Katalog podatności CVE

Wada w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanej części pliku /api/ZRnetwork/firstSetup_wifi. Manipulacja argumentem login_pwd prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.

Wykryto podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0, dotyczącą nieznanej funkcjonalności pliku /api/ZRnetwork/firstLogin. Manipulacja argumentem firstLogin prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

ZoneMinder w wersjach przed 1.38.4 nie stosuje ograniczeń dostępu dla poszczególnych monitorów w punkcie końcowym indeksu FramesController. Uwierzytelnieni użytkownicy z uprawnieniem do przeglądania zdarzeń mogą wywołać API ramek, aby wyświetlić rekordy ramek z monitorów, do których dostęp jest zabroniony, ujawniając metadane zdarzeń i ramek poza granicami monitorów.

ZoneMinder w wersjach przed 1.38.4 zawiera podatności przepełnienia bufora statycznego w funkcji RemoteCameraHttp::GetResponse(), które pozwalają złośliwym kamerom HTTP lub atakującym przechwytującym ruch na przepełnienie buforów o stałym rozmiarze poprzez wysyłanie zbyt dużych nagłówków odpowiedzi. Atakujący mogą wysyłać spreparowane odpowiedzi HTTP z nadmiernie długimi komunikatami statusu, nagłówkami Connection, wartościami Content-Type lub granicami multipart, aby uszkodzić stan parsera i spowodować awarię procesu przechwytywania lub uszkodzenie pamięci.

Nest to framework do budowania skalowalnych aplikacji serwerowych Node.js. W wersjach przed 11.2.4 i 12.0.2 pojedyncza wiadomość z głęboko zagnieżdżonym obiektem w swoim wzorcu może zakończyć działanie mikrousługi NestJS korzystającej z transportu TCP lub RabbitMQ. Metody ServerTCP#handleMessage i ServerRMQ#handleMessage przekazują kontrolowany przez klienta wzorzec niebędący ciągiem znaków do JSON.stringify w celu wyznaczenia klucza wyszukiwania handlera; wystarczająco głębokie zagnieżdżenie powoduje wyjątek RangeError: Maximum call stack size exceeded, a nieobsłużone odrzucenie obietnicy kończy proces Node.js zgodnie z domyślnym zachowaniem. Atakujący, który może dotrzeć do portu TCP lub opublikować w konsumowanej kolejce lub wymianie RabbitMQ, może na żądanie spowodować awarię usługi; inne transporty nie są dotknięte, ponieważ ich wzorce przychodzą jako ciągi znaków. Problem został naprawiony w wersjach 11.2.4 i 12.0.2.

W FastStone Image Viewer do wersji 8.3 wykryto podatność w nieznanej funkcji komponentu PCX Decoder. Manipulacja powoduje odczyt poza zakresem. Atak może być zainicjowany zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W FastStone Image Viewer do wersji 8.3 znaleziono podatność mającą wpływ na nieznaną funkcję pliku FSViewer.exe komponentu TGA Image Handler. Manipulacja powoduje odczyt poza zakresem. Atak może być przeprowadzony zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W FastStone Image Viewer do wersji 8.3 znaleziono podatność w nieznanej funkcji komponentu 1bpp RLE Decoder. Manipulacja prowadzi do zapisu poza zakresem. Atak może być zainicjowany zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W FastStone Image Viewer do wersji 8.3 znaleziono wadę. Dotyczy ona nieznanej funkcji komponentu TGA Image Handler. Wykonanie manipulacji może prowadzić do zapisu poza zakresem. Możliwe jest zdalne przeprowadzenie ataku. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Wykryto lukę w zabezpieczeniach w Netcore POWER13 2.0.240730.162638. Problem dotyczy funkcji routerd.passwd_set w pliku /ubus. Manipulacja prowadzi do słabego odzyskiwania hasła. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Cotonti do wersji 1.0.0 zawiera podatność cross-site request forgery w pliku admin.users.php, która pozwala atakującym usuwać grupy użytkowników bez weryfikacji tokena. Atakujący mogą tworzyć złośliwe linki lub strony, które nakłaniają uwierzytelnionych administratorów do usunięcia niestandardowych grup i powiązanych uprawnień poprzez wykorzystanie sesji administratora.

W wersjach SiYuan przed v3.8.4 endpoint getCurrentAttrViewImages nie egzekwuje sprawdzania uprawnień publikacji, co pozwala czytelnikom publikacji pobierać ścieżki do zasobów obrazów z nieautoryzowanych baz danych. Atakujący może wywołać ten endpoint z identyfikatorem nierenderowanej bazy uzyskanym przez powiązane endpointy, aby wyciec ścieżki i nazwy plików obrazów z odłączonych wierszy, które endpoint renderujący by odrzucił.

SiYuan w wersjach przed v3.8.4 nieprawidłowo waliduje instrukcje SQL w blokach osadzających zapytania SQL wykonywanych na siyuan.db. Atakujący mogą tworzyć złośliwe dokumenty .sy z instrukcjami SQL innymi niż tylko do odczytu, które są wykonywane automatycznie podczas indeksowania w tle, renderowania lub operacji eksportu bez uwierzytelniania.

Wersje ZoneMinder od 1.37.0 do 1.38.0 zawierają podatność path traversal w widoku plików, która pozwala uwierzytelnionym użytkownikom odczytywać dowolne pliki. Parametr path nie jest prawidłowo walidowany przed przekazaniem do output_file, co umożliwia atakującym z uprawnieniem Events view dostęp do wrażliwych plików, takich jak pliki konfiguracyjne zawierające poświadczenia do bazy danych.

W narzędziu wiersza poleceń 'ros2topic' systemu Robot Operating System 2 (ROS 2) odkryto lukę umożliwiającą wstrzyknięcie kodu, dotyczy ona wszystkich dystrybucji ROS 2 od Crystal Clemmys do Lyrical Luth i Rolling Ridley włącznie. Luka występuje w czasowniku 'hz', który raportuje częstotliwość publikowania tematu i akceptuje wyrażenie Python dostarczone przez użytkownika poprzez opcję --filter. Dane wejściowe są przekazywane bezpośrednio do funkcji eval() bez sanityzacji, co pozwala lokalnemu użytkownikowi na utworzenie i wykonanie dowolnego kodu.

Flatpak przekazuje dowolne klucze rozszerzeń dostawcy bez modyfikacji podczas eksportowania plików Desktop Entry (.desktop) i D-Bus Service (.service), zamiast walidować je względem listy dozwolonych. Złośliwa aplikacja Flatpak może to wykorzystać do spowodowania odmowy usługi (np. wymuszonych pętli restartu aplikacji) lub wpływania na aktywację hosta D-Bus/systemd poza zamierzony zakres sandboxa.

Flatpak tworzy tymczasowe katalogi repozytoriów podrzędnych w pamięci podręcznej użytkownika z uprawnieniami światowego zapisu (0777). Na systemach wieloużytkownikowych z permisywnym umask, inni lokalni użytkownicy mogą odczytywać lub modyfikować tymczasowy katalog używany podczas instalacji aplikacji lub środowisk uruchomieniowych, co może powodować błędy instalacji (odmowa usługi); zmodyfikowana zawartość nie zostanie zaufana, ponieważ nie przejdzie weryfikacji podpisu/skrótu.

Flatpak zapisuje token uwierzytelniający repozytorium OCI z uprawnieniami światowego odczytu (0644) w katalogu pamięci podręcznej systemowego pomocnika, co pozwala innym lokalnym użytkownikom na systemie wieloużytkownikowym odczytać token i podszywać się pod uwierzytelnionego użytkownika wobec repozytorium OCI. Dotyczy to tylko źródeł opartych na OCI (np. używanych przez Fedorę); źródła oparte na libostree, takie jak Flathub, nie są dotknięte.

W bibliotece proxygen (wersje od v2024.10.28.00 do v2026.09.28.00) funkcja WebTransportImpl::terminateSessionStreams (w wydaniach przed v2025.08.18.00 nazwana WebTransportImpl::destroy) nie wyrejestrowywała callbacków odczytu dla strumieni, które nie były już otwarte, przed ich zniszczeniem. W efekcie transport mógł wywołać callback odczytu, który został już zwolniony.

W bibliotece proxygen (wersje od v2024.10.28.00 do v2026.09.28.00) API HTTPTransaction::onWebTransportUniStream i HTTPTransaction::onWebTransportBidiStream mogły zwracać uchwyty strumieni, które zostały już zwolnione przez obsługę strumienia. HQSession następnie instalował te uchwyty jako callbacki odczytu transportu, co mogło prowadzić do użycia zwolnionej pamięci.