Katalog podatności CVE

Wtyczka Podlove Podcast Publisher dla WordPressa do wersji 4.5.3 włącznie zawiera podatność na dowolne usuwanie plików. Uwierzytelnieni atakujący z uprawnieniami Contributor mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Platnosci Online Blue Media (Autopay) dla WordPressa do wersji 5.0.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS). Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się na stronie kasy WooCommerce.

Wtyczka Query Wrangler dla WordPressa do wersji 1.5.57 włącznie zawiera podatność na zdalne wykonanie kodu. Brak sprawdzenia uprawnień i nonce w handlerze AJAX pozwala uwierzytelnionym atakującym z uprawnieniami Subscriber na wykonanie kodu na serwerze.

Wykryto podatność na iniekcję SQL w systemie Evergreen do wersji 3.14.11/3.15.11/3.16.5/3.17-beta1. Dotyczy ona nieznanej funkcji w pliku /osrf-gateway-v1 w komponencie open-ils.fielder OpenSRF Service. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wykryto podatność na iniekcję SQL w systemie Online Shopping System 1.0 od code-projects. Dotyczy ona nieznanej funkcji w pliku /login.php w komponencie Login. Manipulacja argumentem email prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Pandora zawiera podatność na atak typu odmowa usługi podczas obsługi plików DAA (Direct Access Archive). Przy wyodrębnianiu wewnętrznego obrazu ISO z archiwum DAA skompresowane fragmenty są dekompresowane za pomocą zlib.decompress() bez ograniczenia rozmiaru wynikowych danych. Atakujący może przesłać spreparowany plik DAA z wysoko skompresowanymi danymi, co powoduje nadmierne zużycie pamięci i potencjalnie CPU, prowadząc do zawieszenia lub przerwania działania usługi.

SiYuan przed wersją v3.7.4 zawiera podatność na obejście uwierzytelniania w punkcie końcowym WebSocket, spowodowaną różnicowym parsowaniem parametrów zapytania między wyłączeniem uwierzytelniania a kontrolami kwarantanny sesji. Niezalogowany atakujący może skonstruować złośliwy URI WebSocket z zduplikowanymi parametrami, aby ominąć walidację kodu dostępu i otrzymywać na żywo strumień zdarzeń jądra, w tym identyfikatory dokumentów, tytuły i logi operacji.

SiYuan przed wersją 3.7.4 zawiera podatność polegającą na niewłaściwym ograniczeniu nadmiernych prób uwierzytelniania w punkcie końcowym authFilePublishAccess, co pozwala niezalogowanym atakującym na brute-force haseł publikacji poszczególnych notatników. Atakujący mogą wysyłać nieograniczoną liczbę prób odgadnięcia hasła bez ograniczania szybkości lub CAPTCHA, aby uzyskać dostęp do chronionych hasłem opublikowanych notatników.

W systemie Jinher OA 1.0 wykryto słabość w nieznanej funkcji pliku /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. Manipulacja argumentem httpOID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany, ale nie odpowiedział.

W urządzeniu LB-LINK X-PRO 1.0.22-20231206 wykryto lukę związaną z nieznaną funkcją pliku /etc/config/easycwmp. Manipulacja prowadzi do użycia twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania. Exploit został opublikowany i może być użyty. Producent nie odpowiedział na zgłoszenie.

W urządzeniu LB-LINK X-PRO w wersji 1.0.22-20231206 wykryto podatność związaną z twardo zakodowanymi poświadczeniami w pliku /etc/shadow. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego stopnia złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność SQL injection w pliku /edit_teacher.php, gdzie manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W @fastify/multipart, parserze multipart form-data dla Fastify, w wersjach od 3.0.0 do 10.1.1, funkcja request.saveRequestFiles() może pozostawić ukończone pliki tymczasowe na dysku, gdy klient rozłączy się podczas przetwarzania. Niezautentykowany klient może to powtarzać, powodując trwałe zużycie dysku i odmowę usługi. Problem jest naprawiony w wersji 10.1.1.

W @fastify/multipart, w wersjach od 5.3.0 do 10.1.1, gdy limit fileSize busboya obcina część pliku, plugin czyści wewnętrzne odniesienie do bieżącego pliku, podczas gdy strumień jest nadal otwarty. Jeśli klient przerwie połączenie przed wysłaniem granicy końcowej, funkcja saveRequestFiles() nigdy nie kończy działania, a plik tymczasowy nie jest usuwany. Niezautentykowany klient może to powtarzać, powodując trwały wyciek plików i zawieszenie obsługi żądań, prowadząc do wyczerpania dysku i pętli zdarzeń. Problem naprawiono w wersji 10.1.1.

W @fastify/jwt, wtyczce JSON Web Token dla Fastify, w wersjach przed 10.2.2, klucz weryfikacyjny przekazany do request.jwtVerify({ key }) jest nadpisywany przez globalnie skonfigurowany sekret, ponieważ scalanie opcji stosuje globalny klucz jako ostatni. Aplikacje używające różnych kluczy dla różnych domen autoryzacji mogą akceptować tokeny podpisane globalnym kluczem na trasach wymagających innego klucza, co pozwala zwykłemu uwierzytelnionemu użytkownikowi przekroczyć granicę zaufania opartą na kluczu. Problem naprawiono w wersji 10.2.2.

W jądrze Linux wykryto podatność prowadzącą do nieograniczonej rekurencji w ścieżce zwalniania pamięci (free path) w menedżerze pamięci slab. Problem wynika z możliwości tworzenia cykli między tablicami obj_exts różnych cache'ów kmalloc, co może doprowadzić do przepełnienia stosu (stack overflow) i awarii systemu.

W jądrze Linuxa w podsystemie Thunderbolt występuje podatność use-after-free w opóźnionej pracy XDomain podczas rozłączania. Funkcja tb_xdp_handle_request() może zaplanować opóźnioną pracę po tym, jak funkcja tb_xdomain_remove() anuluje synchronizację, ale przed zwolnieniem obiektu xdomain, co prowadzi do wykonania pracy na zwolnionej pamięci. Poprawka dodaje flagę xd->removing i synchronizację przez xd->lock.

W jądrze Linuxa w sterowniku dmaengine idxd występuje problem z czyszczeniem po nieudanej konfiguracji fdev w funkcji idxd_cdev_open(). Ścieżki failed_dev_add i failed_dev_name zwalniają referencję do urządzenia plikowego, trzymając wq->wq_lock, co może prowadzić do zakleszczenia, jeśli put_device() wywoła funkcję zwrotną idxd_file_dev_release() próbującą ponownie przejąć ten sam lock. Dodatkowo te ścieżki przechodzą do dalszego czyszczenia kontekstu, które może działać na zwolnionej pamięci. Poprawka przenosi idxd_wq_get() przed możliwą awarię i zwalnia lock przed put_device().

W systemie Linux w podsystemie btrfs dla dysków strefowych (zoned) wykryto zakleszczenie (deadlock) między zapisem metadanych a zatwierdzaniem transakcji. Problem występuje, gdy zapis metadanych blokuje zamek zoned_meta_io_lock, a następnie próbuje aktywować strefę, co wymaga oczekiwania na zatwierdzenie transakcji, która z kolei potrzebuje tego samego zamka. Naprawa polega na zwolnieniu zamka przed wywołaniem btrfs_zone_finish_one_bg() i ponownym jego przejęciu po zakończeniu.

W jądrze Linux w podsystemie kluczy występuje podatność na odczyt poza zakresem w funkcji keyring_get_key_chunk(). Dla fragmentów na poziomie opisu wskaźnik odczytu jest przesuwany o level * sizeof(long) poza prefiks, ale sprawdzane są tylko granice prefiksu, co pozwala na odczyt poza przydzieloną pamięcią dla długiego opisu klucza.