Katalog podatności CVE

W Webpro-nl Knip do wersji 6.44.0 wykryto podatność path traversal w funkcji writeFile w pliku packages/knip/src/IssueFixer.ts komponentu Workspace Handler. Manipulacja argumentem workspaces prowadzi do path traversal, a atak może być wykonany zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

http4k w wersjach od 4.9.10.0 przed 6.60.0.0 zawiera podatność braku kontroli integralności, ponieważ DigestEncoder oblicza skrót auth-int bez hashowania treści żądania. Atakujący w kanale (on-path) na kanałach bez TLS mogą zmienić treść uwierzytelnionych żądań, zachowując ważny nagłówek Authorization, i wykonywać akcje zmieniające stan w imieniu ofiary.

W http4k przed wersją 6.62.0.0-ee występuje podatność path traversal w ThymeleafTemplates Caching i HotReload. Nieuwierzytelniony atakujący może odczytać pliki spoza baseTemplateDir, podając segmenty ../ w wartościach ViewModel.template(), ponieważ FileTemplateResolver rozwiązuje ścieżki bez sprawdzania containment.

W samanhappy MCPHub do wersji 1.0.45/1.1.7 wykryto lukę w pliku src/utils/passthroughHeaders.ts. Manipulacja argumentem passthroughHeaders prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Zalecana jest aktualizacja do wersji 1.1.8.

W jxxghp MoviePilot do wersji 3.1.2 wykryto podatność w funkcji WorkflowExecutor.restore_context w pliku app/chain/workflow.py. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.

W Sanluan PublicCMS 4.x/5.x/6.x wykryto podatność w funkcji TradeRefundService.updateAmound w komponencie publiccms-trade. Manipulacja argumentem refundId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcjach sub_416d48/sub_41a7c0 pliku /bin/ioos, w komponencie obsługi listy klientów VPN. Manipulacja argumentem opt prowadzi do braku uwierzytelnienia (missing authentication). Atak można zainicjować zdalnie, a exploit jest już publiczny.

W Apache Wicket występuje błąd kolejności sprawdzeń: ścieżka pliku jest walidowana przez PackageResourceGuard zanim framework dołączy do niej atrybuty style, variation i locale. W rezultacie otwierany plik może być innym plikiem niż zatwierdzony przez guard, co pozwala na odczytanie szablonów HTML komponentów, których nazwy klas zawierają podkreślenie (np. Report_v2).

W Apache Wicket mechanizm PackageResourceGuard błędnie zezwala na serwowanie szablonów znaczników komponentów jako zasobów pakietowych, gdy wicket-core jest ładowany przez class loader, który nie widzi klas aplikacji. W takiej konfiguracji sprawdzenie obecności pliku klasy obok szablonu kończy się niepowodzeniem, a żądanie URL zasobu pakietowego zwraca szablon komponentu ze statusem 200. Ujawnieniu podlegają treści szablonów tworzone przez deweloperów, takie jak struktura komponentów, komentarze, skrypty inline i nazwy endpointów.

Wykryto lukę bezpieczeństwa w Shanghai Xi Yu Ji Zhi Technology Minimax Code 0.5.8. Dotyczy ona nieznanej części komponentu Find Command Handler, a manipulacja argumentem -exec prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.

Apache Wicket nie egzekwuje autoryzacji zasobów (isResourceAuthorized() ani adnotacji @AuthorizeResource) w komponentach ResourceLink, Image, ImageButton oraz AjaxDownloadBehavior, gdy zasób jest przekazany jako instancja IResource. W takim przypadku zasób jest serwowany bez sprawdzenia uprawnień, podczas gdy ta sama kontrola działa przy użyciu ResourceReference. Problem dotyczy też ExportToolbar, który buduje linki eksportu z instancji IResource.

W Apache Wicket brak autoryzacji pozwala na wywołanie listenera komponentu, dla którego strategia autoryzacji odmówiła akcji RENDER. Wystarczy spreparowany lub nawet standardowy URL listenera bez identyfikatora strony, przez co nie wykonuje się faza renderowania ani Component#configure(), a flaga widoczności pozostaje domyślna. Dotyczy to również komponentów ukrytych lub wyłączonych w Component#onConfigure().

W Apache Wicket w wersjach od 10.3.0 do 10.11.0 występuje brak autoryzacji przy przetwarzaniu formularzy. Formularz przyjmuje nazwę komponentu zatwierdzającego z parametrów żądania i przekazuje ją bezpośrednio do onFormSubmitted(), pomijając sprawdzenie widoczności i dostępności komponentu. W efekcie żądanie może wywołać akcje przycisku lub linku, który aplikacja ukryła lub zablokowała.

W Apache Wicket brakuje autoryzacji w obsłudze natywnych WebSocketów. Handler WebSocketMessageBroadcastHandler wywołuje WebSocketResource#onPayload() bez sprawdzenia IAuthorizationStrategy#isResourceAuthorized(), a adnotacja @AuthorizeResource nie działa. Wystarczy sesja Wicket i nazwa zasobu (ujawniana w stronie otwierającej połączenie), by wywołać wszystkie callbacki zasobu, w tym onConnect() i onMessage().

Wykryto podatność w beecue FastBee do wersji 2.1.0. Nieznana funkcjonalność pliku /iot/script w komponencie Groovy Script Executor pozwala na wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a poprawka jest dostępna pod identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9.

W bibliotece ag-ui-protocol ag-ui do wersji 0.0.58 wykryto podatność w funkcji isInterruptExpired pliku sdks/typescript/packages/client/src/interrupts/index.ts, w komponencie obsługi wygaśnięcia przerwań. Manipulacja prowadzi do nadmiernego zużycia zasobów. Atak można przeprowadzić zdalnie, a exploit został opublikowany.

Wykryto podatność w ag-ui-protocol ag-ui do wersji 0.0.58 w nieznanej funkcjonalności komponentu Transport Decoder Handler. Manipulacja danymi prowadzi do niewłaściwej walidacji danych wejściowych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W bibliotece ag-ui (ag-ui-protocol) do wersji 0.0.58 funkcja parseSSEStream w pliku sdks/typescript/packages/client/src/transform/sse.ts (komponent SSE Parser) pozwala na nadmierne zużycie zasobów. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W bibliotece ag-ui (ag-ui-protocol) do wersji 0.0.58 funkcja e.text w komponencie HTTP Transport pozwala na nadmierne zużycie zasobów. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W bibliotece ag-ui (ag-ui-protocol) do wersji 0.0.58 w pliku sdks/typescript/packages/client/src/agent/http.ts (komponent HttpAgent) występuje luka umożliwiająca ujawnienie informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.