Katalog podatności CVE

W funkcji importu metadanych SAML w komponencie keycloak-services stwierdzono błąd polegający na nieprawidłowym wyłączaniu weryfikacji podpisu odpowiedzi SAML, gdy metadane dostawcy tożsamości nie zawierają określonych atrybutów użycia kluczy. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie odpowiedzi SAML i uzyskanie nieautoryzowanego dostępu do konta użytkownika, znając jego zewnętrzny identyfikator.

Wtyczka Content Egg dla WordPressa jest podatna na arbitralne usuwanie plików poprzez Path Traversal w wersjach do 11.3.0 włącznie. Wynika to z niewystarczającej walidacji pola 'img_file' w metadanych posta cegg_data, które jest później używane w ścieżce pliku bez normalizacji, co pozwala uwierzytelnionym atakującym z dostępem autora lub wyższym na usuwanie dowolnych plików na serwerze.

Kamera Zosi C519M w wersji V4.2.8.823C01450BA zawiera podatność na nieprawidłową kontrolę dostępu. W mechanizmie uwierzytelniania RTSP znajdują się zakodowane na stałe poświadczenia, których nie można zmienić. Atakujący z dostępem do sieci może użyć tych domyślnych poświadczeń, aby uzyskać dostęp do strumienia wideo RTSP i nieautoryzowanie oglądać nagrania z kamery.

Wtyczka Comments w Cotonti CMS deserializuje dane dostarczone przez użytkownika bez ograniczeń dotyczących klas, które mogą być instancjonowane. W plugins/comments/controllers/actions/CreateAction.php parametr POST (poddany jedynie sanityzacji trim) jest przekazywany bez ograniczeń, dostępny dla każdego członka z prawem zapisu do komentarzy (domyślne ustawienie).

Pomocnik sortowania w siatce administracyjnej Subrion CMS, _gridGetSorting w includes/classes/ia.base.controller.admin.php, umieszcza na białej liście parametr żądania (ASC/DESC) za pomocą in_array, ale wraca do surowego, dostarczonego przez atakującego parametru GET, gdy żądany klucz nie znajduje się w tablicy białej listy dla danego kontrolera, a następnie umieszcza go w %s tylko z cytowaniem backtickami i bez escapowania.

Bolt CMS renderuje wartości pól treści przez pełne środowisko Twig bez zarejestrowanego SandboxExtension. W src/Entity/Field.php funkcja getTwigValue wywołuje shouldBeRenderedAsTwig, która sprawdza tylko flagę allow_twig i regex, a następnie kompiluje i renderuje surową wartość bez sandboxingu.

Kreator raportów w systemie Koha (reports/guided_reports.pl) odczytuje parametry CGI i bezpośrednio konkatenuje je do klauzuli SQL ORDER BY bez żadnej listy dozwolonych wartości ani walidacji. Ponieważ kolumny ORDER BY nie mogą być wiązane przez przygotowane zapytania, wymagana jest jawna lista dozwolonych, która nie istnieje.

Funkcja sanitize_sql_column w Cacti (lib/functions.php) oczyszcza nazwy kolumn ORDER BY podawane przez użytkownika za pomocą wyrażenia regularnego, które dopuszcza litery, cyfry, podkreślenia, nawiasy i kropki. Pozwala to na przepuszczenie niektórych ładunków bez żadnych modyfikacji.

Integracja z Matomo w Uptime Kuma wstrzykuje wartość Matomo skonfigurowaną przez administratora jako niecytowane wyrażenie JavaScript w bloku <script> na każdej publicznej stronie statusu. Wartość siteId, taka jak , po zapisaniu przez edytora/admina, wykonuje dowolny JavaScript dla każdego nieuwierzytelnionego odwiedzającego publiczną stronę /status/<slug>, umożliwiając kradzież ciasteczek sesji i pełne przejęcie strony.

Procedura obsługi przesyłania kopii zapasowych w Fledge, upload_backup (python/fledge/services/core/api/backup_restore.py), pobiera pierwszą nazwę pliku z wyodrębnionego archiwum tar (tar_file_names[0]) i buduje polecenie powłoki przez formatowanie stringa. Ponieważ os.system wywołuje powłokę i nie stosuje się cytowania (shlex.quote, list-form subprocess), administrator przesyłający spreparowane archiwum kopii zapasowej może uzyskać dowolne wykonanie poleceń systemu operacyjnego.

Moduły inicjalizacji LoRA-GA i CorDA w bibliotece Hugging Face peft (src/peft/tuners/lora/corda.py linie ~102 i ~163 oraz src/peft/tuners/lora/loraga.py linia ~101) wywołują torch.load na plikach cache/kowariancji określonych w konfiguracji bez ustawienia weights_only=True, omijając własny bezpieczny mechanizm ładowania peft używany w innych miejscach kodu.

Funkcja DownloadBookmark w go-shiori pobiera URL dostarczony przez wywołującego za pomocą zwykłego http.Client bez niestandardowego DialContext ani walidacji docelowego adresu IP (brak sprawdzeń IsLoopback, IsPrivate, IsUnspecified czy IsLinkLocalUnicast).

W Zigbee2MQTT, funkcja ExternalJSExtension.getFilePath (lib/extension/externalJS.ts) łączy parametr otrzymany przez wiadomość MQTT (topic zigbee2mqtt/bridge/request/extension/save) z bazową ścieżką rozszerzeń za pomocą path.join(basePath, name) bez sanityzacji. Obsługa rozszerzeń tylko sprawdza, czy nazwa kończy się na .js/.mjs/.cjs, zapisuje plik, a następnie dynamicznie importuje go przez Node.js import, co umożliwia zdalne wykonanie kodu.

API czytników wiadomości w Magistrala (dawniej Mainflux) odczytuje wartość z ciągu zapytania HTTP (readers/api/http/transport.go) bez walidacji i interpoluje ją bezpośrednio do surowych zapytań SQL za pomocą fmt.Sprintf zarówno w czytniku PostgreSQL (readers/postgres/messages.go: ), jak i w czytniku TimescaleDB (readers/timescale/messages.go, ten sam wzorzec), umożliwiając wstrzyknięcie SQL przez każdego uwierzytelnionego użytkownika, który może odpytywać wiadomości kanału.

Funkcja CHANNEL_SetLabel w OpenBK7231T przechowuje etykiety kanałów otrzymane przez komendę MQTT SetChannelLabel za pomocą strdup bez sanityzacji HTML. CHANNEL_GetLabel zwraca te etykiety bez sanityzacji, a są one renderowane przez hprintf255 w ponad 15 miejscach w src/httpserver/http_fns.c bez kodowania HTML.

Funkcja safeDialContext w webhookach Memos rozwiązuje nazwę hosta docelowego przez net.DefaultResolver.LookupHost i waliduje wynikowe adresy IP względem zakresów zastrzeżonych, ale następnie łączy się przez net.JoinHostPort(host, port) używając oryginalnej nazwy hosta, a nie już zwalidowanego adresu IP.

Funkcja isReservedIP w Memos (internal/webhook/validate.go) sprawdza adres IP względem listy zarezerwowanych CIDR, która pomija zakres 0.0.0.0/8 i nie wywołuje ip.IsUnspecified, w przeciwieństwie do poprawnie zaimplementowanej funkcji isInternalIP.

Endpoint POST /api/v1/convert/url/pdf w Stirling-PDF (ConvertWebsiteToPDF.java) nie został zaktualizowany o zabezpieczenia CustomHtmlSanitizer/SsrfProtectionService, które dodano do trzech pokrewnych endpointów konwersji (html/pdf, file/pdf, markdown/pdf).

tinyobjloader-c's tinyobj_parse_and_index_mtl_file odczytuje każdą linię pliku materiałów .mtl do stałego bufora stosu o rozmiarze 4096 bajtów przez memcpy(linebuf, p, p_len), chronionego tylko przez [niepełny warunek]. Ten sam podatny wzorzec jest zduplikowany w drugiej funkcji w tym samym pliku.

Procedura obsługi MochadTCP::MatchLine w Domoticz (hardware/MochadTCP.cpp) kopiuje dane sieciowe z bufora m_mochadbuffer (do 1028 bajtów) do stałego bufora stosowego tempRFSECbuf o rozmiarze 50 bajtów za pomocą strcpy bez sprawdzania długości, w trzech różnych gałęziach kodu (typy urządzeń DS10A/KR10A/MS10A).