Katalog podatności CVE

ImageMagick przed 6.9.13-58 oraz 7.x przed 7.1.2-33 zawiera wyciek pamięci w obsłudze profili XMP przez różne dekodery. Atakujący może dostarczyć obrazy ze spreparowanym profilem XMP, które przy każdym przetworzeniu powodują wyciek pamięci, prowadząc do wyczerpania zasobów i odmowy usługi.

ImageMagick przed 6.9.13-58 oraz 7.x przed 7.1.2-33 zawiera wyciek pamięci w kodzie parsowania XML, gdzie zaalokowana pamięć nie jest zwalniana po osiągnięciu limitu głębokości zagnieżdżenia. Atakujący może dostarczyć spreparowane, głęboko zagnieżdżone dane XML, aby wywołać wyciek, powodując wyczerpanie pamięci i odmowę usługi.

ImageMagick przed 7.1.2-33 zawiera podatność wycieku pamięci w dekoderze MAT, który nie zwalnia zaalokowanej pamięci w określonej ścieżce błędu. Atakujący może dostarczyć spreparowane pliki MAT, które wielokrotnie wywołują tę ścieżkę błędu, powodując niewielkie wycieki pamięci stopniowo zużywające pamięć procesu.

ImageMagick przed 7.1.2-33 zawiera podatność obejścia polityki w dekoderze UHDR, która pozwala atakującym ominąć limity szerokości i wysokości obrazu, ponieważ sprawdzenia rozmiaru odbywają się po dekodowaniu. Atakujący może dostarczyć spreparowane obrazy UHDR o nadmiernych wymiarach, które są w pełni dekodowane przed egzekwowaniem limitów polityki, powodując nadmierne zużycie zasobów.

WWBN AVideo w wersjach od 26.0 do 29.3.0 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym komentującym wstrzyknąć JavaScript, ponieważ funkcja markDownToHTML() zachowuje atrybuty obsługi zdarzeń w wiodących blokach HTML. Atakujący może opublikować komentarz zaczynający się od znacznika img z obsługą onerror, co omija sanitizer inline i wykonuje się w przeglądarkach widzów w kontekście aplikacji.

Wykryto słabość w narzędziu dbcli mycli w wersjach do 2.29.4/2.30.1. Funkcja source_special_command_is_safe w pliku mycli/packages/special/source.py, należąca do komponentu Whitelist, pozwala na wstrzyknięcie poleceń systemowych. Atak można przeprowadzić lokalnie, a exploit jest publicznie dostępny.

W LinkStackOrg LinkStack do wersji 4.8.8 wykryto podatność typu cross-site request forgery (CSRF) w nieznanej funkcji. Atak można przeprowadzić zdalnie, a producent nie odpowiedział na zgłoszenie.

ProjectSend w wersjach od 2.0.0 do 2.7.1 zawiera niekompletną lukę w autoryzacji w FileVersions::link(), która pozwala użytkownikom personelu udostępniać pliki bez autoryzacji poprzez łączenie wersji plików. Atakujący mogą podłączyć swój plik do pośredniej rewizji lub przypisać klientów spoza zakresu, powodując, że moveAssignmentsToRoot() ujawnia chronione oryginalne pliki nieuprawnionym klientom.

Leon przed commitem 50df142 zawiera lukę path traversal w getModelFileNameFromURL(), która pozwala atakującym zapisywać pliki poza katalogiem models poprzez separatory kodowane procentowo. Atakujący mogą nakłonić użytkownika do uruchomienia '/download model' ze spreparowanym URL zawierającym zakodowane sekwencje '../', aby zapisać kontrolowaną przez atakującego treść w dowolnych ścieżkach zapisywalnych przez Leon.

Infinity for Reddit do wersji 8.3.4 zawiera lukę cross-site request forgery w logowaniu, która pozwala atakującym zalogować ofiary na konto kontrolowane przez atakującego, ponieważ eksportowany handler przekierowania LoginChromeCustomTabActivity sprawdza stałą wartość OAuth state. Atakujący mogą autoryzować client ID aplikacji swoim własnym kontem Reddit, a następnie dostarczyć przekierowanie infinity://localhost zawierające ich kod i stały state, powodując, że posty, wiadomości i przeglądanie ofiary odbywają się na koncie atakującego.

rotki przed wersją 1.44.2 zawiera lukę słabego wyprowadzania klucza, która pozwala atakującym na brute-force kopii zapasowych, ponieważ klucz synchronizacji premium to pojedynczy, nieosolony SHA-256 hasła użytkownika. Atakujący, którzy zdobędą przesłany blob kopii zapasowej, mogą przeprowadzić równoległe na GPU zgadywanie hasła offline i odszyfrować bazę danych zawierającą klucze API giełd, sekrety, adresy portfeli i historię transakcji.

Docker-Proxy do wersji 5.1.9 zawiera lukę braku uwierzytelniania w hubcmdui routes/config.js, która pozwala nieuwierzytelnionym atakującym odczytywać i nadpisywać konfigurację poprzez /api/config. Atakujący mogą pobrać URL webhooka WeChat i token bota Telegram oraz nadpisać linki menuItems, proxyDomain i miejsce docelowe webhooka monitoringu otrzymującego alerty.

NiubiGEO przed wersją 0.3.2 zawiera nieuwierzytelnioną lukę server-side request forgery, która pozwala zdalnym atakującym zmusić serwer do pobierania adresów wewnętrznych poprzez podanie spreparowanej wartości domain do POST /audit-plan. Atakujący mogą przesyłać literały IP, localhost lub hosty prywatne i link-local, aby odczytać odpowiedzi z pętli zwrotnej, sieci wewnętrznej lub metadanych chmury zwracane w JSON siteEvidence planu.

Firecrawl przed wersją 2.11.586 zawiera lukę server-side request forgery w proxy SSRF usługi Playwright, która pozwala atakującym obejść kontrole isInternalHost poprzez DNS rebinding. Atakujący kontrolujący DNS celu scrapowania może zwrócić adres publiczny podczas walidacji i adres prywatny w momencie połączenia, pobierając metadane chmury i zasoby wewnętrzne poprzez API scrapowania.

W Privoce Vocechat do wersji 0.9.121 wykryto podatność typu cross-site scripting (XSS) w pliku widget.html, w obsłudze parametru zapytania 'welcome'. Manipulacja tym argumentem pozwala na wykonanie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W bibliotece eventcatalog sdk do wersji 2.29.0 wykryto podatność typu path traversal w funkcjach getCustomDoc, writeCustomDoc i rmCustomDoc w pliku packages/sdk/src/custom-docs.ts. Manipulacja argumentem options.path pozwala na przeprowadzenie ataku lokalnie. Problem naprawiono w wersji 2.30.0.

W 1999AZZAR designer-mcp do wersji 2.1.0 wykryto podatność path traversal w funkcji get_reference w pliku skills/motion-designer/references/motion-dev-guidelines.md w interfejsie MCP. Manipulacja argumentem Name umożliwia zdalny atak, a exploit jest publicznie dostępny. Produkt stosuje rolling releases, więc szczegóły wersji nie są dostępne; dostępny jest patch c8c2951dcbed9b1710a745993f028317f10a3f10.

Wtyczka WordPress Chikkili- Google Pay India for Woocommerce do wersji 1.0.6 nie weryfikuje, czy powiadomienie o płatności pochodzi od dostawcy płatności, przed oznaczeniem zamówienia jako opłacone. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka WordPress WPVR przed wersją 9.1.3 nieprawidłowo sprawdza uprawnienia użytkownika podczas tworzenia wycieczki przez kreator konfiguracji. Umożliwia to użytkownikom z rolą Contributor i wyższą tworzenie i publikowanie treści wycieczek oraz ustawianie dowolnych metadanych postów, których normalnie nie mogliby utworzyć ani opublikować.