Katalog podatności CVE

Integracja klienta Confluent Kafka Python z HashiCorp Vault KMS ma nieprawidłową walidację certyfikatów TLS, co może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji.

Lektor 3.3.14 i 3.4.0b15 zawiera podatność CSRF w blueprint API administracyjnego, która pozwala nieuwierzytelnionym atakującym na wykonywanie operacji zmieniających stan, takich jak zapis plików, usuwanie stron, czyszczenie wyników builda i publikacja, poprzez wysyłanie żądań z złośliwych stron internetowych.

Podgrab zawiera podatność braku uwierzytelnienia, w której trasa WebSocket /ws jest zarejestrowana w głównym silniku gin zamiast w grupie routerów chronionej BasicAuth, co pozwala nieuwierzytelnionym klientom sieciowym na połączenie nawet przy skonfigurowanym haśle. Atakujący mogą dołączyć do zestawu allConnections, przechwycić transmisje PlayerExists zawierające identyfikatory graczy dostarczane przez klientów i odtworzyć je w wiadomości RegisterPlayer, aby przejąć kolejki payloadów przeznaczonych dla uwierzytelnionych użytkowników, ujawniając identyfikatory odcinków, tytuły i ścieżki plików po stronie serwera, a także potencjalnie zakłócając legalne odtwarzanie.

Podgrab zawiera podatność na atak DoS bez uwierzytelnienia, spowodowaną niesynchronizowanym dostępem do współdzielonych map w handlerze WebSocket. Zdalny atakujący może otworzyć wiele połączeń WebSocket i wysyłać wiadomości w pętli, co powoduje wyścig danych w Go i crash procesu, wymagający interwencji operatora.

Authlib w wersji 1.7.2 i niższych zawiera podatność, w której metadane JSON discovery są buforowane bez walidacji lub powiązania z originem issuera. Pozwala to zatrutemu discovery response na zastąpienie wszystkich wartości endpointów wartościami kontrolowanymi przez atakującego, zamiast URL endpointów współdzielących origin ze skonfigurowanym URL metadanych serwera.

Kamery Tapo C120 v1 i C200 v5 mają podatność na dereferencję pustego wskaźnika w parserze żądań połączenia HTTPS onboarding. Interfejs jest osiągalny bez uwierzytelnienia po wstępnej konfiguracji i nie sprawdza obecności pola hasła dla niektórych kombinacji parametrów, co pozwala na crash usługi HTTPS przez złośliwe żądanie z sieci lokalnej.

W AWS security-agent-mcp-server przed wersją 0.2.0 występuje podatność na wstrzyknięcie argumentów w operacji skanowania diff, która może pozwolić atakującemu na tworzenie, nadpisywanie lub obcinanie dowolnych plików na hoście poza zamierzonym katalogiem roboczym poprzez spreparowaną wartość referencji.

Kamery Tapo C120 v1 i C200 v5 nie wymuszają uwierzytelnienia dla akcji połączenia HTTPS onboarding po wstępnej konfiguracji. Nieuwierzytelniony atakujący z sąsiedztwa może przesłać nieautoryzowane parametry konfiguracji bezprzewodowej, co powoduje próbę połączenia kamery z inną siecią.

Kamery Tapo C120 v1 i C200 V5 zawierają podatność w funkcji skanowania HTTPS onboarding z powodu braku uwierzytelnienia. Po wstępnej konfiguracji nieuwierzytelniony atakujący w tej samej sieci lokalnej może wywołać akcję skanowania i pobrać metadane pobliskich punktów dostępowych, w tym SSID, BSSID, tryby uwierzytelniania i szyfrowania oraz informacje o sile sygnału.

djehuty przed wersją 26.3.2 zawiera podatność na wstrzyknięcie SPARQL w zapytaniach wyszukiwania/listowania przez trzy parametry. Nieuwierzytelniony atakujący może wykonywać zapytania odczytu, co pozwala na eksfiltrację danych z innych grafów (np. prywatnych) oraz ataki DoS poprzez kosztowne lub złośliwe zapytania.

Parser Smile w bibliotece FasterXML jackson-dataformats-binary nie wywołuje metody StreamReadConstraints.validateNameLength() podczas dekodowania nazw właściwości obiektów JSON, przez co limit maxNameLength nie jest egzekwowany dla tego formatu. Atakujący, który może dostarczyć dokument Smile do parsowania, może osadzić nazwę właściwości o nieograniczonej długości, co prowadzi do wyczerpania pamięci i odmowy usługi. Luka dotyczy również formatu CBOR, a oba błędy są opisane w doradztwie GHSA-3v8f-v6vx-fmrm.

Parser CBOR w bibliotece FasterXML jackson-dataformats-binary nie egzekwuje limitu maxNameLength dla nazw właściwości obiektów JSON, co pozwala na przetworzenie nazwy o nieograniczonej długości. Atakujący może przesłać dokument CBOR z bardzo długą nazwą właściwości, co prowadzi do wyczerpania pamięci i odmowy usługi. Luka dotyczy tylko formatów binarnych, a nie standardowego parsera JSON z jackson-core.

Wada w rubygem-katello: RegistryProxiesController w Katello zawiera podatność obejścia autoryzacji z powodu braku przerwania wykonania w filtrze registry_authorize. Mimo że aplikacja identyfikuje nieautoryzowane żądania i wywołuje metodę unauthorized, nie zatrzymuje wykonania bieżącej ścieżki kodu (brak instrukcji return). To pozwala aplikacji przejść do dalszej logiki biznesowej i filtrów walidacji bazy danych, co ujawnia stan wewnętrzny poprzez zróżnicowane odpowiedzi, umożliwiając nieuprzywilejowanemu atakującemu enumerację prawidłowych użytkowników, organizacji i produktów w całej instancji.

Wada w rubygem-katello: podatność na iniekcję SQL w Red Hat Satellite Katello Registry Proxy. Aplikacja nie oczyszcza parametrów wejściowych używanych w zapytaniach do bazy danych w RegistryProxiesController. Metody check_blob_push_org_label i get_matching_products_from_org pobierają etykiety dostarczane przez użytkownika bezpośrednio ze ścieżki żądania i interpolują je do surowych fragmentów SQL. Ta wada jest dostępna dla użytkownika z uprawnieniem create_personal_access_tokens, nawet jeśli dostęp użytkownika jest ograniczony i nie ma przypisanej organizacji ani lokalizacji.

Wada w rubygem-hammer_cli: podatność na iniekcję poleceń w Hammer CLI i komponencie Railties (Ruby on Rails) dystrybuowanym z Satellite z powodu niebezpiecznej interpolacji zmiennej środowiskowej $EDITOR do metody system() w Ruby. Przekazując pojedynczy interpolowany ciąg do system(), aplikacja wywołuje powłokę systemową (/bin/sh), która interpretuje metaznaki powłoki (np. ;, |, &).

Wada w Foreman: narzędzie foreman-tail jest podatne na iniekcję poleceń systemu operacyjnego z powodu niebezpiecznego użycia polecenia eval. Skrypt przyjmuje argumenty dostarczone przez użytkownika i włącza je bezpośrednio do ciągu, który jest następnie wykonywany przez eval w celu rozwinięcia ścieżek plików. Ponieważ dane wejściowe nie są sanityzowane ani cytowane, lokalny atakujący może wstrzyknąć metaznaki powłoki (np. ;, &, |) w celu wykonania dowolnych poleceń systemowych.

W powłoce systemowej Wind River VxWorks 7 występuje błąd nieprawidłowego zarządzania uprawnieniami (CWE-269), gdy włączone jest egzekwowanie uprawnień per użytkownik. W pewnych operacjach powłoki polecenie może zostać wykonane bez standardowej weryfikacji uprawnień, co pozwala uwierzytelnionemu użytkownikowi o ograniczonych prawach uruchomić niedozwolone polecenia. Luka dotyczy wszystkich wersji VxWorks 7 przed 26.09 i została naprawiona w wersji 26.09.

KaTeX, biblioteka JavaScript do renderowania matematyki TeX, od wersji 0.11.0 do 0.18.2 używa zwykłego dostępu do właściwości JavaScript dla obiektu opcji renderera, ustawienia trust, metadanych procesora i wyszukiwania przestrzeni nazw. Pozwala to na traktowanie odziedziczonych właściwości jako jawnie podanych wartości. Jeśli Object.prototype jest już zanieczyszczony lub atakujący kontroluje prototyp obiektu opcji, złośliwe wyrażenia matematyczne mogą użyć odziedziczonej wartości trust do włączenia zaufanego renderowania i tworzenia linków umożliwiających cross-site scripting lub ładowanie zewnętrznych zasobów w aplikacji, która wstawia nieprzefiltrowane dane wyjściowe KaTeX. Problem naprawiono w wersji 0.18.2.

Capacitor w wersjach od 6.0.0 do 6.2.2, 7.6.9, 8.3.5, 8.4.3 i 8.5.1 ma podatność w mechanizmie nawigacji WebView na Androidzie i iOS: walidacja adresu URL sprawdza host i schemat, ale nie ścieżkę. Ofiara, która aktywuje niezaufany link, może nawigować ramkę do /_capacitor_http_interceptor_. Proxy może pobrać wybrany przez atakującego URL i zwrócić odpowiedź jako dokument w originie aplikacji, co pozwala skryptom w tej odpowiedzi na dostęp do storage, ciasteczek i pluginów Capacitor. Aplikacje pozostają podatne nawet gdy CapacitorHttp jest wyłączony, ponieważ podatne wersje serwują ścieżkę proxy niezależnie od tego ustawienia. Poprawiono w wersjach 6.2.2, 7.6.9, 8.3.5, 8.4.3 i 8.5.1.

W Keycloak znaleziono błąd w uwierzytelnianiu certyfikatów klienta X.509. Gdy włączone jest sprawdzanie punktów dystrybucji list CRL, serwer niepoprawnie weryfikuje ścieżki plików podane w certyfikacie klienta. Atakujący może dostarczyć specjalnie spreparowany certyfikat, który powoduje próbę odczytu wrażliwych plików z systemu lub przeciążenie pamięci przez ładowanie bardzo dużych plików, co może prowadzić do ujawnienia informacji lub awarii systemu.