Katalog podatności CVE

W bibliotece halo-dev halo do wersji 2.24.2 wykryto podatność polegającą na przejściu ścieżki (path traversal) w funkcji Download komponentu Files Backup Endpoint. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto podatność w funkcji NewContextBuilder w pliku pkg/agent/context.go. Luka umożliwia włączenie funkcjonalności z niezaufanej sfery kontrolnej, co może prowadzić do nieautoryzowanego działania. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

W komponencie LINE Webhook biblioteki Sipeed PicoClaw do wersji 0.2.9 wykryto podatność polegającą na obejściu uwierzytelniania poprzez atak typu przechwyć-odtwórz (capture-replay). Problem dotyczy funkcji webhook.ParseRequest w pliku pkg/channels/line/line.go. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.

Sipeed PicoClaw do wersji 0.2.9 zawiera podatność typu time-of-check time-of-use (TOCTOU) w funkcji ExecTool.executeRun. Lokalny atakujący może wykorzystać tę lukę do naruszenia integralności danych.

W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF) w nieznanej funkcji pliku web/backend/api/auth.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W AstrBot do wersji 4.25.5 wykryto podatność w funkcji _normalize_rw_path w pliku fs.py komponentu Filesystem Computer-Use Tool. Luka umożliwia podążanie za dowiązaniami symbolicznymi (link following) przy lokalnym dostępie. Exploit został opublikowany, a producent nie odpowiedział na zgłoszenie.

W AstrBot do wersji 4.25.5 wykryto podatność w funkcji OpenApiRoute.chat_send pliku open_api.py. Manipulacja argumentem Username w API umożliwia ominięcie uwierzytelnienia poprzez podszycie się pod innego użytkownika. Atak może być przeprowadzony zdalnie, a szczegóły exploitów są publicznie dostępne.

Wtyczka W3SC Elementor to Zoho CRM dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.2.0 włącznie. Brak walidacji nonce w funkcji storeInfo umożliwia niezautoryzowanym atakującym zmianę ustawień integracji Zoho CRM (centrum danych, ID klienta, sekret klienta, e-mail) poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

W AstrBot do wersji 4.25.5 wykryto podatność w funkcji OpenApiRoute.get_chat_sessions pliku astrbot/dashboard/routes/open_api.py. Manipulacja argumentem Username w punkcie końcowym sesji umożliwia ominięcie autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność w Microsoft Edge (opartym na Chromium) umożliwia ominięcie uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Nieautoryzowany atakujący może przeprowadzić manipulację w sieci.

@hapi/inert w wersjach od 4.0.0 do 7.1.0 ma podatność polegającą na nieprawidłowym porównaniu ścieżek w mechanizmie confine, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt plików z katalogów sąsiednich, np. poprzez /..%2fstatic-secret/secret.txt.

Klient HTTP @hapi/wreck przed wersją 18.1.2 zawiera podatność polegającą na nieprawidłowym porównaniu pochodzenia podczas przekierowań między domenami. Nagłówki uwierzytelniające (Authorization, Cookie, Proxy-Authorization) są przesyłane do różnych portów lub przy zmianie protokołu (HTTPS->HTTP), co pozwala atakującym na przechwycenie tokenów i sesji.

@hapi/wreck przed wersją 18.1.1 podczas przekierowania 3xx do innego hosta usuwa tylko nagłówki Authorization i Cookie, ale pozostawia nagłówek Proxy-Authorization. Może to ujawnić poświadczenia proxy do zewnętrznego hosta, jeśli przekierowania są włączone.

Podatność w view_component (Ruby on Rails) w wersjach 4.0.0-4.12.0 powoduje, że instancje ViewComponent::Base przechowują obiekty z zakresu renderowania między wywołaniami render_in. Ponowne użycie komponentu w różnych żądaniach, użytkownikach lub wątkach może prowadzić do użycia nieaktualnych danych, co może skutkować wyciekiem uprawnień, linków z nieprawidłowym Host header lub mieszaniem kontekstu żądań.

Biblioteka websocket-driver przed wersją 0.7.5, używana z rozszerzeniem permessage-deflate, sprawdza limit rozmiaru wiadomości na podstawie skompresowanych danych, a nie po dekompresji. Pozwala to na przyjęcie wiadomości większych niż skonfigurowany maksymalny rozmiar.

Statamic CMS przed wersjami 5.73.24 i 6.20.1 nie neutralizuje znaków formuł arkusza kalkulacyjnego w eksporcie CSV. Wartości przesłane przez formularz, zaczynające się od znaków takich jak =, +, -, lub @, mogą być interpretowane jako żywe formuły po otwarciu pliku w programie arkuszowym. Atak może być przeprowadzony przez niezautoryzowanego użytkownika front-end, a następnie aktywowany przez redaktora otwierającego eksport.

Statamic przed wersjami 5.73.24 i 6.20.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w proxy obrazów Glide. Walidacja adresu URL w `RemoteUrlValidator.php` i `GuzzleAdapter.php` może zostać ominięta przez atak DNS rebinding. Nazwa hosta jest najpierw walidowana jako publicznie dostępna, ale przy pobieraniu obrazu następuje ponowna rozdzielczość DNS, co pozwala atakującemu na przekierowanie na wewnętrzny adres po walidacji i wykonanie żądań do wewnętrznych zasobów, w tym loopback, sieci prywatnej i metadanych chmury.

Podatność w bibliotece secure_headers przed wersją 7.3.0 umożliwia wstrzyknięcie dyrektywy CSP przez nieoczyszczone dane wejściowe w metodach override_content_security_policy_directives oraz append dla dyrektyw :sandbox, :plugin_types i :report_to. Atakujący może wstrzyknąć dyrektywę taką jak script-src 'unsafe-inline' * przed prawidłową dyrektywą script-src, co umożliwia XSS lub eksfiltrację raportów CSP.

Podatność w tarteaucitron.js przed wersją 1.33.0. Funkcja tarteaucitron.cookie.purge() jest wywoływana na dowolnym elemencie z klasą purgeBtn bez sprawdzenia, czy jest to przycisk tarteaucitron. Atakujący może usunąć nie-HttpOnly ciasteczko o znanej nazwie poprzez kliknięcie przez użytkownika.

Biblioteka OpenMcdf w wersji 3.1.3 i wcześniejszych zawiera pętlę bez detekcji cykli w funkcji DirectoryTree.TryGetDirectoryEntry. Specjalnie spreparowany plik CFB z cyklicznymi odnośnikami Left/Right może spowodować nieskończoną pętlę, prowadząc do nieodwracalnej odmowy usługi (DoS). Podatność jest osiągalna z metod RootStorage.OpenStorage, TryOpenStorage, OpenStream i TryOpenStream.