CWE-93

A malicious actor with access to the network could exploit an Improper Neutralization of CRLF Sequences vulnerability found in certain devices running UniFi OS to bypass authentication to such UniFi OS devices or instances.

Biblioteka Refit dla .NET Core, Xamarin i .NET jest podatna na CRLF injection poprzez atrybuty nagłówków HTTP (Header, HeaderCollection, Authorize). Podatność umożliwia wstrzyknięcie dodatkowych nagłówków HTTP lub przemyt całych żądań, co w aplikacjach webowych prowadzi do SSRF.

Biblioteka cpp-httplib w wersjach przed 0.44.0 jest podatna na CRLF injection w nagłówkach HTTP. Atakujący może wstrzyknąć sekwencję \r\n do wartości nagłówków, co umożliwia manipulację odpowiedziami serwera i potencjalnie poważne naruszenie integralności komunikacji.

Predis is a flexible and feature-complete Redis and Valkey client for PHP. From version 3.0.0-RC1 until version 3.3.0, pipeline handling on aggregate cluster and replication connections reparses an already serialized RESP buffer in AbstractAggregateConnection::write() by splitting it with explode("\r\n") instead of honoring RESP length prefixes. Attacker-controlled keys or values containing CRLF sequences can therefore be interpreted by Command::deserializeCommand() as additional commands. On cluster connections, ClusterStrategy::getFakeKey() can route injected keyless commands using the literal fake key value "key", permitting operations such as shard-wide cache deletion, targeted data modification, data reads, or node disruption. On replication connections, malformed reparsing can throw an uncaught exception and repeatedly terminate affected requests. Only pipeline() reaches this vulnerable path; transaction() and MULTI are not affected. This issue is fixed in version 3.3.0.

Spring MVC and WebFlux applications are vulnerable to stream corruption when using Server-Sent Events (SSE) with view fragments. Spring Framework 7.0.0 - 7.0.8 Spring Framework 6.2.0 - 6.2.19

Spring MVC applications using the functional web framework are vulnerable to stream corruption when using Server-Sent Events (SSE). Spring Framework 7.0.0 - 7.0.8 Spring Framework 6.2.0 - 6.2.19 Spring Framework 6.1.0 - 6.1.28 Spring Framework 6.0.0 - 6.0.30 Spring Framework 5.3.0 - 5.3.49

An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to inject arbitrary cron job entries by sending a crafted GET request to /crontab with URL-encoded newlines in the env_vars parameter.

Biblioteka DataDog::DogStatsd w wersjach do 0.07 dla języka Perl nie waliduje poprawnie danych wejściowych w tagach zdarzeń, co umożliwia wstrzyknięcie złośliwych metryk. Podatność jest krytyczna, ponieważ atakujący może manipulować danymi telemetrycznymi bez uwierzytelnienia, zdalnie przez sieć.

Narzędzie PWAsForFirefox nieprawidłowo sanityzuje właściwości aplikacji PWA (takie jak nazwa, opis, skróty), co pozwala złośliwej aplikacji webowej na wstrzyknięcie dowolnych wpisów do plików konfiguracyjnych systemu. W wyniku tego atakujący może wykonać dowolny kod na urządzeniu użytkownika.

Nodemailer before 8.0.4 is vulnerable to SMTP command injection through the unsanitized envelope.size parameter. When an application passes a custom envelope object with a size property containing CRLF characters to sendMail(), the value is concatenated into the SMTP MAIL FROM command (as SIZE=...) without sanitization, allowing injection of arbitrary SMTP commands such as RCPT TO to silently add attacker-controlled recipients. Exploitation requires the application to expose the envelope size to attacker-controlled input, as Nodemailer does not include size in the default auto-constructed envelope.

Sandboxie-Plus w wersjach 1.17.2 i wcześniejszych zawiera podatność typu INI injection (CWE-93), która pozwala zwykłemu lokalnemu użytkownikowi ominąć zabezpieczenia konfiguracyjne i wstrzyknąć dowolne dyrektywy do globalnego pliku konfiguracyjnego Sandboxie.ini. Jest to groźne, ponieważ umożliwia ucieczkę z sandboxa oraz eskalację uprawnień do poziomu SYSTEM.

W aplikacji Gestnet v1.07 firmy AES Multimedia wykryto krytyczną podatność typu SQL injection, która umożliwia nieuwierzytelnionemu atakującemu zdalne wykonywanie dowolnych operacji na bazie danych. Ze względu na brak wymagań uwierzytelnienia i sieciową dostępność endpointu, zagrożenie jest oceniane jako krytyczne (CVSS 9.3).

TinyWeb (serwer HTTP/HTTPS napisany w Delphi dla Win32) przed wersją 2.04 nie odrzucał niebezpiecznych znaków kontrolnych w nagłówkach żądań HTTP, co umożliwia atak typu header injection. Podatność jest krytyczna, gdyż nie wymaga uwierzytelnienia i może prowadzić do manipulacji danymi przekazywanymi do skryptów CGI.

Biblioteka Net::Statsite::Client dla języka Perl w wersjach do 1.1.0 nie usuwa znaków nowej linii ani innych znaków sterujących protokołu z nazw metryk i ich wartości, co umożliwia metric injection. Atakujący może manipulować danymi przesyłanymi do serwera statsite, potencjalnie fałszując metryki lub wstrzykując nieautoryzowane dane.

Biblioteka Metrics::Any::Adapter::DogStatsd w wersjach przed 0.04 dla języka Perl nie chroni przed metric injection. Atakujący może wstrzykiwać dodatkowe metryki do strumienia danych statsd, co stanowi poważne zagrożenie dla integralności zbieranych danych monitoringowych.

Biblioteka DataDog::DogStatsd w wersjach do 0.07 dla języka Perl nie sanityzuje poprawnie danych wejściowych, umożliwiając atakującemu wstrzyknięcie fałszywych metryk (metric injection). Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika i może zostać wykorzystana zdalnie.

A malicious actor with access to the network and under certain conditions could exploit an Improper Neutralization of CRLF Sequences vulnerability found in certain devices running UniFi OS to bypass authentication to such UniFi OS devices or instances.

Podatność w aplikacji ModbusServer pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych danych poprzez kanał MQTT. Może to prowadzić do naruszenia integralności i dostępności systemu.

Improper neutralization of CRLF sequences ('CRLF injection') vulnerability in TUBITAK BILGEM Software Technologies Research Institute Pardus Update allows Authentication Bypass. This issue affects Pardus Update: from 0.6.3 before 0.6.4.

FTLDNS (pihole-FTL) provides an interactive API and also generates statistics for Pi-hole's Web interface. From 6.0 to before 6.6, the Pi-hole FTL engine contains a Remote Code Execution (RCE) vulnerability in the upstream DNS servers configuration parameter (dns.upstreams). This vulnerability allows an authenticated attacker to inject arbitrary dnsmasq configuration directives through newline characters, ultimately achieving command execution on the underlying system. This vulnerability is fixed in 6.6.