Katalog podatności CVE

W funkcji Dynamic DNS (DDNS) bram TP-Link Omada poświadczenia uwierzytelniające są przesyłane przez niezaszyfrowany kanał podczas komunikacji z zewnętrznym serwisem DDNS. Atakujący, który może obserwować lub manipulować ruchem między urządzeniem a serwisem DDNS, może uzyskać wrażliwe informacje uwierzytelniające lub zakłócić operacje aktualizacji DDNS. Wykorzystanie wymaga skonfigurowania DDNS, komunikacji z zewnętrznym serwisem DDNS oraz widoczności lub kontroli ścieżki sieciowej przez atakującego.

W urządzeniu Tenda CH22 w wersji 1.0.0.1 znaleziono podatność w funkcji formcreateFileName w pliku /goform/formcreateFileName. Manipulacja argumentem fileNameMit prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Biblioteka Expat do wersji 2.8.3 zawiera podatność odczytu poza zakresem, która pozwala atakującym na wywołanie uszkodzenia pamięci podczas przetwarzania XML z zewnętrznymi parserami encji utworzonymi przez XML_ExternalEntityParserCreate. Niezgodność rozmiaru struktury między elementami ELEMENT_TYPE powoduje, że storeAtts odczytuje człon attIndex poza przydzieloną pamięcią, co prowadzi do nieprawidłowej normalizacji białych znaków w atrybutach niebędących CDATA lub do dzikiego wskaźnika powodującego segfault. Podatność została wprowadzona przez poprawkę dla CVE-2026-66046.

Libevent to biblioteka do powiadamiania o zdarzeniach. Od wersji 2.2.0-alpha-dev do 2.2.2-alpha serwer WebSocket w pliku ws.c gromadzi pofragmentowane ramki w evws->incomplete_frames bez egzekwowania limitu całkowitego rozmiaru wiadomości. Nieuwierzytelniony zdalny klient może wielokrotnie wysyłać pofragmentowane ramki WebSocket poniżej WS_MAX_RECV_FRAME_SZ z FIN=0, powodując nieograniczony wzrost evbuffer aż do wyczerpania pamięci procesu lub hosta. Problem został naprawiony w wersji 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma podatność zapisu poza zakresem na stercie w bufferevent_sock.c, gdy bufferevent_socket_set_conn_address_ kopiuje adres peer AF_UNIX dostarczony przez jądro do bufferevent_private.conn_address. Wersje wydaniowe skompilowane z NDEBUG wyłączają zabezpieczenie EVUTIL_ASSERT, a ścieżka akceptacji evhttp może przekazać 110-bajtowy sockaddr z accept() do 28-bajtowego pola. Nieuwierzytelniony lokalny peer, który może połączyć się z nasłuchem AF_UNIX, może nadpisać sąsiedni wskaźnik dns_request i dane na stercie, powodując uszkodzenie pamięci z wpływem na poufność, integralność i dostępność. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma przepełnienie bufora na stosie off-by-one w evdns.c, gdy dnsname_to_labels formatuje rekord DNS z nazwą na końcu 64 KB bufora stosu przydzielonego przez evdns_server_request_format_response. Ostatnia kontrola etykiety pozwala, aby j plus label_len plus jeden równało się buf_len, po czym bajt null jest zapisywany do buf[buf_len]. Spreparowana odpowiedź serwera DNS zawierająca dane PTR, CNAME, MX, NS lub SOA może wywołać zapis o jeden bajt poza zakresem i spowodować awarię lub uszkodzenie procesu. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma nieprawidłową konwersję liczb całkowitych w event_tagging.c, gdy evtag_unmarshal_header używa evtag_decode_int do zdekodowania długości ładunku uint32 kontrolowanej przez atakującego i zwraca ją jako signed int. Wartości powyżej INT_MAX stają się ujemne lub obcięte, a evtag_unmarshal_string może użyć przekonwertowanej wartości do rozmiaru alokacji, powodując zawinięte duże żądanie alokacji i odmowę usługi. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha może czytać poza ciągłym regionem evbuffer w event_tagging.c, gdy decode_tag_internal żąda maksymalnie pięciu bajtów z evbuffer_pullup, ale iteruje używając pełnej logicznej długości bufora. Pofragmentowany evbuffer zawierający sześciobajtowy uszkodzony tag może więc przesunąć się poza okno pullup i wywołać odczyt poza zakresem, co może spowodować awarię procesu dekodującego kontrolowane przez atakującego tagowane dane RPC. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

django CMS to łatwy w użyciu i przyjazny dla programistów system zarządzania treścią dla przedsiębiorstw oparty na Django. Przed wersją 5.0.8 punkt końcowy move_plugin w cms/admin/placeholderadmin.py akceptuje kontrolowaną przez atakującego wartość plugin_parent bez odrzucania identyfikatora własnego pluginu lub identyfikatora potomka. Użytkownik personelu z uprawnieniami do zmiany pluginu w ramach CMS_PERMISSION może utworzyć cykl parent_id w drzewie pluginów. Zapytania _get_descendants_cte i _get_ancestors_cte w cms/models/pluginmodel.py nie mają zabezpieczenia przed cyklem, więc get_descendants() i późniejsze operacje renderowania, kopiowania lub usuwania mogą rekurencyjnie działać w nieskończoność lub osiągnąć limit rekurencji bazy danych, uszkadzając drzewo i zużywając wątki robocze. Problem został naprawiony w wersji 5.0.8.

Samly od wersji 0.3.0 ma podatność polegającą na niewystarczającej weryfikacji autentyczności danych, umożliwiającą atakującemu ustanowienie uwierzytelnionej sesji przy użyciu odpowiedzi SAML, której dostawca usługi nie żądał. Walidacja nie porównuje atrybutu InResponseTo z identyfikatorem żądania AuthnRequest.

W Kata Containers, w konfiguracjach używających genpolicy do ochrony gości Confidential Containers, złośliwy operator hosta może wykorzystać niedostateczną walidację reguł montowania i przechowywania CreateContainer. Pozwala to na montowanie dowolnych ścieżek rootfs kontenera w wrażliwych lokalizacjach hosta lub dostarczanie dowolnej zawartości, co może ujawnić poufne informacje lub umożliwić akceptację danych kontrolowanych przez atakującego.

W systemie CodeAstro Apartment Visitor Management System 1.0 występuje podatność na iniekcję SQL w pliku password-recovery.php poprzez manipulację argumentem email. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie CodeAstro Apartment Visitor Management System 1.0 występuje podatność na iniekcję SQL w pliku /apartment-visitor/forgotpw.php poprzez manipulację argumentem secode. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Monkeytype w wersji 26.26.0 i wcześniejszych ma podatność w generatorze kluczy rate-limit, który używa nagłówków kontrolowanych przez klienta (cf-connecting-ip i x-forwarded-for) przed wartością req.ip. Nieuwierzytelniony atakujący może obracać te nagłówki, aby ominąć ograniczenia rate-limitu, co pozwala na wielokrotne wysyłanie żądań do endpointów takich jak forgotPasswordEmail i verificationEmail, powodując mail bombing, wyczerpanie limitów Firebase/SMTP i unikanie ochrony brute-force.

Plate przed wersją 53.3.2 ma podatność w @platejs/docx-io, która pobiera zdalne adresy URL obrazów podczas konwersji HTML kontrolowanego przez atakującego przez htmlToDocxBlob w środowisku serwerowym. Konwerter może wysyłać żądania do wewnętrznych zasobów sieciowych i dołączać pobrane bajty obrazów do generowanego DOCX, co umożliwia fałszowanie żądań po stronie serwera z ujawnieniem odpowiedzi.

Link Preview JS przed wersją 4.0.4 ma podatność w mechanizmie resolveDNSHost, który waliduje tylko jeden adres IP, ale pobiera oryginalną nazwę hosta. Atakujący kontrolujący serwer DNS może zwrócić publiczny adres podczas walidacji, a następnie adres wewnętrzny podczas połączenia, co umożliwia obejście ochrony SSRF i dostęp do wewnętrznych zasobów HTTP.

NanaZip od wersji 1.0.88.0 do wersji stabilnej 6.0.1698.0 i preview 6.5.1742.0 ma podatność w funkcji Lz4Decode w SquashfsHandler.cpp, która odrzuca tylko zerowy zwrot z LZ4_decompress_safe, podczas gdy błędne dane wejściowe dają ujemną wartość. Ujemna wartość jest konwertowana na niepodpisaną SizeT, co prowadzi do odczytu poza przydzieloną pamięcią i potencjalnego wycieku danych lub awarii procesu.

LangBot w wersji 4.10.7 i wcześniejszych ma podatność, która pozwala każdemu uwierzytelnionemu użytkownikowi na dodawanie lub zmianę konfiguracji serwera MCP STDIO bez odpowiedniej granicy autoryzacji. Atakujący może skonfigurować polecenia i argumenty, które są wykonywane jako subproces na serwerze LangBot, umożliwiając wykonanie dowolnych poleceń z uprawnieniami usługi LangBot.

deepmerge-ts przed wersją 8.0.0 ma podatność w API deepmerge, deepmergeCustom, deepmergeInto i deepmergeIntoCustom, które nie śledzą odwiedzonych obiektów podczas rekurencyjnego scalania. Gdy dwa obiekty wejściowe zawierają samoodniesienia w tej samej ścieżce, logika scalania wielokrotnie odwiedza tę samą parę, co prowadzi do błędu RangeError: Maximum call stack size exceeded, powodując awarię procesu.

Podatność umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w aplikacji GIMP podczas parsowania plików APNG. Problem wynika z braku odpowiedniej walidacji danych użytkownika, co prowadzi do przepełnienia liczby całkowitej przed alokacją bufora. Do wykorzystania podatności wymagana jest interakcja użytkownika, np. otwarcie złośliwego pliku.