Katalog podatności CVE

Podatność w Amazon Athena Query Federation Synapse connector pozwala uwierzytelnionemu zdalnemu użytkownikowi na wstrzyknięcie zapytań SQL tylko do odczytu poprzez spreparowaną nazwę tabeli. Problem dotyczy wersji od v2022.20.1 do v2026.19.1.

Podatność w Sigstore Timestamp Authority przed wersją 2.1.0 pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z losowymi ścieżkami lub metodami HTTP, co powoduje tworzenie nieograniczonych wpisów w szeregach czasowych Prometheus i prowadzi do wyczerpania pamięci.

W bibliotece Zeroconf przed wersją 0.149.16, funkcje _read_character_string i _read_string w src/zeroconf/_protocol/incoming.py przesuwają self.offset o zadeklarowaną przez atakującego wartość RDLENGTH bez sprawdzania jej względem self._data_len. Nieuwierzytelnione hosty w sieci lokalnej przez UDP/5353 mogą wysłać rekord TXT, HINFO lub A/AAAA z rdlength=65535 i zasilić DNSCache oraz ServiceInfo.properties obciętymi, kontrolowanymi przez atakującego parami klucz/wartość lub rekordami adresowymi.

Zeroconf przed wersją 0.149.12 zawiera podatność na wyczerpanie pamięci i nadmierne zużycie procesora. Nieuwierzytelnieni hosty w sieci lokalnej przez UDP/5353 mogą wysyłać spreparowane zapytania z ustawionym bitem TC, które są przechowywane w słownikach `_deferred` i `_timers` bez ograniczenia rozmiaru, co prowadzi do wyczerpania pamięci i kwadratowego wzrostu obciążenia CPU.

Zeroconf to czysta implementacja Python multicast DNS service discovery. Przed wersją 0.149.7, funkcja DNSCache._async_add wstawiała każdy rekord odpowiedzi do pamięci podręcznej bez ograniczeń, umożliwiając nieuwierzytelnionym hostom w sieci lokalnej przez UDP/5353 wysyłanie poprawnych odpowiedzi mDNS z unikalnymi nazwami, co prowadziło do wyczerpania pamięci, wolniejszego wyszukiwania w pamięci podręcznej i zakłócenia działania usług.

Zeroconf to czysta implementacja Python multicast DNS service discovery. Przed wersją 0.149.6, funkcje DNSIncoming._log_exception_debug i metody deduplikacji wyjątków przechowywały nieograniczony słownik _seen_logs kluczowany przez komunikaty błędów kontrolowane przez atakującego, przechowując tracebacki z sys.exc_info(), które zawierały surowe bufory danych self.data. Umożliwiało to nieuwierzytelnionym hostom w sieci lokalnej przez UDP/5353 powodowanie wzrostu pamięci aż do wyczerpania pamięci lub zabicia procesu.

Zeroconf przed wersją 0.149.5 zawiera podatność na błąd rekurencji w funkcji `DNSIncoming._decode_labels_at_offset`. Pojedynczy pakiet mDNS z łańcuchem wskaźników kompresji może wywołać wyjątek RecursionError, który ucieka z `DNSIncoming.__init__`, powodując ciągłe obciążenie CPU, zalewanie logów i degradację usług zależnych od mDNS dla nieuwierzytelnionych hostów w sieci lokalnej przez UDP/5353.

Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7 zawiera podatność w przepływie eksportu WordExport. Sprawdza on tylko uprawnienie do funkcji word_export, ale bezpośrednio rozwiązuje kontrolowane przez atakującego dane wejściowe typu/id bez egzekwowania uprawnienia do podglądu na stronach, fragmentach, e-mailach lub obiektach. Umożliwia to użytkownikowi backendu z niskimi uprawnieniami eksportowanie treści dokumentów, do których nie ma dostępu.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 endpoint API Store /store-api/handle-payment nie weryfikuje własności zamówienia ani autoryzacji gościa, co pozwala zwykłemu klientowi lub gościowi na wywołanie płatności dla zamówienia innego użytkownika.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 pliki SVG są dozwolone na liście rozszerzeń i mogą być przesyłane przez menedżera multimediów bez sanityzacji treści SVG. Pozwala to na wykonanie złośliwego kodu JavaScript (np. onload, <script>, <foreignObject>) w domenie Shopware podczas wyświetlania przesłanego pliku SVG.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 brakuje deklaracji ACL w endpointach zmiany stanu zamówienia, co pozwala niskouprzywilejowanym użytkownikom na modyfikację stanów zamówień, transakcji i dostaw bez odpowiednich uprawnień.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, metoda upsertUser() w UserController zapisuje surowe dane użytkownika w SYSTEM_SCOPE bez filtrowania pola admin. Umożliwia to nieadministratorowi z uprawnieniami ACL user:create lub user:update ustawienie flagi admin: true dla nowych lub istniejących użytkowników.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, użytkownik administracyjny z niskimi uprawnieniami posiadający ACL user_recovery:read może przejąć dowolne konto administratora. Podatność wynika z braku oznaczenia pola hash w encji UserRecovery jako ApiAware(false) lub ReadProtection, co umożliwia odczytanie hasha resetowania hasła przez API.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, niebędący administratorem użytkownik API z uprawnieniem ACL integration:create może eskalować swoje uprawnienia do pełnego administratora. Dzieje się tak poprzez utworzenie integracji z polem admin: true za pomocą endpointu Sync API POST /api/_action/sync, który nie sprawdza tego pola, w przeciwieństwie do standardowego endpointu integracji.

Podatność w SurrealDB przed wersją 3.1.5 powoduje, że uprawnienia SELECT na poziomie pól nie są stosowane do klauzul ORDER BY. Umożliwia to uwierzytelnionym użytkownikom ujawnienie względnego uporządkowania wartości w polach objętych ograniczeniami.

Podatność w Helm do wersji 4.2.3 (załatana w commicie ba6c9a2) powoduje błąd paniki z powodu indeksu poza zakresem w funkcji pomocniczej Files.Lines w pliku pkg/engine/files.go. Atakujący może umieścić puste pliki w chartach Helm, co prowadzi do deterministycznych błędów renderowania podczas operacji szablonowania, instalacji, aktualizacji, lintowania oraz przez SDK Engine.Render.

Chat2DB przed wersją 5.3.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w punkcie końcowym GET /api/connection/datasource/{id}. Procedura obsługi wywołuje dataSourceService.queryExistent(id, ...) bez sprawdzenia własności i zwraca odszyfrowane hasło, umożliwiając każdemu uwierzytelnionemu użytkownikowi niebędącemu administratorem wyliczenie identyfikatorów źródeł danych i odczytanie jawnych poświadczeń bazy danych należących do innych użytkowników.

Podatność w Symfony UX (symfony/ux-autocomplete) pozwala na wstrzykiwanie kodu HTML i JavaScript przez atakującego. Problem występuje w metodzie _createAutocompleteWithRemoteData(), gdzie wartości z odpowiedzi AJAX są interpolowane bezpośrednio do szablonu HTML, zamiast być traktowane jako tekst. Dotyczy to wersji od 2.2.0 do 2.36.0 oraz 3.1.0.

Podatność w Symfony UX umożliwia atak CSRF na komponenty LiveComponent. Mechanizm zabezpieczający opiera się na nagłówku Accept, który może być ustawiony przez atakującego w żądaniu cross-origin bez preflight, co pozwala na wykonanie nieautoryzowanych akcji na sesji ofiary.

Podatność w Symfony UX umożliwia wstrzyknięcie dowolnego kodu HTML, w tym znaczników <script>, podczas ponownego renderowania komponentów Live Component. Dzieje się tak, ponieważ wartość children[id].tag kontrolowana przez klienta jest interpolowana bezpośrednio do HTML bez walidacji lub eskejpowania.