Katalog podatności CVE

Biblioteka auth-js, używana do autoryzacji w Supabase, przed wersją 2.70.0 nie wymuszała, aby wartości dostarczane przez użytkownika były poprawnymi UUID. Może to prowadzić do przejścia przez ścieżkę URL, co skutkuje potencjalnym naruszeniem bezpieczeństwa.

Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach przed 1.15.1 i 0.31.1 funkcja encode() w pliku lib/helpers/AxiosURLSearchParams.js zawiera mapowanie znaków, które odwraca bezpieczne kodowanie procentowe bajtów null.

W aplikacjach korzystających z OAuth::Consumer do żądania tokenów OAuth 1.0, pomocnik żądania tokenów podąża za przekierowaniami 300..399 zwracanymi przez serwer OAuth. W dotkniętych wersjach, OAuth::Consumer#token_request analizuje surowy nagłówek Location i rekurencyjnie podąża za przekierowaniem.

W GNU patch do wersji 2.7.6 występuje podwójne zwolnienie pamięci w funkcji another_hunk w pliku pch.c, co może prowadzić do odmowy usługi poprzez spreparowany plik łatki. Problem wynika z niekompletnej poprawki dla CVE-2018-6952.

Pakiet iscsi-initiator-utils w wersji 6.2.1.11-0.git4b3e853.el10 zawiera podatność na przepełnienie bufora stosu w funkcji idbm_recinfo_config. Złośliwy cel iSCSI może wstrzyknąć dodatkową linię konfiguracji do zapisanego rekordu węzła poprzez spreparowany TargetName w SendTargets, co później może spowodować przepełnienie bufora stosu.

Uwierzytelnione źródło HTTPS może podać wartość max-age HSTS, którą parser akceptuje, ale późniejsza serializacja czasu nie jest w stanie jej przetworzyć. W systemach 64-bitowych skrajne wartości max-age obliczają absolutny czas wygaśnięcia w standardowych granicach liczb całkowitych czasu, który przekracza granice struktury czasu kalendarzowego.

Nodemailer rozwiązuje międzynarodowe (IDN / nie-ASCII) domeny odbiorcy na inny etykietę Punycode (xn--) niż standardowe parsery zgodne z UTS-46 (np. przeglądarki, URL Standard, Node's url.domainToASCII, Python's idna). Jego normalizator adresów _normalizeAddress może prowadzić do błędnego rozpoznania domeny, co może być wykorzystane do ataków typu phishing lub przejęcia wiadomości.

Podczas zapisywania długiej nazwy i wartości pliku cookie do słoika cookies w formacie Netscape, zdalny serwer HTTP może spowodować, że curl zapisze rekord przekraczający limit długości linii przy parsowaniu. W konsekwencji każde kolejne wywołanie curl czytające z tego samego słoika cookies za pomocą --cookie po cichu przerwie parsowanie przedwcześnie.

Zdalny serwer HTTP może ustawić plik cookie, który curl akceptuje i zapisuje do słoika cookies w formacie Netscape, ale nie może go ponownie wczytać. Przy następnym wywołaniu używającym tej samej ścieżki dla --cookie i --cookie-jar curl zawodzi przed połączeniem, a procedura czyszczenia zastępuje słoik pustym plikiem, usuwając pliki cookie.

Podatność w mysql2 (w pliku lib/compressed_protocol.js, linia 43), gdzie zlib.inflate jest używany do dekompresji pakietów. Gdy połączenie jest ustawione z compress: true i serwer obsługuje CLIENT_COMPRESS, każdy przychodzący pakiet jest dekompresowany bez ograniczeń, co może prowadzić do nadmiernego użycia pamięci lub DoS.

Parser adresów e-mail w Nodemailer traktuje komentarz RFC 5322 (w nawiasach) w domenie jako miejsce łączenia tekstu, zamiast jako białe znaki składane (CFWS), które kończą domenę. To może prowadzić do błędnego parsowania adresu, np. [email protected](x)evil.c..., umożliwiając atakującemu przekierowanie wiadomości lub obejście walidacji.

Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.

Poprzez trwałe pominięcie końcowej linii odpowiedzi kontrolnej, złośliwy serwer FTP, IMAP, POP3 lub SMTP może wykorzystać libcurl i całkowicie obejść skonfigurowany mechanizm limitu czasu transmisji, blokując w nieskończoność wszystkie równoczesne transmisje powiązane z tym samym multi-handle.

Parser adresów e-mail w Nodemailer (lib/addressparser/index.js) przetwarza listę adresów oddzielonych przecinkami w czasie kwadratowym (O(n²)) w zależności od liczby adresów. Pojedynczy spreparowany ciąg adresów (np. w polach To, Cc, Bcc, From, Reply-To) może spowodować znaczne spowolnienie.

Gdy operacja wieloznacznego LIST przez FTP zakończy się niepowodzeniem, libcurl pomija ścieżkę przywracania przeznaczoną dla udanych listowań, pozostawiając callback zapisu ustawiony na wewnętrzny parser listowania, a dane callbacku zapisu wskazujące bezpośrednio na uchwyt easy. Kolejne użycie tego uchwytu powoduje natychmiastową awarię.

Gdy curl jest zbudowany z biblioteką GnuTLS, złośliwy serwer WebSocket może spowodować, że curl wyśle dane z pamięci poza swój bufor wysyłania. Wynika to z odczytu poza granicami bufora, gdy funkcja gnutls_record_send() zwraca liczbę wysłanych bajtów większą niż liczba bajtów przekazanych do wysłania.

Podatność w bibliotece libheif używanej przez sharp (którą Next.js używa do optymalizacji obrazów) może prowadzić do zdalnego wykonania kodu podczas optymalizacji plików AVIF. Do czasu rozpowszechnienia poprawki optymalizacja plików AVIF jest wyłączona.

libcurl może przypadkowo zwrócić adres URL dla opcji CURLINFO_EFFECTIVE_URL funkcji curl_easy_getinfo zawierający poświadczenia, mimo że ani adres URL przekazany do libcurl, ani adres przekierowania ich nie zawierały. Narzędzie curl ujawnia te same informacje za pomocą opcji wiersza poleceń --write-out '%{url_effective}'.

Włączenie opcji CURLOPT_CRLF powoduje, że curl podaje w literale IMAP APPEND {N} surową liczbę bajtów wejściowych, jednocześnie przesyłając dane z rozwiniętymi końcami linii. Serwer odczytuje tylko N bajtów ładunku, co powoduje, że pozostałe nadmiarowe bajty są interpretowane i wykonywane jako potokowe polecenia IMAP.

Zaimportowanie nadrzędnego wpisu HSTS z includeSubDomains przed wpisem podrzędnym o dłuższym czasie ważności powoduje ciche odrzucenie wpisu podrzędnego. W rezultacie, gdy wpis nadrzędny wygaśnie, ważna polityka HSTS wpisu podrzędnego zostaje utracona, powodując wysyłanie przez curl niezaszyfrowanych żądań HTTP zamiast aktualizacji do HTTPS.