А, в качестве пятничного контента, порекомендуем свежий выпуск БУЛДЖАТь, посвящённый недавнему нашумевшему взлому игроков Apex Legends. Остаётся лишь надеяться, что однажды наступит то светлое время, когда геймдеверы наконец поймут, что «безопасность» — это отнюдь не только про баны читеров и защиту их драгоценных ноу-хау от реверсинга 🤔

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-28114, обнаруженная в инструменте peering-manager в версиях до версии 1.8.3 , приводит к Server Side Template Injection (SSTI). Проблема заключалась в возможности внедрять вредоносный код в процессе рендера jinja-шаблона . В исправлении были внесены изменения в функцию render_jinja2(), путем использования функции SandboxedEnvironment() для создании "песочницы" при рендере шаблона.

🐛 CVE-2024-28187, выявленная в SOY CMS в версиях до 3.14.2, приводит к OS Command Injection. Уязвимость обусловлена возможностью выполнять произвольные команды ОС через специально созданные имена файлов при их загрузке. В исправлении была добавлена экранирующая функция escapeshellarg() при обработке имени файла для функции execute() класса UploadFileAction.

🐛 CVE-2024-28199, выявленная в фреймворке Phlex в версиях до 1.9.1, приводит к XSS. Уязвимость обусловлена возможностью внедрения javascript: в составе ссылки, предоставляемой пользователем (например, атрибут href тега <a>). В исправлении в функции __build_attributes__ был реализован фильтр, исключающий наличие в атрибуте href значения "javascript:".

🐛 CVE-2024-28861, обнаруженная в Symfony1 PHP web framework в версии до 1.5.18 , приводит к Insecure deserialization. Проблема заключалась в возможности десериализации пользовательского кода в методе _unserialize() классов sfNamespacedParameterHolder, sfParameterHolder. В исправлении были внесены изменения в метод _unserialize() путем внедрения проверки типа (array) передаваемых данных и ограничения на максимальное количество элементов.

🐛 CVE-2024-28849, найденная в библиотеке follow-redirects в версиях до 1.15.5 , приводит к Information Disclosure. Уязвимость обусловлена возможностью перехвата учетных данных при кросс-доменном перенаправлении через прокси. Для исправления была скорректирована функция RedirectableRequest.prototype._processResponse() в части расширения регулярного выражения "(?:proxy-)?", используемого для удаления заголовка Proxy-Authorization.