Katalog podatności CVE

WWBN AVideo do commita 9c39d8c8 zawiera podatność na cross-site request forgery (CSRF) w funkcjach get_domain() i isSameDomain(), które nieprawidłowo weryfikują pochodzenie nagłówka Referer. Atakujący mogą sfałszować żądania z siostrzanych subdomen lub nieparsowalnych długich domen gTLD, aby wykonywać administracyjne zapisy ObjectYPT, w tym zmiany konfiguracji serwera na żywo.

WWBN AVideo zawiera podatność na path traversal w punkcie API get_api_login_code, która pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików .log poprzez podanie sekwencji przejścia do katalogów w parametrze code. Atakujący mogą wykorzystać to do zniszczenia dzienników audytowych i badania istnienia plików na serwerze, a podatność umożliwia zarówno usuwanie plików, jak i ujawnianie informacji o systemie plików.

WWBN AVideo nie weryfikuje zaufanych proxy przed zaakceptowaniem nagłówków X-Real-IP i X-Forwarded-For, co pozwala atakującym na sfałszowanie adresu klienta używanego przez funkcję enforceRateLimit(). Atakujący mogą zmieniać wartość nagłówka przy każdym żądaniu, aby ominąć ograniczenia logowania i przeprowadzać nieograniczone ataki polegające na zgadywaniu haseł.

Podatność w Casdoor do wersji 4.0.0 dotyczy nieznanej funkcji w pliku controllers/resource.go komponentu upload-resource API. Manipulacja prowadzi do braku uwierzytelnienia, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a vendor usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt mailowy.

AVideo do wersji 29.0 zawiera nieuwierzytelnioną podatność na iniekcję SQL w pluginie User_Location, w punktach końcowych regions.json.php i cities.json.php. Parametry GET country i region są przekazywane bezpośrednio do zapytań SQL bez escapowania lub użycia prepared statements, co pozwala nieuwierzytelnionym atakującym na wykonanie iniekcji SQL typu UNION w celu odczytania dowolnych danych z bazy, w tym hashy haseł i wrażliwych danych.

Wartości ustawienia zaawansowanego mail.allowed_attachment_hostnames były używane w wyrażeniu regularnym bez odpowiedniego escapowania. Dla niektórych prawidłowych nazw hostów mogło to pozwolić na dopasowanie niezamierzonych nazw hostów i serwowanie zdalnych załączników. Podatność naprawiono w Thunderbird 155 i 153.2.

Złośliwy serwer IMAP może wywołać użycie po zwolnieniu (use-after-free) i ujawnienie pamięci sterty, wysyłając spreparowaną odpowiedź ID. Zawartość sterty może zostać zapisana do pliku prefs.js. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.

Złośliwie skonstruowany nagłówek wiadomości może prowadzić do odczytu jednego bajtu poza końcem bufora. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.

js-yaml to parser i dumper YAML w JavaScript. Od wersji 3.0.0 do 3.15.2, 4.3.2 i 5.4.1, maxTotalMergeKeys w lib/js-yaml/loader.js i lib/loader.js nie liczy pustych źródeł map podczas przetwarzania klucza scalania <<. Atakujący może aliasować dużą sekwencję pustych map do wielu celów scalania, powodując przetwarzanie O(N * K), podczas gdy totalMergeKeys pozostaje niezmienione i skonfigurowany limit zasobów nigdy nie jest osiągany. Stosunkowo mały dokument YAML może powodować długotrwałe zużycie CPU w aplikacjach przetwarzających niezaufany YAML, a przetwarzanie scalania jest domyślnie włączone w tych liniach wydań. W wersjach v3 i v4 scalanie jest domyślnie włączone, więc wynik dotkliwości jest wyższy. Problem naprawiono w wersjach 3.15.2, 4.3.2 i 5.4.1.

Laravel Excel od wersji 3.1.8 do 3.1.70 ma podatność w src/Files/Disk.php, gdzie metoda Disk::copy() rozwiązuje kontrolowany przez wywołującego parametr $destination (przekazywany przez Excel::store(), $export->store() lub storeExcel()) względem katalogu roboczego procesu za pomocą realpath() zamiast skonfigurowanego dysku systemu plików. Jeśli ścieżka wskazuje istniejący zapisywalny plik, Disk::copy() otwiera go trybem rb+ i używa stream_copy_to_stream(), omijając ograniczenia Flysystem, co pozwala atakującemu kontrolującemu ścieżkę eksportu na nadpisanie dowolnych istniejących plików zawartością eksportu. Zachowanie rb+ powoduje nadpisanie bez skracania i pozostawia końcowe bajty, a nadpisanie pliku PHP może prowadzić do zdalnego wykonania kodu.

Podatność typu Server-Side Request Forgery (SSRF) w GitHub Enterprise Server umożliwiała zdalne wykonanie kodu na instancji. Niewystarczająca izolacja sieci pozwalała złośliwemu kodowi hooka pre-receive na podszywanie się pod wewnętrzny serwis i przekierowanie zaufanych wewnętrznych żądań do uprzywilejowanego serwisu, co prowadziło do podniesienia uprawnień i wykonania kodu. Wykorzystanie wymagało włączenia sieci dla hooków pre-receive oraz uprawnień administratora witryny lub zapisu do repozytorium z takim hookiem. Podatność dotyczyła wszystkich wersji przed 3.22 i została naprawiona w wersjach 3.17.20, 3.18.14, 3.19.11, 3.20.7 i 3.21.5.

Podatność typu time-of-check time-of-use (TOCTOU) w GitHub Enterprise Server umożliwia zdalne wykonanie kodu. Wykorzystanie wymaga uwierzytelnionego użytkownika z prawem zapisu do repozytorium oraz precyzyjnego zsynchronizowania żądań przesyłania plików. Podatność dotyczy wszystkich wersji przed 3.22 i została naprawiona w wersjach 3.17.20, 3.18.14, 3.19.11, 3.20.7 i 3.21.5.

W GitHub Enterprise Server wykryto podatność typu server-side request forgery (SSRF). Nieuwierzytelniony atakujący mógł zmusić Manage API do wysyłania spreparowanych żądań wychodzących do hosta kontrolowanego przez atakującego, a token HMAC uwierzytelniał jedynie znacznik czasu, nie ścieżkę ani treść żądania. Token przechwycony przez atakującego mógł zostać powtórzony wobec uprzywilejowanych punktów końcowych agenta zarządzającego.

SVGO (SVG Optimizer), biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG, od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, ma podatność w opcjonalnym pluginie removeScripts (nazwanym removeScriptElement w wersjach 2 i 3), który niekompletnie filtruje wykonywalne linki w plugins/removeScripts.js i lib/svgo/tools.js. Plugin nie rozpoznaje elementów kotwicy SVG z prefiksem przestrzeni nazw, takich jak svg:a z href lub *:href, i nie usuwa znaków tabulacji, nowej linii ani powrotu karetki przed sprawdzeniem schematu URL. Przeglądarki usuwają te znaki przed parsowaniem schematu, co pozwala wykonywalnemu linkowi przejść kontrolę pluginu. Gdy aplikacja przetwarza dane SVG kontrolowane przez atakującego i serwuje wynik w aktywnym kontekście przeglądarki, ofiara, która aktywuje przetrwający link, może wykonać skrypt w kontekście SVG, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara.

Scrapy, framework do web crawlingu i scrapingu w Pythonie, przed wersją 2.17.0 ma podatność w scrapy/core/downloader/handlers/s3.py, gdzie S3DownloadHandler konwertuje żądanie z schematem S3 na zwykłe żądanie HTTP do odpowiedniego punktu końcowego S3, chyba że request.meta["is_secure"] jest jawnie włączone, a następnie podpisuje i wysyła to żądanie z skonfigurowanymi poświadczeniami AWS. Atakujący sieciowy, który może obserwować ruch między Scrapy a S3, może odczytać ścieżkę bucket i klucz, nagłówek Authorization AWS, X-Amz-Security-Token przy użyciu tymczasowych poświadczeń, zawartość obiektów S3 i nagłówki odpowiedzi S3. Aktywny atakujący man-in-the-middle może również modyfikować treść odpowiedzi S3, kod statusu i nagłówki przed przetworzeniem przez Scrapy, powodując zatrucie danych scrapowanych, zatrucie eksportów, zatrucie pamięci podręcznej HTTP, gdy buforowanie jest włączone, lub wpływ na późniejsze cele crawl poprzez sfałszowane przekierowania lub linki kontrolowane przez atakującego.

Composer, menedżer zależności dla PHP, ma podatność w wersjach od 1.0 do 2.2.30 i 2.10.3. Złośliwy pakiet z niestandardowego repozytorium lub niezaufany plik composer.lock może ustawić source.type na perforce i source.url na wartość P4PORT zaczynającą się od rsh: lub jsh:. Gdy klient Perforce p4 jest zainstalowany, a Composer instaluje pakiet ze źródła, p4 wykonuje lokalne polecenie z uprawnieniami użytkownika lub konta CI.

W interfejsie wiersza poleceń AOS-CX istnieje podatność na format string, która może prowadzić do nieuwierzytelnionego zdalnego wykonania kodu. Udane wykorzystanie pozwala na wykonanie dowolnego kodu jako uprzywilejowany użytkownik w systemie operacyjnym.

W interfejsie zarządzania opartym na sieci AOS-CX istnieje podatność na trwały atak XSS, która pozwala uwierzytelnionemu zdalnemu atakującemu przeprowadzić atak na administratora interfejsu. Udane wykorzystanie umożliwia wykonanie dowolnego kodu skryptowego w przeglądarce ofiary w kontekście interfejsu.

W interfejsie zarządzania opartym na sieci przełączników AOS-CX brakuje ochrony przed Cross-Site Request Forgery (CSRF) w niektórych sesjach. Może to pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnych danych wejściowych w interfejsie, jeśli przekona uwierzytelnionego użytkownika do interakcji ze specjalnie spreparowanym URL.