Katalog podatności CVE

Elektron przed wersjami 41.10.4, 42.5.2 i 43.0.0 nie przekazywał odziedziczonych ograniczeń sandboxa HTML do popupów otwieranych z sandboxowanego iframe przez ścieżkę OpenURLFromTab, w tym linki z target="_blank" lub środkowym kliknięciem. Niezaufany iframe z konfiguracją allow-scripts allow-popups mógł otworzyć popup z pełnym originem aplikacji, ujawniając ciasteczka, storage i możliwości skryptowania samego originu.

ImageMagick w wersjach przed 7.1.2-32 i 6.9.13-57 zawiera podatność ujawnienia niezainicjalizowanej pamięci sterty w dekoderze GIF w obsłudze rozszerzeń aplikacji w pliku coders/gif.c. Atakujący może stworzyć złośliwy plik GIF, który powoduje odczyt niezainicjalizowanej pamięci sterty przez parser liczb i zapisanie jej jako metadanych obrazu, ujawniając wrażliwe informacje z pamięci.

SGLang do wersji 0.5.20 w trybie prefill/decode disaggregation nie waliduje zduplikowanych pól bootstrap_room w żądaniach /generate z backendem transferu Mooncake KV. Nieuwierzytelnieni atakujący mogą wysyłać równoczesne żądania z identycznymi wartościami bootstrap_room, co może spowodować awarię procesów schedulera lub zawieszenie żądań innych użytkowników do czasu timeoutu transferu.

W bibliotece libexpat w wersjach 2.7.2 do 2.8.5 występuje przepełnienie liczb całkowitych w funkcji expat_realloc() na platformach 32-bitowych podczas obliczania rozmiarów alokacji. Atakujący dostarczający złośliwy XML do aplikacji parsujących z podatną biblioteką libexpat może spowodować przepełnienie bufora sterty, uszkodzenie pamięci lub odmowę usługi.

W KubeVirt uwierzytelniony użytkownik z uprawnieniem do tworzenia Virtual Machine Instances (VMIs) może wywołać odmowę usługi (DoS), przesyłając definicję maszyny wirtualnej z pustym wolumenem efemerycznym. Komponent virt-controller nieprawidłowo waliduje konfigurację wolumenu, co prowadzi do nieobsłużonego wyjątku i awarii aplikacji podczas przetwarzania. Ponieważ błędna definicja pozostaje w klastrze, kontroler wchodzi w ciągłą pętlę awarii, zakłócając operacje cyklu życia maszyn wirtualnych w całym środowisku.

W bibliotece libsoup podczas składania fragmentowanych wiadomości WebSocket do GByteArray nie ograniczano odpowiednio całkowitego rozmiaru wiadomości w stosunku do limitów bazowego typu bufora. Zdalny peer mógł wysyłać fragmenty powodujące obcięcie rozmiaru, podczas gdy implementacja nadal używała pełnej długości, co prowadziło do uszkodzenia sterty lub awarii.

W bibliotece libsoup podczas obsługi przychodzącej ramki WebSocket Pong, SoupWebsocketConnection emitował sygnał ::pong ze wskaźnikiem GByteArray, mimo że sygnał jest zadeklarowany do przekazywania GBytes. Aplikacje podłączające handler zgodny z udokumentowanym API GBytes mogą wywołać uszkodzenie sterty lub awarię po otrzymaniu spreparowanego Ponga.

W rozszerzeniu Joomla Balbooa Forms w wersjach poniżej 2.4.3.4 występuje zdalne wykonanie kodu (RCE) bez uwierzytelnienia poprzez wstrzyknięcie shortcode pola. Komponent obsługuje kod PHP zdefiniowany przez administratora, uruchamiany po publicznym wysłaniu formularza, i przed wywołaniem eval() zastępuje shortcody surowymi wartościami przesłanymi przez odwiedzającego. Aby wykorzystać podatność, publiczny formularz musi używać opcjonalnej akcji PHP po wysłaniu i interpolować shortcode kontrolowany przez atakującego w ciągu PHP w podwójnych cudzysłowach.

Rozszerzenie Joomla Balbooa Forms przed wersją 2.4.3.4 ma podatność na path traversal bez uwierzytelnienia, umożliwiającą eksfiltrację lokalnych plików przez załączniki w automatycznej odpowiedzi. Podczas publicznego przesyłania formularza, stan pola upload jest akceptowany jako JSON kontrolowany przez gościa. Dla każdego obiektu, którego 'id' wygląda numerycznie, komponent ufa dostarczonemu 'filename', konkatenuje go poniżej skonfigurowanego katalogu upload i dodaje wynik do tablicy lokalnych ścieżek załączników. Nie ładuje powiązanego rekordu, nie weryfikuje własności/sesji/formularza/pola, nie wymaga istnienia ID, nie kanonizuje ścieżki ani nie egzekwuje ograniczeń. Jeśli opcje 'auto reply' i 'attach uploaded files' są włączone, komponent wysyła te lokalne ścieżki jako załączniki e-mail na adres podany w polu e-mail. Gość może więc przesłać nieistniejący numeryczny ID oraz nazwę pliku z traversal, np. '../../../../configuration.php', i otrzymać dowolny plik czytelny przez proces Joomla.

Rozszerzenie Joomla Balbooa Forms przed wersją 2.4.3.4 ma podatność na przechowywany XSS przez nazwę pliku uploadu bez uwierzytelnienia. Publiczny endpoint uploadu waliduje rozszerzenie pliku i wykryty typ MIME, ale przechowuje oryginalną nazwę pliku z multipart dokładnie w `#__baforms_submissions_attachments.name`. Późniejsza anonimowa submisja formularza kojarzy ten tymczasowy załącznik z nowo utworzoną submisją. Gdy administrator otwiera submisję, JavaScript komponentu pobiera zapisany rekord załącznika i konkatenuje `file.name` bezpośrednio do stringa HTML. Cały string jest przypisywany do `innerHTML`.

W rozszerzeniu Balbooa Forms w wersji poniżej 2.4.3.4 występuje manipulacja metadanymi plików. Końcowe przetwarzanie zgłoszenia formularza przetwarza tablice JSON dla każdego pola przesłania, sprawdzając jedynie, czy identyfikatory są numeryczne. Nazwy plików i nazwy wyświetlane dostarczone przez klienta są bezpośrednio zaufane, co wprowadza ryzyko przejęcia między sesjami, manipulacji metadanymi i podatności na path traversal (np. poprzez getFilePath()).

W rozszerzeniu Balbooa Forms dla Joomla (wersje poniżej 2.4.3.4) publiczna akcja removeTmpAttachment przyjmuje identyfikator załącznika i usuwa odpowiadający wiersz w bazie danych oraz plik. Kontroler weryfikuje token sesji Joomla, ale model nie wiąże identyfikatora załącznika z sesją, która przesłała plik, bieżącym użytkownikiem, formularzem ani stanem tymczasowym, co pozwala dowolnemu gościowi na nieautoryzowane usunięcie załącznika.

Podatność Stored XSS w rozszerzeniu Mediawiki - Wikibase Extension pozwala na trwałe wstrzykiwanie skryptów. Dotyczy wersji od * przed 1.46.1, 1.45.5, 1.43.10.

Podatność polegająca na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi w rozszerzeniu Mediawiki - CentralAuth Extension pozwala na eksfiltrację danych. Dotyczy wersji od * przed 1.46.1, 1.45.5, 1.43.10.

Podatność Stored XSS w rozszerzeniu Mediawiki - WikiSEO Extension pozwala na trwałe wstrzykiwanie skryptów. Dotyczy wersji od * przed 1.46.1, 1.45.5, 1.43.10.

Podatność polegająca na zależności od podatnego komponentu zewnętrznego i niekontrolowanym zużyciu zasobów w rozszerzeniu Mediawiki - DataTransfer Extension pozwala na nadmierną alokację. Dotyczy wersji od 1.46.0 przed 1.47.0.

Podatność polegająca na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi w rozszerzeniu Mediawiki - EventBus Extension pozwala na eksfiltrację danych. Dotyczy wersji 1.47.0-alpha.

Brak autoryzacji w rozszerzeniu TemplateSandbox dla MediaWiki umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji przed 1.46.1, 1.45.5 i 1.43.10.

Podatność na trwały XSS w rozszerzeniu Flow dla MediaWiki z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji przed 1.46.1, 1.45.5 i 1.43.10.

Akaunting przed wersją 2.1.31 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w procesie instalacji i aktualizacji modułów, gdzie parametr alias jest przekazywany bez walidacji do wykonania poleceń powłoki. Uwierzytelnieni użytkownicy z dostępem do panelu administracyjnego mogą wstrzyknąć metaznaki powłoki do parametru alias, aby wykonać dowolne komendy na serwerze.