Katalog podatności CVE

Podatność w bibliotece Twig (wersje przed 3.26.0) pozwala na alokację dużej liczby obiektów formaterów ICU poprzez kontrolowane przez szablon argumenty filtrów, co prowadzi do wyczerpania pamięci. Problem został naprawiony w wersji 3.26.0.

W bibliotece Twig dla PHP wykryto podatność polegającą na tym, że przestarzały filtr spaceless jest rejestrowany jako bezpieczny dla HTML. Powoduje to, że automatyczne kodowanie (autoescaping) Twiga nie koduje znaczników kontrolowanych przez atakującego, gdy filtr spaceless jest stosowany do niezaufanych danych wejściowych. Problem został naprawiony w wersji 3.26.0.

Podatność w bibliotece Twig dla PHP (przed wersją 3.26.0) pozwala niezaufanym szablonom na wyczerpanie zasobów CPU, pamięci lub czasu wykonania, nawet przy najbardziej restrykcyjnej liście dozwolonych funkcji. Problem został rozwiązany w wersji 3.26.0 poprzez udokumentowanie, że sandbox nie chroni przed wyczerpaniem zasobów.

W bibliotece mastergo-magic-mcp do wersji 0.2.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji z.string w pliku src/tools/get-component-link.ts, gdzie manipulacja argumentem url może prowadzić do wysłania żądania do dowolnego zasobu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

Podatność w Matter SDK (connectedhomeip) w wersjach 1.3 i 1.4 powoduje zaprzestanie działania urządzenia po wykonaniu polecenia MoveToLevel i sprzecznego zapisu do atrybutu OperationMode. Błąd asercji w logice serwera Level Control cluster prowadzi do odmowy usługi (DoS).

W bibliotece jackson-databind wykryto podatność polegającą na tym, że metoda UnwrappedPropertyHandler.processUnwrapped() przetwarza buforowany JSON dla właściwości @JsonUnwrapped bez sprawdzania widoczności (@JsonView). Umożliwia to atakującemu zapisanie właściwości oznaczonej zarówno @JsonView, jak i @JsonUnwrapped, nawet przy mniej uprzywilejowanym widoku aktywnym.

DOMPurify przed wersją 3.4.7 zawiera podatność w trybie IN_PLACE, która pomija zawartość shadow DOM wewnątrz <template>.content. Atakujący może wstrzyknąć kod HTML z obsługą zdarzeń, URL-e JavaScript lub skrypty, które zostaną wykonane po sklonowaniu i wstawieniu oczyszczonego szablonu.

W Tornado przed wersją 6.5.6, opcjonalne natywne rozszerzenie tornado.speedups implementowało funkcję websocket_mask bez walidacji, czy argument mask ma dokładnie cztery bajty. Pozwala to funkcji C na odczytanie do trzech bajtów poza dostarczonym buforem podczas dekodowania tokena XSRF, gdy natywne rozszerzenie jest aktywne.

Podatność w DOMPurify przed wersją 3.4.6 pozwala zachować atrybuty obsługi zdarzeń na kontrolowanym przez atakującego formularzu <form> podczas używania DOMPurify.sanitize(root, { IN_PLACE: true }), co umożliwia ataki XSS.

DOMPurify przed wersją 3.4.6 nieprawidłowo obsługuje węzły DOM z obcych domen przy użyciu opcji IN_PLACE: true, co omija sanityzację i pozwala na przetrwanie wykonywalnego kodu.

Podatność w bibliotece sigstore-js (wersje przed 3.1.1) pozwala atakującemu na manipulację znacznikiem czasu z dziennika przejrzystości (transparency log) dla wpisów typu inclusionProof-only w pakietach v0.2. Ponieważ ścieżka dowodu włączenia nie kryptograficznie wiąże znacznika czasu, atakujący może wpływać na decyzje dotyczące ważności certyfikatu i weryfikacji progów czasowych.

Podatność w bibliotece sigstore-js (wersje przed 3.2.1) pozwala na modyfikację typu ładunku po podpisaniu bez unieważnienia podpisu, co narusza gwarancję wiązania typu w DSSE. Funkcja preAuthEncoding używa kodowania ASCII Node.js, co umożliwia manipulację polem payloadType.

ColdFusion zawiera podatność polegającą na nieprawidłowym ograniczeniu ścieżki do zastrzeżonego katalogu (Path Traversal), co może prowadzić do odczytu dowolnych plików w systemie. Atakujący może wykorzystać tę lukę do uzyskania dostępu do poufnych plików i katalogów poza zamierzonym zakresem. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku ulega zmianie.

Premiere Pro zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych, która może prowadzić do obejścia zabezpieczeń. Atakujący może wykorzystać tę lukę, aby ominąć mechanizmy ochronne i uzyskać nieautoryzowany dostęp do zapisu. Eksploatacja podatności nie wymaga interakcji użytkownika, ale zależy od warunków pozostających poza kontrolą atakującego.

Podatność ReDoS (Regular Expression Denial of Service) w bibliotece UAParser.js w wersjach od 2.0.1 do 2.0.9. Atakujący może wysłać spreparowany nagłówek Sec-CH-UA-Model, powodując katastrofalne cofanie się wyrażenia regularnego i nadmierne zużycie CPU.

Media Encoder zawiera podatność polegającą na odczycie poza dozwolonym zakresem pamięci, co może prowadzić do ujawnienia wrażliwych danych. Atakujący może wykorzystać tę lukę do uzyskania dostępu do poufnych informacji. Wymagana jest interakcja użytkownika, który musi otworzyć złośliwy plik.

W bibliotece NVIDIA TensorRT-LLM wykryto podatność w kompatybilnym z OpenAI interfejsie API do wnioskowania. Atakujący może wywołać osiągalne asercje w wątku próbkującym, co prowadzi do przerwania działania usługi.

NVIDIA TensorRT-LLM zawiera podatność w punkcie końcowym API czatu serwera gRPC, która umożliwia atakującemu lokalnie wywołanie błędu CWE-20 (niewłaściwa walidacja danych wejściowych). Udane wykorzystanie może prowadzić do odmowy usługi (DoS).

Podatność w bibliotece symfony/polyfill-intl-idn (wersje 1.17.1 do 1.38.1) pozwala na akceptowanie etykiet xn-- z pustym lub ASCII-only payloadem, co narusza wymagania UTS #46. Może to prowadzić do uznawania różnych nazw domen za równe.

NVIDIA TensorRT-LLM zawiera podatność w interfejsie API wnioskowania zgodnym z OpenAI, gdzie atakujący może spowodować alokację zasobów GPU bez ograniczeń lub limitów. Udane wykorzystanie tej podatności może prowadzić do odmowy usługi.