Katalog podatności CVE

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, uwierzytelniony użytkownik z ważnym kluczem API, ograniczonym do variable:list, mógł odczytać zmienne z projektów, w których nie był członkiem, podając dowolny parametr projectId w publicznym API.

Biblioteka Axios, używana jako klient HTTP, przed wersjami 1.15.1 i 0.31.1, miała lukę w logice ochrony tokenów XSRF. Wykorzystywała semantykę prawdziwości/falszywości w JavaScript zamiast ścisłego porównania boolean dla właściwości konfiguracyjnej withXSRFToken.

Polecenie npm ci w npm w wersjach 7.x i 8.x do 8.1.3 kontynuuje instalację, nawet jeśli informacje o zależnościach w pliku package-lock.json różnią się od tych w package.json. To zachowanie jest niezgodne z dokumentacją.

Handlebars w wersjach od 4.0.0 do 4.7.8 ma lukę w funkcji `resolvePartial()`, która pozwala na rozwiązywanie nazw częściowych poprzez zwykłe wyszukiwanie właściwości w `options.partials`, bez zabezpieczeń przed przechodzeniem przez łańcuch prototypów.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.27, 2.13.3 i 2.14.1, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł stworzyć proces, który generuje obiekt danych binarnych HTML bez nazwy pliku.

Axios to klient HTTP oparty na obietnicach, używany w przeglądarkach i Node.js. W wersjach od 1.0.0 do przed 1.15.1 konstruktor FormDataPart w pliku lib/helpers/formDataToStream.js interpoluje wartość type bez sanitizacji sekwencji CRLF ( ) w nagłówku Content-Type każdej części multipart.

Złośliwy serwer MySQL (lub atak typu man-in-the-middle) może wymusić na mysql2 wysłanie poświadczeń w postaci jawnego tekstu, żądając przełączenia uwierzytelniania na mysql_clear_password. Sterownik spełnia żądanie bez weryfikacji, czy połączenie korzysta z TLS.

Biblioteka gorilla/websocket używała generatora liczb pseudolosowych math/rand (kryptograficznie słabego) do generowania kluczy maskowania ramek WebSocket. Klucze muszą być nieprzewidywalne, aby zapobiec wstrzykiwaniu treści do ramek.

Wykryto i naprawiono kilka podatności (dwie o krytycznym poziomie CVSSv3) w zależności libheif. Mogą one prowadzić do zdalnego wykonania kodu (RCE) na systemach Linux bazujących na glibc pod pewnymi warunkami.

Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach przed 1.15.1 i 0.31.1, dla ciał żądań strumieniowych, limit maxBodyLength jest omijany, gdy maxRedirects jest ustawione na 0, co pozwala na przesyłanie zbyt dużych danych nawet przy ustawionych surowych limitach ciała.

Podatność w bibliotece libheif używanej przez sharp (którą Next.js używa do optymalizacji obrazów) może prowadzić do zdalnego wykonania kodu podczas optymalizacji plików AVIF. Do czasu rozpowszechnienia poprawki optymalizacja plików AVIF jest wyłączona.

Parser adresów e-mail w Nodemailer traktuje komentarz RFC 5322 (w nawiasach) w domenie jako miejsce łączenia tekstu, zamiast jako białe znaki składane (CFWS), które kończą domenę. To może prowadzić do błędnego parsowania adresu, np. [email protected](x)evil.c..., umożliwiając atakującemu przekierowanie wiadomości lub obejście walidacji.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, błąd w operacji select w węźle bazy danych Oracle pozwalał na wprowadzenie kontrolowanego przez użytkownika wejścia do pola Limit, które było interpolowane bezpośrednio do zapytania SQL bez sanitizacji.

Użytkownik z odpowiednimi uprawnieniami do tworzenia lub modyfikowania workflowów oraz dostępu do poświadczeń bazy danych może nieświadomie stworzyć workflow podatny na atak SQL injection. Nawet przy oczekiwaniach, że dane wejściowe będą obsługiwane bezpiecznie przez odpowiednio zabezpieczone parametry.

W jądrze Linuxa rozwiązano podatność związaną z komponentem ASoC: tlv320adcx140, gdzie wskaźnik null był używany bez wcześniejszego ustawienia. Problem dotyczył zmiennej 'snd_soc_component' w 'adcx140_priv', która była używana tylko raz do uzyskania dostępu do 'dev'.

Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.

Parser adresów e-mail w Nodemailer (lib/addressparser/index.js) przetwarza listę adresów oddzielonych przecinkami w czasie kwadratowym (O(n²)) w zależności od liczby adresów. Pojedynczy spreparowany ciąg adresów (np. w polach To, Cc, Bcc, From, Reply-To) może spowodować znaczne spowolnienie.

Użytkownik końcowy korzystający z workflow, który wykorzystuje węzeł Guardrail, może stworzyć dane wejściowe, które omijają domyślne instrukcje zabezpieczeń. To może prowadzić do nieautoryzowanego dostępu lub nieprawidłowego działania systemu.

W wersjach przed 7.5.6 i 8.0.2, biblioteka protobufjs zawierała minimalny dekoder UTF-8, który akceptował zbyt długie sekwencje bajtów UTF-8 i dekodował je do ich kanonicznych znaków zamiast je zastępować. To może prowadzić do nieprawidłowego przetwarzania danych.

Axios, klient HTTP oparty na obietnicach dla przeglądarki i Node.js, przed wersjami 1.15.1 i 0.31.1, nie egzekwował limitu maxContentLength dla strumieni odpowiedzi, gdy używano responseType: 'stream'. To pozwala na ominięcie skonfigurowanych limitów rozmiaru odpowiedzi.