База данных уязвимостей CVE

Версии openssl_encrypt до 1.4.0 содержат ошибку журналирования в restorate_hidden_modules(), которая регистрирует количество модулей после очистки, всегда показывая ноль восстановленных модулей и повреждая контрольные журналы. Кроме того, между скрытием модуля и …

Версии openssl_encrypt до 1.4.0 содержат уязвимость обхода пути в методе _is_safe_path, из-за которой параметр плагина_id не очищается перед созданием пути к каталогу конфигурации плагина. Злоумышленники могут объявить вредоносный идентификатор плагина, …

Версии openssl_encrypt до 1.4.0 содержат уязвимость обхода песочницы, из-за которой песочница плагина не может ограничить альтернативные методы доступа к файлам, такие как pathlib.Path и io.open. Злоумышленники могут импортировать модули pathlib …

Версии openssl_encrypt до 1.4.0 содержат небезопасную конфигурацию по умолчанию, которая доверяет всему частному адресному пространству RFC 1918 в IntegrityProxyConfigtrusted_proxies. Злоумышленники в частных сетях могут подделать заголовки сертификатов клиентов, чтобы обойти …

В версиях openssl_encrypt до 1.4.0 настройте CORS с параметромallow_origins, установленным на подстановочный знак, и параметромallow_credentials, включенным в значение true. Злоумышленники могут создавать вредоносные веб-сайты, которые отправляют аутентифицированные запросы к API …

Версии openssl_encrypt до 1.4.0 принимают токены обновления в качестве параметров запроса URL-адреса в маршрутах сервера ключей и сервера телеметрии. Злоумышленники могут извлекать токены из журналов серверов, журналов прокси, истории браузера …

Версии openssl_encrypt до 1.4.0 содержат уязвимость раскрытия информации в конечной точке /ready, которая возвращает полные строки исключений базы данных неаутентифицированным абонентам. Злоумышленники могут вызвать ошибки базы данных для извлечения конфиденциальной …

В версиях openssl_encrypt до 1.4.0 используется ограничитель скорости в памяти для защиты от перебора TOTP, который не распределяется между рабочими процессами и теряется при перезапуске сервера. Злоумышленники могут распределить попытки …

Версии openssl_encrypt до 1.4.0 содержат недостающую уязвимость проверки владения в методе revoke_key, которая позволяет прошедшим проверку подлинности клиентам отозвать ключ любого другого клиента. Злоумышленники могут отозвать произвольные ключи, предоставив действительную …

Версии openssl_encrypt до 1.4.0 содержат уязвимость в PublicKeyBundle.from_dict(), которая создает пакеты ключей из ненадежных данных без проверки подписей. Злоумышленники могут вызвать from_dict(), а затем to_identity() без проверки подписи, чтобы зашифровать …