Katalog podatności CVE

Przepełnienie bufora w V8 w Google Chrome przed wersją 156.0.8078.73 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w piaskownicy za pomocą spreparowanej strony HTML.

W a2aproject a2a-js do wersji 1.1.0 funkcja ResultManager.applyStatusUpdate w pliku src/server/result_manager.ts jest podatna na warunek wyścigu. Atak można przeprowadzić zdalnie, a poprawka została wydana w wersji 1.2.0 (commit 7b87c9480bfa643f9d2b2eaf06988b3d3a95de25).

Narzędzie ast_loggrabber w Asterisku wykonuje skrypt Pythona z katalogu /tmp, który jest zapisywalny dla wszystkich. Atakujący posiadający już sesję powłoki na serwerze może umieścić tam złośliwy skrypt i uzyskać podwyższone uprawnienia lub wykonać kod, gdy administrator uruchomi ast_loggrabber z podwyższonymi uprawnieniami.

W dekoderze Codec2 w Asterisku występuje zapis poza granicami bufora powodujący przepełnienie bufora sterty, wywołany niezgodnością liczby próbek floor/ceil. Uwierzytelniony atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety audio Codec2 w ramach ustanowionej rozmowy.

W bibliotece russh (Rust SSH) od wersji 0.60.0 do 0.65.0 parsowanie otwarcia kanału akceptuje zadeklarowany przez drugą stronę maximum_packet_size równy zero i przekazuje go do ChannelTx::poll_writable. Asynchroniczne ścieżki zapisu pozostają w stanie oczekiwania na zawsze, co pozwala uwierzytelnionemu klientowi zablokować zapisy serwera, a złośliwemu serwerowi — zapisy klienta.

W bibliotece russh przed wersją 0.65.0 ścieżka Session::process_packet w kliencie akceptuje przed uwierzytelnieniem powtarzane pakiety z prywatnym numerem msg::EXT_INFO = 7. Funkcja handle_ext_info dodaje każdą nazwę rozszerzenia do wektora received_extensions bez czyszczenia, deduplikacji ani ograniczenia, co prowadzi do stopniowego wyczerpania pamięci klienta.

W parserze CSS Crass (Ruby) przed wersją 1.0.8 niepoprawnie traktuje nawias zamykający po escapowanym backslashu jako escapowany podczas przetwarzania resztek błędnego URL. Crass zachowuje deklaracje, reguły stylów lub at-rules wewnątrz błędnego tokenu URL, mimo że przeglądarka traktuje je jako aktywny CSS.

W OpenTelemetry Python przed wersją 1.45.0 funkcja JaegerPropagator.extract() w opentelemetry-propagator-jaeger przetwarza przychodzące wartości uberctx-* bez limitów na wpis, bajty na wpis ani łączną liczbę bajtów. Gdy niezaufany nośnik dostarczy wiele lub zbyt duże wartości, usługa wykonuje zbędną pracę CPU i krótkotrwałe alokacje pamięci, przyczyniając się do ataku typu denial of service.

MLflow to otwarta platforma inżynierii AI dla agentów, dużych modeli językowych i modeli uczenia maszynowego. Od wersji 2.19.0 do 3.17.0 mlflow.crewai.autolog() rejestruje obiekty CrewAI Agent bez konsekwentnej sanityzacji zagnieżdżonych wartości zawierających poświadczenia. mlflow/crewai/autolog.py::_get_agent_attributes() konwertuje pole Agent llm na ciąg znaków zawierający klucz API dostawcy, podczas gdy mlflow/crewai/autolog.py::_construct_full_inputs() rozwija obiekt Agent do mlflow.spanInputs. Aplikacje mogą zatem wysyłać jawne poświadczenia dostawcy do backendu śledzenia MLflow lub skonfigurowanego miejsca docelowego OTLP, gdzie czytelnicy śladów mogą je uzyskać. Problem został naprawiony w wersji 3.17.0.

follow-redirects to wrapper klienta HTTP i HTTPS dla Node.js, który automatycznie podąża za przekierowaniami. Od wersji 1.16.0 do 1.16.2 udokumentowana opcja sensitiveHeaders jest sprawdzana za pomocą value instanceof Array, więc tablica utworzona w innym środowisku JavaScript jest zastępowana pustą listą, mimo że Array.isArray ją rozpoznaje. Gdy żądanie następnie podąża za przekierowaniem cross-origin kontrolowanym przez atakującego, niestandardowy nagłówek poświadczeń wymieniony na tej odrzuconej liście może zostać przesłany do miejsca docelowego przekierowania. Problem został naprawiony w wersji 1.16.2.

Model Context Protocol Python SDK to oficjalny zestaw SDK Python dla serwerów i klientów Model Context Protocol. Od wersji 1.10.0 do 1.30.0 i 2.2.0 wywołania narzędzi ClientSession, ClientSessionGroup i Client walidują dokumenty outputSchema deklarowane przez serwer za pomocą domyślnego resolvera jsonschema, powodując, że nierozwiązana wartość $ref pobiera adres URL HTTP, HTTPS lub pliku z kontekstu sieciowego i systemu plików klienta. Serwer może wywołać ślepe żądania lub odczyty lokalnych plików i może zablokować każdą sesję w procesie, ponieważ rozwiązywanie odbywa się synchronicznie w pętli zdarzeń bez limitu czasu. Problem został naprawiony w wersjach 1.30.0 i 2.2.0.

Model Context Protocol Python SDK to oficjalny zestaw SDK Python dla serwerów i klientów Model Context Protocol. Od wersji 1.8.0 do 1.30.0 i 2.2.0 ścieżki klienta streamable_http_client, streamablehttp_client, sse_client, ClientSessionGroup, OAuth i create_mcp_http_client włączają follow_redirects i podążają za przekierowaniami do innej domeny, przekazując niestandardowe nagłówki poświadczeń dostarczone przez wywołującego, a w przypadku odpowiedzi 307 lub 308 także treść żądania. Atakujący, który może wpłynąć na miejsce docelowe przekierowania zaufanego punktu końcowego, może otrzymać te materiały. Problem został naprawiony w wersjach 1.30.0 i 2.2.0.

W Model Context Protocol Python SDK w wersjach od 1.10.0 do 1.30.0 oraz 2.2.0 występuje luka polegająca na tym, że uwierzytelnianie bearer skonfigurowane przez AuthSettings z token_verifier akceptuje ważny token wystawiony dla innej usługi, gdy serwer autoryzacji obsługuje wiele zasobów, a TokenVerifier nie weryfikuje niezależnie odbiorcy (aud). Luka umożliwia posiadaczowi tokena uwierzytelnienie się do niewłaściwego serwera MCP i wykorzystanie uprawnień wynikających z tego tokena. Problem naprawiono w wersjach 1.30.0 i 2.2.0.

MISP Guard zawierał niekompletną walidację wymaganych tagów taksonomii. Sprawdzał tylko, czy co najmniej jeden tag danej taksonomii pasuje do listy dozwolonych, nie weryfikując wszystkich tagów obecnych na zdarzeniu lub atrybucie. W rezultacie zdarzenie mogło zawierać jednocześnie tag dozwolony (np. tlp:clear) i niedozwolony (np. tlp:red lub tlp:amber) i nadal przejść kontrolę polityki.

Tanium rozwiązał podatność SQL injection w module Provision.

Usługa RBAC w Grafanie ignorowała wskazany folder podczas sprawdzania, czy użytkownik jest administratorem folderu dla list usuniętych pulpitów. Użytkownik z uprawnieniami do zarządzania uprawnieniami pulpitów w dowolnym folderze mógł być traktowany jako administrator każdego folderu.

W reduxjs redux-devtools 5.0.0 funkcja evalAction komponentu Remotedev Server umożliwia wstrzyknięcie kodu poprzez manipulację argumentem action. Atak jest możliwy tylko przy dostępie lokalnym, a exploit został publicznie ujawniony.

HomeBox przed wersją 0.27.0 waliduje adresy URL powiadomień za pomocą ValidateNotifierURL, ale shoutrrr wysyła żądania przez http.DefaultClient.Do bez polityki CheckRedirect ponownie walidującej każdy cel przekierowania. Uwierzytelniony członek kolekcji może skonfigurować dozwolony host powiadomień przekierowujący do pętli zwrotnej, adresów link-local, metadanych chmury lub innego zablokowanego celu.

W Neko od wersji 3.0.0 do 3.1.5 wdrożenia z trybem legacy i włączonym session.implicit_hosting nieprawidłowo autoryzują dane wejściowe kanału danych WebRTC, ponieważ LegacyIsHost() błędnie ocenia status hosta. Uwierzytelniony członek pokoju może wysyłać zdarzenia myszy i klawiatury przez kanał sterowania legacy, gdy kontrolki są zablokowane.

Vaultwarden przed wersją 1.37.0 waliduje początkowy host ikony i wyniki DNS, ale przekazuje adresy URL favicon z HTML kontrolowanego przez atakującego do get_page_with_referer() bez zastosowania should_block_host() do hosta drugiego etapu. Zdalny nieuwierzytelniony atakujący może podać publiczną stronę, której favicon używa adresu IP, umożliwiając serwerowi Vaultwarden dostęp do pętli zwrotnej lub adresów prywatnych.