🔍 Наиболее интересные уязвимости

🐛 CVE-2024-31218, обнаруженная в Webhood до версии 0.9.1, приводит к Broken Access Control. Проблема заключалась в возможности неавторизированному злоумышленнику отправить HTTP-запрос к API администратора базы данных (Pocketbase) для создания учетной записи администратора . В исправлении была добавлена функция генерации случайной учетной записи администратора, если учетные записи администратора еще не были созданы.

🐛 CVE-2024-30265, выявленная в voila в версиях до 0.2.17, приводит к Local File Inclusion. Уязвимость обусловлена возможностью доступа неавторизированных пользователей к локальным файлам хоста. В исправлении из функции инициализации приложения tornado.web.Application() был удален параметр static_path="/" , указывающий на корневую директорию файловой системы, .

🐛 CVE-2024-30264, найденная в Typebot версии 2.23.0, приводит к XSS. Проблема обусловлена возможностью злоумышленника выполнить произвольный JavaScript путем отправки пользователю ссылки на страницу авторизации. Для исправления была добавлена санитизация параметра redirectPath с помощью функции sanitizeUrl() из состава библиотеки @braintree/sanitize-url.

🐛 CVE-2024-31215, выявленная в Mobile Security Framework до версии 3.9.7, приводит к SSRF. Уязвимость обусловлена возможностью злоумышленника заставить сервер подключиться к внутренним службам в инфраструктуре организации. В исправлении в функциях open_firebase(), firebase_analysis() была добавлена проверка передаваемого адреса на содержание в нем подстроки firebaseio.com.

🐛 CVE-2024-3116, выявленная в pgAdmin4 до версии 8.5, приводит к Remote Code Execution (RCE). Уязвимость позволяет злоумышленникам выполнять произвольный код на сервере PGAdmin через API валидации бинарного пути . В исправлении улучшена проверка отклонений бинарного пути. Детальный разбор уязвимости приведен в статье, а Proof-of-Concept по ссылке.

🔍 Наиболее интересные уязвимости

🐛CVE-2024-22423, обнаруженная в yt-dlp в версиях до 2024.04.09, приводит к OS Command Injection. Проблема заключалась в возможности удаленного выполнения кода через внедрение специальных символов. В исправлении была добавлена функция shell_quote(), с помощью которой происходит экранирование внедряемых специальных символов.

🐛CVE-2024-24576, выявленная в Rust в версиях до 1.77.2, приводит к Remote Code Execution. Уязвимость обусловлена возможностью злоумышленника выполнять произвольные команды оболочки в ОС Window используя API Command, минуя экранирование аргументов, передаваемых в порожденный процесс. В исправлении была добавлена функция append_bat_arg() для обработки и экранирования получаемых аргументов.

🐛CVE-2024-31461, обнаруженная в Plane в версиях до v0.17-dev , приводит к Server-side Request Forgery. Проблема заключалась в возможности злоумышленника отправлять произвольные запросы с сервера, на котором размещено приложение, что потенциально может привести к несанкционированному доступу к внутренним системам. В исправлении была добавлена функция is_allowed_hostname для проверки получаемого доменного имени с "белым" списком разрешенных значений.

🐛CVE-2024-3098, выявленная в llama-index в версиях до 0.10.24, приводит к Remote Code Execution. Уязвимость обусловлена возможностью злоумышленника добиться удаленного выполнения кода посредством манипуляций с подклассом str. В исправлении был изменен список ALLOWED_BUILTINS, который содержит в себе разрешенные встроенные объекты, а также добавлен контроль обращения к объектам, которые не входят в него.

🐛CVE-2024-3400, обнаруженная в файрволлах Palo Alto в версиях PAN-OS 10.2, 11.0 и 11.1, приводит к OS Command Injection. Проблема заключалась в возможности злоумышленника, не прошедшему аутентификацию, выполнить произвольный код с привилегиями root на брандмауэре. Описание проблемы приведено в официальном security advisory. В статье от специалистов Unit42 содержится информация об уязвимости CVE-2024-3400 и данные об успешных атаках.