f80d4c790c6fdee54c4.

cpp-httplib to nagłówkowa biblioteka HTTP/HTTPS w C++. Od wersji 0.29.0 do 0.51.0 funkcja Client::open_stream w httplib.h przyjmuje ścieżkę kontrolowaną przez wywołującego, która trafia do detail::write_request_line() bez ochrony detail::encode_path() stosowanej w zwykłej buforowanej ścieżce żądania. Surowe bajty CR i LF w ścieżce mogą podzielić wychodzącą linię żądania HTTP/1.1 i wstrzyknąć metadane żądania ukształtowane przez atakującego.

Biblioteka cpp-httplib przed wersją 0.51.0 nie usuwa nagłówków Cookie przy przekierowaniach cross-origin typu 301, 302, 307 i 308. Funkcja create_redirect_client() usuwa nagłówki Host, Proxy-Authorization i Authorization, ale pozostawia Cookie, przez co ciasteczka sesyjne są wysyłane do celu przekierowania.

Sentry w wersjach od 26.5.0 do 26.7.2 posiada podatność w przepływie łączenia tożsamości SAML SSO. Atakujący kontrolujący dostawcę tożsamości SAML może nakłonić uwierzytelnionego użytkownika do otwarcia złośliwego URL i powiązać swoją tożsamość z kontem ofiary, przejmując je.

DataEase to open source narzędzie do wizualizacji i analizy danych. Przed 2.10.26 uwierzytelnieni użytkownicy mogący edytować pola zestawu danych i konfigurację wykresu mogą przechować wartość wymiaru zawierającą HTML w wykresie bar-horizontal. Gdy lengthLimit obcina etykietę osi kategorii, configAxisLabelLengthLimit w core/core-frontend/src/views/chart/components/js/panel/common/common_antv.ts pobiera pełną etykietę i przypisuje ją do elementu g2-tooltip-title przez innerHTML. Ofiara, która otworzy pulpit i najedzie na obciętą etykietę, może wykonać JavaScript kontrolowany przez atakującego w sesji DataEase ofiary. Problem jest naprawiony w wersji 2.10.26.

W DataEase przed wersją 2.10.26 uwierzytelniony użytkownik z uprawnieniem do tworzenia folderów może zapisać nazwy zawierające kod HTML. Gdy inny użytkownik otworzy okno dialogowe „Move to” i wpisze tekst w polu wyszukiwania, złośliwy JavaScript zostaje wykonany w jego sesji (XSS).

W Dgraph przed wersją 25.4.0 Dgraph Zero rejestruje administracyjne trasy HTTP na porcie 6080 bez uwierzytelniania, gdy interfejs administracyjny jest włączony. Trasa /removeNode przyjmuje kontrolowane przez atakującego wartości id i group i przekazuje je do Server.RemoveNode, gdzie grupa 0 może wywołać ProposePeerRemoval. Zdalny nieuwierzytelniony atakujący, który może połączyć się z portem HTTP Zero, może odczytać topologię przez /state, przydzielić identyfikatory przez /assign, uzyskać dostęp do wystawionej trasy administracyjnej /moveTablet lub usunąć członkostwo przez /removeNode, zakłócając płaszczyznę kontrolną Zero i destabilizując węzły Alpha, które od niej zależą. Rejestracja tras odbywa się w dgraph/cmd/zero/run.go, a zademonstrowana ścieżka usuwania członkostwa prowadzi do Server.RemoveNode i ProposePeerRemoval.

W pipecat-ai od wersji 0.0.98 do 1.6.0 wbudowany runner deweloperski udostępnia nieuwierzytelnione endpointy /start, /daily i /daily-dialin-webhook, które mogą tworzyć sesje botów i pokoje Daily. Domyślnie runner nasłuchuje tylko na localhost, więc eksploatacja wymaga wystawienia go na niezaufany ruch (np. przez --host 0.0.0.0, opublikowany port lub tunel).

Dekoder HTTP/1.x w Eclipse Vert.x w wersjach [5.0.0,5.0.12], [5.1.0,5.1.9] i [5.2.0,5.2.0] stosuje kanonikalizację znanych nagłówków HTTP, która błędnie interpretuje spreparowane nagłówki jako nagłówki z listy, np. Content-Xength jako Content-Length. Umożliwia to przeprowadzenie ataku request smuggling.

W Eclipse Vert.x w wersjach [4.0.0, 4.5.34], [5.0.0, 5.0.12], [5.1.0, 5.1.9] i 5.2.0 komponent vertx-mail-client nie usuwa znaków CR/LF z nazw i wartości nagłówków e-mail przed zapisaniem ich do sekcji SMTP DATA. Wstrzyknięcie sekwencji CR/LF pozwala dodać dowolne nagłówki (np. Bcc, Reply-To) lub dopisać treść do wiadomości; ta sama słabość dotyczy metadanych części MIME.

W Eclipse Vert.x Web w wersjach [4.0.0,4.5.34], [5.0.0,5.0.12], [5.1.0,5.1.9] i [5.2.0,5.2.0] występuje obejście zakresu uprawnień w ChainAuthHandler podczas pracy z handlerami wymagającymi zakresów, takimi jak JWTAuthHandler lub OAuth2AuthHandler. Gdy użytkownik jest już uwierzytelniony przez wcześniejszy handler, ChainAuthHandler pomija całą walidację zakresów skonfigurowaną przez withScope() lub withScopes().

W BentoPDF do wersji 2.8.6 plik cloudflare/cors-proxy-worker.js wykonuje sprawdzenie DNS-over-HTTPS w hostnameResolvesToPrivate() oddzielnie od właściwego żądania fetch. W środowiskach bez walidacji PROXY_SECRET atakujący kontrolujący autorytatywny DNS może sfałszować nagłówek Origin i podać URL certyfikatu, OCSP, CRL lub TSA, który przechodzi kontrole ścieżki, zwracając publiczny adres podczas walidacji i prywatny podczas późniejszego fetch.

dbt w wersjach od 2.0.0-alpha.0 do 2.0.0-alpha.5 udostępnia nieuwierzytelniony endpoint POST /api/v1/query w dbt docs serve, który przekazuje SQL dostarczony przez klienta do DuckDbViewsBackend::query_arrow() bez autoryzacji i listy dozwolonych. Klient mogący połączyć się z serwerem może wywołać funkcje odczytu systemu plików DuckDB, aby odczytać pliki dostępne dla procesu dbt, w tym pliki spoza katalogu indeksu dokumentacji.

W F´ (F Prime) przed wersją 4.3.0 walidacja zakresu w Svc::FileDownlink SendPartial jest podatna, ponieważ suma z przepełnieniem omija sprawdzenie zakresu, staje się m_endOffset i pozostawia m_byteOffset większy niż zawinięty koniec. Gdy istniejący plik źródłowy jest większy niż podany startOffset, a długość powoduje zawinięcie sumy U32, pierwsza wysyłka pakietu danych osiąga FW_ASSERT i przerywa lub resetuje proces.

W F´ (F Prime) przed wersją 4.3.0 procedura Svc::TlmPacketizer TlmRecv_handler kopiuje val.getSize bajtów do stałego slotu entry.channelSize bez sprawdzenia, czy wartość mieści się w rozmiarze. Gdy aktualizacja telemetrii dla skonfigurowanego kanału niesie większą wartość, dochodzi do nadpisania sąsiednich pól kanału i emisji uszkodzonej telemetrii.