Katalog podatności CVE

Stos QUIC w OpenSSL nie egzekwuje limitów przepływu na poziomie połączenia dla strumieni. Zdalny, złośliwy peer może wysyłać więcej bajtów, o ile mieszczą się w limitach przepływu dla strumienia, co prowadzi do nadmiernej alokacji pamięci.

Serwer TLS, który wywołuje SSL_set_SSL_CTX() w trakcie uzgadniania połączenia, może uzyskać dostęp do pamięci poza końcem wewnętrznej tablicy, jeśli nowy kontekst zna więcej algorytmów podpisów dostawcy niż kontekst, z którego utworzono połączenie. Zdalny peer może spowodować mały odczyt poza zakresem, a w niektórych przypadkach zapis poza zakresem o stałej wartości na stercie serwera, co może prowadzić do odmowy usługi.

W implementacji OpenSSL operacji na kluczu prywatnym SM2 na platformach ARM64 i RISC-V używana jest zoptymalizowana wersja mnożenia punktu skalarnego, która nie działa w stałym czasie. Gałęzie warunkowe i odwołania do tablic zależą od bitów tajnego skalara, przez co czas wykonania i wzorzec dostępu do pamięci cache ujawniają informacje o kluczu prywatnym lub nonce podpisu.

Podatność w implementacji QUIC w OpenSSL pozwala zdalnemu atakującemu na utrzymywanie przydzielonej pamięci buforów pakietów przez długi czas, wysyłając specjalnie spreparowane pakiety. Problem wynika z braku limitów alokacji zasobów (CWE-770), co może prowadzić do nadmiernego zużycia pamięci.

Generyczne mnożenie skalarne na krzywych eliptycznych używane w operacjach podpisu ECDSA i SM2 dla krzywych bez dedykowanej implementacji ujawnia informacje o sekretnym nonce poprzez pomiar czasu. Atakujący mierzący czasy podpisywania może poznać nonce, co przy wielu podpisach może prowadzić do odzyskania klucza prywatnego.

Algorytm ponownego składania strumieni QUIC w OpenSSL ma pogarszającą się wydajność przy pakietach przychodzących poza kolejnością, osiągając złożoność kwadratową. Zdalny peer QUIC po ukończeniu uzgadniania może wywołać przeciążenie CPU i potencjalnie DoS przy niskim zużyciu pasma.

Serwer QUIC w OpenSSL, gdy wyłączona jest walidacja adresu klienta, może wielokrotnie zliczać odebrane datagramy w obliczeniach limitu kredytu niewalidowanego. Prowadzi to do naruszenia limitu amplifikacji 3x z RFC 9000, umożliwiając atakującemu wykorzystanie serwera do wzmocnienia ataku DDoS.

Certyfikat z wieloma punktami dystrybucji CRL typu nameRelativeToCRLIssuer powoduje nieproporcjonalny wzrost pamięci podczas cache'owania rozszerzeń X.509 w OpenSSL. Otrzymanie spreparowanego certyfikatu od złośliwego peera może prowadzić do znacznego obciążenia pamięci i potencjalnej odmowy usługi.

Nieprawidłowa walidacja ścieżek w lokalnej usłudze IPC TeamViewer Full Client i Host na systemach Windows, Linux i macOS w wersjach przed 15.82 pozwala lokalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonywanie dowolnych zapisów do plików z podwyższonymi uprawnieniami (NT AUTHORITY/SYSTEM \ root). Wysyłając spreparowane polecenia IPC do lokalnego demona usługi, atakujący może manipulować ścieżkami plików, prowadząc do lokalnej eskalacji uprawnień.

UnoPim w wersjach przed 2.0.1 i 2.1.1 ufa wszystkim łączącym się klientom jako proxy i honoruje nagłówek X-Forwarded-Host bez walidacji, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne źródła do stron układu administracyjnego. Atakujący mogą ustawić X-Forwarded-Host, aby przekierować ładowanie zasobów JavaScript na swój serwer, a gdy odpowiedzi są buforowane przez współdzielone proxy, kolejni administratorzy wykonują kod dostarczony przez atakującego w swoich uwierzytelnionych sesjach.

Flysystem przed wersją 3.35.3 zawiera podatność w domyślnym WhitespacePathNormalizer, który używa preg_match z modyfikatorem u i traktuje zarówno false, jak i 0 jako fałsz. Ścieżka z nieprawidłowym UTF-8 powoduje, że PCRE zwraca false, co pozwala na obejście walidacji i zapisanie nazw zawierających znaki kontrolne. Może to prowadzić do ukrytych lub sfałszowanych list plików w terminalu administratora.

Biblioteka @socket.io/cluster-engine przed wersją 0.1.1 używa dziedziczonych właściwości obiektu podczas wyszukiwania identyfikatorów sesji kontrolowanych przez atakującego w środowiskach klastrowych. Nazwy właściwości takie jak __proto__ lub constructor mogą zostać rozwiązane przez łańcuch prototypów zamiast wskazywać rzeczywistego klienta, co powoduje awarię procesu Node.js i odmowę usługi. Aplikacje niekorzystające z @socket.io/cluster-engine nie są narażone.

W bibliotece Werkzeug przed wersją 3.1.9 funkcja safe_join używana przez send_from_directory może pozwolić na ścieżkę specjalnego urządzenia NUL:, ponieważ safe_join sprawdza nazwę urządzenia Windows bez uprzedniego usunięcia pustego znacznika NTFS ADS. Problem występuje, gdy aplikacja działa w systemie Windows z NTFS i obsługuje ścieżkę podaną przez użytkownika kończącą się nazwą specjalnego urządzenia, taką jak NUL:.

Deserializacja niezaufanych danych w komponencie ładowania modeli w Amazon GluonTS przed wersją 0.17.0 może pozwolić atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami procesu ładującego model, poprzez specjalnie spreparowany katalog modelu. Aby usunąć podatność, należy zaktualizować do wersji 0.17.0 lub nowszej.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.

Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.

Fumasoft Fumeng Cloud zawiera podatność na wstrzyknięcie SQL w punkcie końcowym AjaxMethod.ashx, która pozwala nieuwierzytelnionym zdalnym atakującym wstrzyknąć dowolny kod SQL przez parametr Name akcji getEmpByname bez żadnego uwierzytelnienia. Atakujący mogą wykorzystać techniki UNION-based SQL injection przeciwko backendowi Microsoft SQL Server do wyodrębnienia, ujawnienia i modyfikacji zawartości bazy danych, z możliwością dalszego przejęcia serwera. Dowody wykorzystania zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation 2023-10-18.

Weblate w wersjach od 4.11.1 do 2026.7.1 zawiera podatność na wstrzyknięcie argumentów w backendzie Mercurial. Nazwy plików repozytorium zaczynające się od znaku - mogą być interpretowane jako opcje Mercurial zamiast ścieżek. Uwierzytelniony użytkownik z uprawnieniem component.edit w zakresie projektu może to wykorzystać przez komponent RESX korzystający z Mercurial i dodatek Update RESX files, co może doprowadzić do wykonania dowolnych poleceń z uprawnieniami konta usługi Weblate. Podatność została naprawiona w wersji 2026.8.