Katalog podatności CVE

Axios jest podatny na gadżety zanieczyszczenia prototypu po stronie odczytu, gdy Object.prototype został już zanieczyszczony przez inną podatność lub zależność. Najbardziej dostępny problem dotyczy aliasów metod bez ciała: axios.get(), axios.delete(), axios.head() i axios.options().

Podatność na path traversal w serve-static na Windows przez zakodowany backslash (%5C) w ścieżce żądania. Na hostach Windows zakodowany backslash (%5C) dekoduje się do \, co powoduje, że ścieżka Windows traktuje go jako separator katalogów.

Node-tar (npm tar) zawiera podatność na wyczerpanie stosu przez niekontrolowaną rekurencję w wewnętrznej funkcji pomocniczej mapHas używanej przez filesFilter. Wywołanie tar.t(...) lub tar.x(...) z niepustą listą wyboru członków instaluje filtr, który zamyka się nad rekurencyjnym mapHas.

libcurl obsługuje przypinanie klucza publicznego certyfikatu serwera dla transferów HTTPS. Z powodu pominięcia, sprawdzenie to nie jest wykonywane podczas łączenia z QUIC dla HTTP/3, gdy backend TLS to wolfSSL. Dokumentacja mówi, że opcja działa z wolfSSL, ale nie precyzuje, że nie działa dla QUIC.

Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.

Axios w wersjach od 0.28.0 zawiera niekontrolowaną rekurencję w formDataToJSON, która jest udostępniana jako axios.formToJSON() i używana wewnętrznie, gdy axios serializuje FormData z Content-Type: application/json. Jeśli aplikacja przekaże kontrolowane przez atakującego nazwy pól FormData, może to prowadzić do wyczerpania stosu.

Podatność w pakiecie iscsi-initiator-utils dotyczy zapisu poza granicami bufora i ujawnienia informacji przez niezweryfikowaną długość ładunku IPv6. Specjalnie spreparowane żądania ICMPv6 Echo mogą spowodować, że demon iscsiuio zaufa zawyżonej wartości ipv6_plen, większej niż faktycznie odebrany ładunek.

W bibliotece libde265 (commit d9fea9d) odkryto błąd segmentacji w funkcji decoder_context::compute_framedrop_table(). Podatność może prowadzić do awarii aplikacji korzystającej z tej biblioteki.

Axios w wersjach 0.28.0 i późniejszych zawiera niekontrolowaną rekurencję w formDataToJSON, pomocniku stojącym za publicznym API axios.formToJSON() / nazwanym formToJSON oraz domyślnym przekształceniu żądania używanym, gdy FormData jest wysyłane z typem treści application/json.

runc 1.1.13 i wcześniejsze oraz 1.2.0-rc2 i wcześniejsze mogą zostać oszukane do tworzenia pustych plików lub katalogów w dowolnych lokalizacjach w systemie plików hosta poprzez współdzielenie woluminu między dwoma kontenerami i wykorzystanie określonych operacji.

Gdy Git prosi o poświadczenia przez monit terminala (bez użycia pomocnika poświadczeń), wypisuje nazwę hosta, dla którego są one żądane. Może to prowadzić do ujawnienia nazwy hosta w nieoczekiwanych kontekstach.

Klienci używający surowych kluczy publicznych RFC7250 (RPK) do uwierzytelniania serwera mogą nie zauważyć, że serwer nie został uwierzytelniony, ponieważ uzgadnianie nie przerywa się zgodnie z oczekiwaniami, gdy ustawiony jest tryb weryfikacji SSL_VERIFY_PEER. Wpływ: połączenia TLS i DTLS używające surowych kluczy publicznych...

Buildx to wtyczka CLI Docker, która rozszerza możliwości budowania za pomocą BuildKit. Backendy pamięci podręcznej obsługują poświadczenia, ustawiając sekrety bezpośrednio jako wartości atrybutów w konfiguracji cache-to/cache-from. Gdy są one dostarczane jako dane wejściowe użytkownika, te bezpieczne wartości mogą zostać przypadkowo przechwycone w śladach OpenTelemetry.

W GNU patch do wersji 2.7.6 występuje podwójne zwolnienie pamięci w funkcji another_hunk w pliku pch.c, co może prowadzić do odmowy usługi poprzez spreparowany plik łatki. Problem wynika z niekompletnej poprawki dla CVE-2018-6952.

Funkcja curl_url_get() w libcurl oferuje konwersje punycode do i z IDN. Przy konwersji nazwy o dokładnie 256 bajtach, libcurl czyta poza buforem na stosie, gdy używany jest backend IDN macidn.

Użycie tej biblioteki w kontekście krytycznym dla bezpieczeństwa może prowadzić do wycieku wrażliwych informacji, jeśli jest używana do przetwarzania wrażliwych pól. OpenBao (i prawdopodobnie HashiCorp Vault) ujawniają komunikaty błędów z mapstructure.

Gdy curl ma używać HSTS, czas wygaśnięcia dla subdomeny może nadpisać wpis w pamięci podręcznej domeny nadrzędnej, powodując wcześniejsze lub późniejsze wygaśnięcie niż zamierzono. Dotyczy to aplikacji używających HSTS i adresów URL z niebezpiecznym schematem HTTP://.

Wielokrotne użycie Unpacker po wystąpieniu błędu może doprowadzić do awarii procesu z powodu błędu SEGV. Jeśli Unpacker jest używany do rozpakowywania niezaufanych danych zewnętrznych, może być podatny na atak DoS.

Z powodu błędu w kodzie WebSocket w libcurl, złośliwy serwer może wysłać specjalnie spreparowany pakiet, który powoduje, że libcurl wpada w nieskończoną pętlę busy-loop. Aplikacja nie może uciec z tej pętli inaczej niż przez zabicie wątku/procesu. Może to być użyte do DoS.

Wykryto wadę bezpieczeństwa w musl libc do wersji 1.2.6. Dotyczy ona funkcji iconv w pliku src/locale/iconv.c komponentu dekodera 4-bajtowego GB18030. Manipulacja prowadzi do nieefektywnej złożoności algorytmicznej. Atak musi być zainicjowany z lokalnej pozycji.