База данных уязвимостей CVE

Snipe-IT до версии 8.7.0 не может проверить возвращаемое значение Storage::delete() в UploadedFilesController::destroy() и Api\\UploadedFilesController::destroy(), что позволяет запросам на удаление сообщать об успехе, пока файлы остаются на диске. Администраторы, выполняющие удаление …

Snipe-IT 8.6.3 и более ранние версии не проверяют возвращаемое значение Storage::put() при записи PNG подписи и сгенерированного приемного PDF-файла в Account\AcceptanceController::store(). В драйверах файловой системы, которые возвращают false вместо выдачи …

Версии PocketMine-MP до 5.39.2 не могут ограничивать размер полезных данных JSON при обработке ModalFormResponsePacket, что позволяет аутентифицированным игрокам вызывать отказ в обслуживании. Злоумышленники могут отправлять пакеты ответов модальной формы с …

Версии PocketMine-MP до 5.39.2 не могут проверить состояние исчезновения объекта при обработке пакетов атаки от клиентов. Злоумышленники могут воспользоваться состоянием гонки, атаковав отключившегося игрока, чтобы вызвать несколько обработчиков смерти, в …

Версии PocketMine-MP до 5.39.2 содержат уязвимость усиления сети в обработке ActorEventPacket, которая позволяет клиентам запускать потребляемую анимацию для всех видимых игроков. Злоумышленники могут отправлять созданные сообщения ActorEventPacket для рассылки анимационных …

PocketMine-MP до версии 5.41.1 содержит уязвимость типа «отказ в обслуживании» при обработке LoginPacket, из-за которой большие или сложные структуры в неизвестных свойствах JWT clientData вызывают чрезмерное ведение журнала без очистки. …

Версии PocketMine-MP до 5.42.1 содержат уязвимость типа «отказ в обслуживании» в обработчике LoginPacket, которая позволяет удаленным злоумышленникам рассылать предупреждающие сообщения путем внедрения многочисленных нежелательных свойств в JWT clientData. Злоумышленники могут …

Версии PocketMine-MP до 5.43.1 не могут правильно проверить поле «Сертификат» во время аутентификации при автономном входе. Неаутентифицированные игроки могут вызвать ошибку неинициализированного доступа к собственности, которая приводит к сбою сервера.

Версии PocketMine-MP до 5.44.2 не могут должным образом проверить несколько пакетов ResourcePackClientResponsePacket со статусом STATUS_COMPLETED во время обработки пакета ресурсов. Вредоносные клиенты могут отправлять пакеты этих пакетов, чтобы неоднократно запускать …

Chainlit до 2.12.0 не может проверить предоставленный клиентом параметр sessionId сокета.io, что позволяет неаутентифицированным злоумышленникам перемещаться по путям файловой системы путем внедрения абсолютных или относительных последовательностей путей. Злоумышленники могут создавать …