Katalog podatności CVE

API łączenia zespołów z repozytorium w Gitea pozwala administratorowi repozytorium, który nie jest właścicielem organizacji, przypinać zespoły organizacji do repozytorium mimo wyłączonego RepoAdminChangeTeamAccess. Endpoint nie egzekwuje ograniczenia organizacji dotyczącego zmiany dostępu zespołów przez administratorów repozytorium.

Renderer notatników Jupyter w Gitea wstawia metadane language_info.name notatnika do atrybutu klasy CSS, wyłączając sanityzację i renderując bezpośrednio w głównym dokumencie bez piaskownicy iframe. Złośliwy notatnik w repozytorium może dostarczyć wiele klas CSS tworzących nakładkę zasłaniającą widok i przechwytującą kliknięcia, gdy inny użytkownik go wyświetla. Zgłoszony wpływ to UI redress; wykonanie skryptu nie zostało wykazane.

Renderer znaczników Org-mode w Gitea przetwarza dyrektywy INCLUDE dostarczone do punktu końcowego znaczników repozytorium bez zapobiegania dostępowi do plików po stronie serwera. Niezautoryzowany atakujący może użyć publicznego repozytorium do odczytu plików dostępnych dla konta usługi Gitea. Jeśli ujawnione pliki zawierają app.ini i INTERNAL_TOKEN, atakujący może zmodyfikować hook Git i wykonać polecenia jako konto usługi Gitea.

Endpointy API ulubionych repozytoriów i śledzonego czasu w Gitea nie sprawdzają ponownie bieżących uprawnień do repozytorium przed zwróceniem danych powiązanych z żądającym użytkownikiem. Użytkownik, któremu odebrano dostęp do prywatnego repozytorium, może nadal pobierać metadane repozytorium przez /api/v1/user/starred oraz tytuły prywatnych zgłoszeń przez /api/v1/user/times.

Podatność w util-linux w wersjach 2.17 do 2.41.6, 2.42 do 2.42.3 oraz 2.42.4 gdy używana jest legacy ścieżka mount(2) bez /proc. Ograniczone żądania mount od nie-roota walidują cel /etc/fstab przed ponownym rozwiązywaniem ścieżki. Lokalny użytkownik z niskimi uprawnieniami, autoryzowany przez wpis fstab z opcją user lub users, może użyć renameat2(RENAME_EXCHANGE) do podmiany komponentu ścieżki i przekierować autoryzowany mount do lokalizacji należącej do roota, np. montując zawartość kontrolowaną przez atakującego nad /etc/sudoers.d, uzyskując uprawnienia roota.

Podatność w util-linux w wersjach 2.39 do 2.41.4 oraz 2.42 do 2.42.1. SUID mount utility w hook_owner.c wykonuje operacje chmod() i lchown() oparte na ścieżce na wcześniej zwalidowanym celu montowania. Lokalny użytkownik z niskimi uprawnieniami, autoryzowany przez wpis /etc/fstab z opcją user lub users oraz opcją X-mount.mode, X-mount.owner lub X-mount.group, może użyć renameat2(RENAME_EXCHANGE) do wyścigu z zapisywalnym przodkiem celu i przekierować uprzywilejowaną zmianę właściciela lub trybu do ścieżki należącej do roota, potencjalnie uzyskując uprawnienia roota.

Gdy włączone jest logowanie OpenID, Gitea przyjmuje podany przez użytkownika adres URL OpenID i wykonuje żądania discovery bez walidacji miejsca docelowego względem adresów sieci wewnętrznej. Nieuwierzytelniony zdalny atakujący może spowodować, że serwer połączy się z usługami HTTP na interfejsie loopback lub w sieci prywatnej.

Podatność w NGINX Plus i NGINX Open Source, gdy lokalizacja używa dyrektywy alias wraz z rewrite oraz set lub return odwołującym się do zmiennej $request_filename. Alternatywnie, ten sam efekt można osiągnąć, gdy $request_filename jest używany w dyrektywie formatu logu dostępu. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie sterty w procesie roboczym NGINX, co prowadzi do restartu lub potencjalnie wykonania kodu.

Pakiet Python thumbnail do wersji 1.5 zawiera podatność wstrzyknięcia poleceń systemowych w funkcji generate_thumbnail(), która pozwala atakującym na wykonanie poleceń przez dostarczenie znaków metaznaków powłoki w ścieżkach plików. Atakujący kontrolujący nazwę pliku przekazaną do generate_thumbnail może wstrzyknąć polecenia do wywołań os.system() uruchamiających ffmpeg, convert lub unoconv z uprawnieniami procesu Python.

Stills przed wersją 25.24.2 zawiera podatność wstrzyknięcia poleceń systemowych, która pozwala atakującym na wykonanie poleceń powłoki przez dostarczenie spreparowanych ścieżek plików multimedialnych. Atakujący może nazwać plik multimedialny z $(...) lub backtickami, aby wykonać polecenia systemu operacyjnego z uprawnieniami procesu Node.js, gdy uruchamiane są ffmpeg, ffprobe, gifsicle lub convert.

Podatność w @offactory/compress-fonts przed wersją 1.1.1 zawiera wstrzykiwanie poleceń systemu operacyjnego, umożliwiając atakującym wykonanie poleceń powłoki poprzez dostarczenie plików czcionek z spreparowanymi nazwami. Ścieżki czcionek są interpolowane bez cudzysłowów do polecenia FontForge uruchamianego przez child_process.execSync, więc metaznaki powłoki w nazwach plików wykonują polecenia z uprawnieniami procesu Node.js.

Turnpress w wersji do 0.4.2 zawiera podatność na wstrzyknięcie poleceń systemowych. Funkcja convertDocxToHtml w src/converter.ts wywołuje pandoc przez execa z opcją shell:true, co pozwala na wykonanie poleceń powłoki poprzez specjalne znaki w nazwie pliku .docx.

Beganovich snappdf w wersjach od 1.1.0 do 6.1.0 zawiera podatność na wstrzyknięcie poleceń systemowych w systemie Windows. Atakujący mogą wpływać na renderowany URL i dostarczać metaznaki cmd.exe, takie jak &, które są przekazywane bez escapowania do PHP exec().

Video-stitch przed wersją 2.0.0-beta.1 zawiera podatność wstrzyknięcia poleceń systemowych, która pozwala atakującym na wykonanie poleceń przez dostarczenie nazw plików interpolowanych bez cudzysłowów do wykonywanych w powłoce poleceń ffmpeg. Atakujący, którzy wpływają na nazwy plików przekazywane do concat(), cut() lub merge(), mogą wstrzyknąć metaznaki powłoki, aby uruchomić polecenia z uprawnieniami procesu Node.js.

nodejs-whisper do wersji 0.3.1 zawiera podatność wstrzyknięcia poleceń systemowych w funkcji convertToWavType(), która pozwala atakującym na wykonanie poleceń przez dostarczenie spreparowanych ścieżek plików audio. Atakujący mogą podać nazwy plików zawierające podstawienie poleceń $() lub zamykające cudzysłowy, które są interpolowane do polecenia ffmpeg uruchamianego przez shelljs exec(), wykonując polecenia systemu operacyjnego z uprawnieniami procesu Node.js.

Biblioteka transcribe2texts do wersji 1.0.6 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać spreparowaną wartość audioPath do funkcji transcribeAudio(), wstrzykując podstawienie $() lub backtick, co pozwala na wykonanie dowolnych poleceń z uprawnieniami procesu Node.js.

xhtml2pdf w wersjach przed 0.2.19 zawiera podatność na wstrzyknięcie poleceń systemowych w funkcji pisa.startViewer(). Atakujący mogą dostarczyć plik wejściowy, którego nazwa zawiera cudzysłów i metaznaki powłoki, co prowadzi do wykonania poleceń OS podczas używania narzędzia pisa z opcją -s/--start-viewer.

@runnerty/executor-decompress w wersjach do 3.1.1 zawiera podatność na wstrzyknięcie poleceń systemowych. Atakujący mogą dostarczyć spreparowane nazwy plików archiwów do compress_file, wstrzykując podstawienia $() lub niecytowane metaznaki powłoki do wywołań shelljs exec().

Biblioteka Whisper-node do wersji 1.1.1 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać spreparowane wartości filePath lub whisperOptions.language do funkcji whisper(), wstrzykując metaznaki powłoki lub podstawienie $() do polecenia budowanego przez createCppCommand() i uruchamianego przez shelljs exec(), co pozwala na wykonanie poleceń z uprawnieniami procesu Node.js.

Biblioteka @mborne/extract przed wersją 0.2.1 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać metaznaki powłoki w opcjach archivePath lub targetDir do funkcji extract(), wstrzykując polecenia do niecytowanych łańcuchów shelljs exec() w ekstraktorach unzip, 7z, tar-bz2 i gz, co pozwala na wykonanie poleceń z uprawnieniami procesu Node.js.