Katalog podatności CVE

OwnTone Server w wersjach od 28.4 do 29.0 zawiera podatność na wyścig w obsłudze logowania DAAP, która pozwala nieuwierzytelnionym atakującym na zablokowanie serwera poprzez wykorzystanie niesynchronizowanego dostępu do globalnej listy sesji DAAP. Atakujący mogą wysłać lawinę żądań do punktu końcowego /login, aby wywołać zdalną odmowę usługi bez konieczności uwierzytelniania.

facil.io przed commit 5128747363055201d3ecf0e29bf0a961703c9fa0 ma podatność na nieskończoną pętlę w funkcji `fio_json_parse` przy napotkaniu zagnieżdżonej wartości JSON zaczynającej się od 'i' lub 'I'. Proces zużywa 100% jednego rdzenia CPU zamiast zwrócić błąd parsowania. Ponieważ `iodine` używa tego samego kodu, również jest podatny.

MinIO to system przechowywania obiektów o wysokiej wydajności. W wersjach od RELEASE.2023-05-18T00-05-36Z do RELEASE.2026-04-11T03-20-12Z występuje podatność na obejście uwierzytelniania w kodzie `STREAMING-UNSIGNED-PAYLOAD-TRAILER`, która pozwala każdemu użytkownikowi znającemu ważny klucz dostępu na zapis dowolnych obiektów do dowolnego koszyka bez znajomości klucza tajnego.

MinIO to system przechowywania obiektów o wysokiej wydajności. W wersjach od RELEASE.2023-05-18T00-05-36Z do RELEASE.2026-04-11T03-20-12Z występuje podatność na obejście uwierzytelniania w obsłudze automatycznego wyodrębniania Snowball (`PutObjectExtractHandler`), która pozwala każdemu użytkownikowi znającemu ważny klucz dostępu na zapis dowolnych obiektów do dowolnego koszyka bez znajomości klucza tajnego lub dostarczenia ważnego podpisu kryptograficznego.

Wersje free5GC przed 1.4.3 zawierają podatność na wyciek pamięci w interfejsie PCF SBI, która pozwala nieautoryzowanym atakującym z dostępem do sieci na powodowanie niekontrolowanego wzrostu pamięci poprzez wysyłanie powtarzających się żądań HTTP do punktu końcowego OAM. Problem wynika z nieprawidłowego zarządzania middleware CORS w obsłudze HTTP.

pyLoad to darmowy menedżer pobierania napisany w Pythonie. Wersje do 0.5.0b3.dev97 przechowują `role` i `permission` w sesji podczas logowania, co pozwala na autoryzację żądań przy użyciu tych wartości, nawet po zmianie ról/uprawnień użytkownika przez administratora w bazie danych.

OAuth2 Proxy to reverse proxy, który zapewnia uwierzytelnianie za pomocą dostawców OAuth2. Wersje od 7.5.0 do 7.15.1 mają lukę w uwierzytelnianiu, która zależy od konfiguracji, co może prowadzić do ominięcia uwierzytelnienia w określonych warunkach.

Zidentyfikowano podatność typu server-side request forgery (SSRF) w GitHub Enterprise Server, która umożliwiała atakującemu wydobycie wrażliwych zmiennych środowiskowych z instancji poprzez atak czasowy na usługę renderowania notatników. Gdy tryb prywatny był wyłączony, przeglądarka notatników podążała za przekierowaniami HTTP bez ponownej walidacji docelowego hosta, co umożliwiało nieautoryzowany SSRF do usług wewnętrznych.

W GitHub Enterprise Server zidentyfikowano podatność na niepoprawny wyrażenie regularne, która umożliwiała atakującemu ominięcie walidacji URI przekierowania OAuth. Atakujący mógł stworzyć złośliwy link autoryzacyjny, który po kliknięciu przez ofiarę przekierowywałby kod autoryzacji OAuth na kontrolowaną przez atakującego domenę.

AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej funkcja `isSSRFSafeURL()` w pliku `objects/functions.php` zawiera lukę, która pozwala na ominięcie zabezpieczeń SSRF dla dowolnego URL, którego nazwa hosta odpowiada `webSiteRootURL`.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej, niekompletna poprawka dla parametru `deleteDump` w CloneSite nie stosuje filtracji przejścia ścieżek, co pozwala na usunięcie dowolnych plików za pomocą sekwencji `../../` w parametrze GET.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej poprawka walidacji pochodzenia CORS w commicie `986e64aad` jest niekompletna, co pozwala na odzwierciedlenie dowolnych nagłówków `Origin` z uprawnieniami dla wszystkich punktów końcowych `/api/*`.

WWBN AVideo to otwarta platforma wideo. W wersjach 29.0 i poniżej funkcja `allowOrigin($allowAll=true)` w pliku `objects/functions.php` odzwierciedla dowolny nagłówek `Origin` w `Access-Control-Allow-Origin`, co pozwala na nieautoryzowane żądania międzydomenowe.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej, niekompletna poprawka SSRF w proxy LiveLinks dodaje walidację `isSSRFSafeURL()`, ale pozostawia podatności DNS TOCTOU, które mogą prowadzić do przekierowania ruchu do wewnętrznych punktów końcowych.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i wcześniejszych, trzy punkty końcowe JSON dostępne tylko dla administratorów nie weryfikują poprawności tokena CSRF, co pozwala atakującemu na manipulację danymi w bazie poprzez oszukanie zalogowanego administratora.

Hermes WebUI zawiera podatność na nieautoryzowane usuwanie plików w punkcie końcowym /api/session/delete, która pozwala uwierzytelnionym atakującym na usunięcie plików poza katalogiem sesji poprzez dostarczenie absolutnej ścieżki lub ładunku do przejścia ścieżki w parametrze session_id. Atakujący mogą wykorzystać niezweryfikowane identyfikatory sesji do skonstruowania ścieżek, które omijają granicę SESSION_DIR i usuwają zapisywalne pliki JSON na systemie gospodarza.

Oxia przed wersją 0.16.2 loguje pełny token bearer w postaci jawnego tekstu na poziomie DEBUG podczas nieudanego uwierzytelnienia OIDC. Jeśli logowanie debug jest włączone w produkcji, tokeny JWT są narażone w logach aplikacji i systemach agregacji logów.

Oxia przed wersją 0.16.2 ma podatność na wyścig między przetwarzaniem heartbeat sesji a zamykaniem sesji, co może spowodować panikę serwera z powodu wysyłki na zamkniętym kanale. Metoda heartbeat() używa blokującego wysyłania na kanale przy trzymaniu mutexa, co w określonych warunkach może prowadzić do zakleszczenia lub paniki.

Podatność w bibliotece Compressing przed wersjami 2.1.1 i 1.10.5 pozwala na obejście zabezpieczeń poprzez wykorzystanie techniki zanieczyszczenia katalogu. Sprawdzenie, które miało weryfikować, czy ścieżka zaczyna się od katalogu docelowego, nie uwzględnia rzeczywistego stanu systemu plików.

HKUDS OpenHarness przed poprawką PR #147 zawiera podatność na niebezpieczną domyślną konfigurację, w której zdalne kanały dziedziczą ustawienie allow_from = ["*"] umożliwiające dowolnym zdalnym nadawcom przechodzenie kontroli dostępu.