Katalog podatności CVE

W Flatpak znaleziono usterkę. Istnieje podatność typu Time-of-check to time-of-use (TOCTOU) w komponencie `org.freedesktop.Flatpak.SystemHelper`. Podatność występuje, ponieważ uprzywilejowana operacja `chmod` jest wykonywana przed walidacją repozytorium OSTree w funkcji `Deploy()`. Atakujący może wykorzystać to okno czasowe, aby przekierować dowiązania symboliczne do dowolnych plików, co może prowadzić do nieautoryzowanej manipulacji plikami lub ujawnienia informacji.

Niekompletna lista niedozwolonych danych wejściowych w komponencie walidacji SQL w Amazon awslabs postgres-mcp-server przed wersją 1.1.7 może pozwolić nieuwierzytelnionemu aktorowi na modyfikację danych poza zakresem tylko do odczytu poprzez umieszczenie spreparowanego SQL w treści przesyłanej podczas interakcji uwierzytelnionego użytkownika z serwerem MCP.

Wada w ramon-victor freegpt-webui do wersji 098db3dfeb41555c2ca9269df0f13e10ec1c35dc dotyczy funkcji getJailbreak w pliku server/backend.py komponentu Jailbreak Mode. Manipulacja może prowadzić do alokacji zasobów. Atak może być wykonany zdalnie. Exploit został opublikowany i może być użyty. Produkt nie jest już wspierany przez opiekuna.

Podatność w ramon-victor freegpt-webui do wersji 098db3dfeb41555c2ca9269df0f13e10ec1c35dc dotyczy funkcji ChatCompletion.create w pliku g4f/__init__.py komponentu Authentication Check. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być wykonany zdalnie. Exploit został ujawniony publicznie i może być użyty. Produkt nie jest już wspierany przez opiekuna.

Tycon Systems TPDIN-Monitor-WEB3 w wersjach 2.2.9 i wcześniejszych jest podatny na użycie twardo zakodowanych poświadczeń. Może to pozwolić atakującemu na przechwycenie wrażliwych informacji lub poświadczeń.

Avo to framework do tworzenia paneli administracyjnych dla aplikacji Ruby on Rails. Od wersji 2.28.0 do przed 3.32.0, endpoint bezpośredniego przesyłania załączników w Avo nie ma autoryzacji po stronie serwera i omija udokumentowane metody polityki przesyłania na poziomie pola, takie jak upload_{FIELD_ID}?. Uwierzytelniony użytkownik Avo, który może dotrzeć do endpointu przesyłania załączników, może zastąpić lub dodać treść załącznika, w tym dane binarne, nazwę pliku i metadane content-type, na rozwiązanym rekordzie, nawet gdy polityki update? i upload_<field>? odmawiają operacji. Problem został naprawiony w wersji 3.32.0.

Italtel NetMatch-S 5.0.0-20200703 zawiera wiele podatności Stored XSS w NP_IBCF-NATUP-01/NMSCI-WebGui/backup_restore.jsp oraz NP_IBCF-MIBER-03/NMSCI-WebGui/storage.jsp poprzez parametr name. Złośliwy użytkownik wykorzystujący tę podatność może wstrzyknąć dowolny JavaScript, który będzie wykonywany przy każdym przeglądaniu strony przez uwierzytelnionego użytkownika.

Wada w code-projects Online Shopping System 1.0 dotyczy funkcji mysqli_query w pliku admin/adduser.php. Manipulacja argumentem mobile może prowadzić do wstrzyknięcia SQL. Atak może być wykonany zdalnie. Exploit został opublikowany i może być użyty.

nebula-mesh to samodzielnie hostowany panel sterowania dla Slack Nebula mesh VPN. Od wersji 0.3.0 do przed 0.5.0, ścieżka tworzenia hosta w interfejsie Web UI nebula-mgmt ignoruje zarówno ustawienie bezpieczeństwa enrollment_token_ttl dla całego serwera, jak i nadpisania per-network network_config.enrollment_token_ttl. API tworzenia hosta i ścieżki regeneracji tokenów używają skonfigurowanego resolvera TTL, ale POST /ui/hosts twardo koduje now.Add(24 * time.Hour) dla nowo utworzonych tokenów rejestracji agenta. W środowiskach, które celowo skracają czas życia tokenów rejestracji, każdy uwierzytelniony operator, który może utworzyć hosta przez Web UI, może nadal wygenerować token rejestracji nośnika ważny przez około 24 godziny. Problem został naprawiony w wersji 0.5.0.

nebula-mesh to samodzielnie hostowany panel sterowania dla Slack Nebula mesh VPN. Od wersji 0.2.0 do przed 0.5.0, gdy OIDC jest włączone, GET /ui/oidc/login jest osiągalny bez uwierzytelnienia i jest zarejestrowany poza trasami auth z limitem szybkości w Web UI. Każde żądanie tworzy nowy losowy stan OIDC i przechowuje go w mapie w pamięci przez 10 minut. Wygasłe stany są usuwane leniwie, ale nie ma limitu szybkości ani maksymalnego limitu żywych stanów na ścieżce alokacji. Zdalny klient bez uwierzytelnienia może zatem zwiększać OIDC.states przez pełny czas TTL stanu, ograniczony przepustowością żądań, a nie skonfigurowanymi limitami szybkości auth. Problem został naprawiony w wersji 0.5.0.

nebula-mesh przed wersją 0.3.7 ma dwie luki autoryzacyjne: blocklista nie jest sprawdzana przy podpisywaniu/ponownej rejestracji certyfikatu (kluczowana po odcisku palca, więc ponowna rejestracja tworzy nowy odcisk), a odnowienie certyfikatu nie weryfikuje ponownie statusu operatora ani CA. Host, który nie powinien być już zaufany, może uzyskać nowy ważny certyfikat Nebula.

Wykryto podatność w jofpin trape 2.0. Dotyczy ona nieznanego kodu w pliku core/user.py komponentu Telemetry Endpoint. Manipulacja argumentem vId prowadzi do wyścigu (race condition). Atak może być wykonany zdalnie. Ataki tego rodzaju są bardzo złożone. Stwierdzono, że wykorzystanie jest trudne. Exploit został ujawniony publicznie i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.

W jofpin trape 1.0.0/2.0 w funkcji join_room pliku core/sockets.py komponentu Admin Endpoint brakuje uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany o problemie, ale nie odpowiedział.

W sterownikach DirectIo64.sys w PassMark PerformanceTest przed 11.1 build 1012, BurnInTest przed 11.1 build 1000 i OSForensics przed 11.1 build 1016 występuje podatność na eskalację uprawnień i odmowę usługi. Umożliwia ona lokalnym atakującym odczyt dowolnych rejestrów MSR lub zapis zera do dowolnego MSR przez odsłonięte IOCTL z niewystarczającą listą blokad. Atakujący mogą wykorzystać nieograniczony zapis do wyzerowania rejestru MSR obsługi wywołań systemowych, powodując natychmiastowy krytyczny błąd jądra przy następnym wywołaniu systemowym, lub odczytać wrażliwe MSR używane do lokalizacji struktur danych jądra.

W bibliotece libtpms, zapewniającej emulację TPM 2.0, podczas przywracania stanu TPM 2.0 (np. przy starcie maszyny wirtualnej lub przywracaniu migracji) złośliwy blob stanu może dostarczyć nadmierną długość bloku skip, która nie jest walidowana względem pozostałego rozmiaru bufora wejściowego. Może to spowodować ujemny licznik rozmiaru, co omija późniejszą kontrolę granic z powodu niebezpiecznej konwersji ze znakiem na bez znaku, prowadząc do odczytu pamięci poza granicami bufora sterty. Udane wykorzystanie może spowodować awarię procesu hostującego libtpms (np. swtpm), co prowadzi do odmowy usługi emulowanego urządzenia TPM i zależnej od niego maszyny wirtualnej. Nie potwierdzono uszkodzenia danych ani ujawnienia informacji.

W jofpin trape 1.0.0 w pliku core/stats.py komponentu Login Endpoint występuje podatność polegająca na braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany o problemie, ale nie odpowiedział.

Interceptor dekompresji w undici dekompresuje ciała odpowiedzi zgodnie z niezaufanym nagłówkiem Content-Encoding. Liczba warstw kodowania jest ograniczona, ale całkowity rozmiar zdekompresowanego wyjścia jest nieograniczony i nie ma opcji konfiguracji, aby go ograniczyć. Złośliwy lub wadliwy serwer może zwrócić mały skompresowany ładunek (bombę kompresyjną), który rozwija się do setek megabajtów lub więcej w pamięci klienta, co prowadzi do asymetrycznego zużycia zasobów, mogącego wyczerpać pamięć i spowodować awarię procesu. Dotyczy to wersji undici od 7.15.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować do undici 7.29.1 lub 8.10.2.

W Emlog, otwartoźródłowym systemie budowy stron internetowych, w wersjach 2.6.29 i wcześniejszych, nazwy tagów nie są kodowane HTML podczas renderowania w edytorze artykułów. Atakujący może utworzyć tag zawierający ');alert(document.domain);//. Funkcja addslashes() nie koduje encji HTML, więc ' jest przechowywane bez zmian. Gdy przeglądarka renderuje stronę, dekoduje ' z powrotem do dosłownego pojedynczego cudzysłowu przed wykonaniem JavaScript, co pozwala na wyjście ze stringa i wykonanie dowolnego kodu. W momencie publikacji nie są znane publiczne poprawki.

SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 uwierzytelniony użytkownik może przeglądać historię żądań API tokenów innych użytkowników w tej samej firmie, manipulując dwoma zapisywalnymi właściwościami komponentu Symfony UX LiveComponent `DataGrid`. Wersja 3.0.1 naprawia ten problem.

SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1, uwierzytelniacz REST API akceptuje tokeny bearer przez parametr zapytania `?token=` jako alternatywę dla nagłówka `X-API-TOKEN`. Powoduje to zapisywanie długotrwałych poświadczeń API w logach serwera, logach proxy, historii przeglądarki i nagłówkach HTTP Referer wysyłanych do zewnętrznych stron. Wersja 3.0.1 naprawia ten problem.