CWE-115БазаНеполный
Неверная интерпретация входных данных
Продукт неверно интерпретирует входные данные, поступающие от злоумышленника или другого продукта, способом, значимым с точки зрения безопасности.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2020-27846Существует уязвимость проверки подписи в crewjam/saml. Этот недостаток позволяет злоумышленнику обойти аутентификацию SAML. Самая большая угроза от этой уязвимости - конфиденциальность, целостность, а также доступность системы.
CVE-2021-1587Уязвимость в функции VXLAN Operation, Administration, and Maintenance (OAM) программного обеспечения Cisco NX-OS, известной как NGOAM, может позволить не прошедшему проверку подлинности удаленному злоумышленнику вызвать отказ в обслуживании (DoS) на уязвимом устройстве. Эта уязвимость связана с неправильной обработкой определенных пакетов с Transparent Interconnection of Lots of Links (TRILL) OAM EtherType. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданные пакеты, включая TRILL OAM EtherType 0x8902, на устройство, которое является частью фабрики VXLAN Ethernet VPN (EVPN). Успешная эксплуатация может позволить злоумышленнику вызвать высокую загрузку ЦП уязвимого устройства и потреблять чрезмерные системные ресурсы, что может привести к общей нестабильности плоскости управления и вызвать перезагрузку уязвимого устройства. Примечание: Функция NGOAM отключена по умолчанию.
CVE-2025-5747Уязвимость неправильного толкования входных данных при парсинге командных фреймов в WOLFBOX Level 2 EV Charger позволяет выполнить произвольный код. Эта уязвимость позволяет сетевым злоумышленникам выполнить произвольный код на уязвимых установках устройств WOLFBOX Level 2 EV Charger. Для эксплуатации этой уязвимости требуется аутентификация. Конкретный недостаток заключается в неправильном определении начала фрейма при парсинге, что может привести к неправильному толкованию входных данных. Злоумышленник может использовать это в сочетании с другими уязвимостями для выполнения произвольного кода в контексте устройства [1].
Источники:
- [1] https://www.zerodayinitiative.com/advisories/ZDI-25-326/
CVE-2025-32908В либсупе был обнаружен недостаток. Сервер HTTP/2 в libsoup может не полностью проверять значения pseudo-headers :scheme, :authority, и :path, которые могут позволить пользователю вызвать отказ в обслуживании (DoS).
CVE-2024-11169Неконтролируемое исключение в danny-avila/librechat версии 3c94ff2 может привести к сбою сервера. Проблема возникает, когда модуль fs вызывает исключение при обработке загрузки файлов. Неавторизованный пользователь может вызвать это исключение, отправив специально подготовленный запрос, что приведет к сбою сервера. Уязвимость исправлена в версии 0.7.6.
CVE-2023-48950Проблема в функции box_col_len openlink virtuoso-opensource v7.2.11 позволяет злоумышленникам вызывать отказ в обслуживании (DoS) после выполнения оператора SELECT.
CVE-2021-0207Некорректное разрешение конфликта определенных данных между некоторыми программными компонентами в устройствах Juniper Networks Junos OS не позволяет определенному трафику проходить через устройство при получении с входящего интерфейса, фильтрующего определенные типы трафика, который затем перенаправляется на исходящий интерфейс в другой VLAN. Это вызывает отказ в обслуживании (DoS) для тех клиентов, которые отправляют эти конкретные типы трафика. Такой трафик, отправляемый клиентом, может казаться подлинным, но является нестандартным по своей природе и должен рассматриваться как потенциально вредоносный и может быть нацелен на устройство или предназначен для него, чтобы возникла проблема. Эта проблема затрагивает трафик IPv4 и IPv6. Индикатор компрометации можно найти, проверив файлы журналов. Вы можете обнаружить, что трафик на входном интерфейсе составляет 100% трафика, поступающего на устройство, но выходной интерфейс показывает 0 pps, покидающих устройство. Например: [show interfaces "interface" statistics detail] Вывод между двумя интерфейсами покажет что-то подобное: Ingress, first interface: -------------------- Interface Link Input packets (pps) Output packets (pps) et-0/0/0 Up 9999999999 (9999) 1 (0) -------------------- Egress, second interface: -------------------- Interface Link Input packets (pps) Output packets (pps) et-0/0/1 Up 0 (0) 9999999999 (0) -------------------- Отброшенные пакеты не будут отображаться в счетчиках мониторинга/защиты от DDoS, поскольку проблема не вызвана механизмами защиты от DDoS. Эта проблема затрагивает: Juniper Networks Junos OS: версии 17.3 до 17.3R3-S7 на NFX250, QFX5K Series, EX4600; версии 17.4 до 17.4R2-S11, 17.4R3-S3 на NFX250, QFX5K Series, EX4600; версии 18.1 до 18.1R3-S9 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4600; версии 18.2 до 18.2R3-S3 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600; версии 18.3 до 18.3R3-S1 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600 Series; версии 18.4 до 18.4R1-S5, 18.4R2-S3, 18.4R3 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600 Series; версии 19.1 до 19.1R1-S5, 19.1R2-S1, 19.1R3 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600 Series; версии 19.2 до 19.2R1-S5, 19.2R2 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600 Series; версии 19.3 до 19.3R2-S3, 19.3R3 на NFX250, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600 Series; версии 19.4 до 19.4R1-S2, 19.4R2 на NFX250, NFX350, QFX5K Series, EX2300 Series, EX3400 Series, EX4300 Multigigabit, EX4600 Series. Эта проблема не затрагивает выпуски Junos OS до 17.2R2.
CVE-2022-20915Уязвимость в реализации IPv6 VPN over MPLS (6VPE) с Zone-Based Firewall (ZBFW) программного обеспечения Cisco IOS XE может позволить неаутентифицированному смежному злоумышленнику вызвать отказ в обслуживании (DoS) на уязвимом устройстве. Эта уязвимость связана с неправильной обработкой ошибок пакета IPv6, который пересылается с интерфейса с поддержкой MPLS и ZBFW в развертывании 6VPE. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный пакет IPv6, полученный с устройства на интерфейсе виртуальной маршрутизации и пересылки (VRF) с поддержкой IPv6 через уязвимое устройство. Успешная эксплуатация может позволить злоумышленнику перезагрузить устройство, что приведет к состоянию DoS.
CVE-2018-12116Node.js: Все версии до Node.js 6.15.0 и 8.14.0: Разделение HTTP-запросов: Если Node.js можно убедить использовать непроверенные пользовательские данные Unicode для параметра `path` HTTP-запроса, то можно предоставить данные, которые вызовут второй, неожиданный и определяемый пользователем HTTP-запрос к тому же серверу.
CVE-2025-54584GitProxy - это приложение, которое стоит между разработчиками и удаленной конечной точкой Git (например, github.com). В версиях 119.1 и ниже злоумышленник может создать вредоносный файл Git для использования обнаружения подписи PACK в файле parsePush.ts. Встраивая вводящую в заблуждение подпись PACK в содержимое шифрования и тщательно создавая структуру пакета, злоумышленник может обмануть парсера, чтобы рассматривать недействительные или непреднамеренные данные как файл пакета. Потенциально это позволит обойти одобрение или сокрытие обязательств. Эта проблема исправлена в версии 1.19.2.
CVE-2024-24790Различные методы Is (IsPrivate, IsLoopback и т.д.) не работали должным образом для IPv4- и IPv6-адресов, возвращая false для адресов, которые в их традиционных IPv4-формах возвращали бы true.
CVE-2025-68113ALTCHA - это программное обеспечение для защиты от капч и бота. Криптографический семантический дефект в библиотеках ALTCHA позволяет бросать вызов сращиванию полезной нагрузки, что может включать атаки воспроизведения. Подпись HMAC не однозначно связывает параметры вызова с nonce, позволяя злоумышленнику переосмыслить действительное доказательство работы с измененным значением истечения срока действия. Это может позволить повторно использовать ранее решенные задачи за пределами предполагаемого срока службы, в зависимости от предположений обработки повторов и развертывания на стороне сервера. Уязвимость в первую очередь влияет на механизмы предотвращения злоупотреблений, такие как ограничение скорости и смягчение последствий. Это не влияет непосредственно на конфиденциальность или целостность данных. Эта проблема была решена путем обеспечения четкого семантического разделения между параметрами вызова и nonce во время вычислений HMAC. Пользователям рекомендуется перейти на исправленные версии, которые включают в себя версию 1.0.0 пакета alcha Golang, версию 1.0.0 altcha Rubygem, версию 1.0.0 пакета altcha pip, версию 1.0.0 пакета altcha Erlang, версию 1.4.1 пакета altcha-lib npm, версию 1.3.1 altcha-org/altchaпакет. В качестве смягчения последствий реализации могут приложить делимиттер до конца значения `salt` до вычисления HMAC (например, `<salt>?expires=<time>&`). Это предотвращает двусмысленность между параметрами и nonce и обратно совместимо с существующими реализациями, поскольку делимиттер рассматривается как стандартный сепаратор параметров URL.
CVE-2025-25069Уязвимость межпротокольного скриптинга была обнаружена в Apache Kvrocks.
Поскольку Kvrocks не обнаруживает, если "Host:" или "POST" появляются в RESP-запросах,
действительный HTTP-запрос также может быть отправлен в Kvrocks как действительный RESP-запрос
и вызвать некоторые операции с базой данных, которые могут быть опасны, когда
сочетаются с SSRF.
Это похоже на CVE-2016-10517 в Redis.
Эта проблема затрагивает Apache Kvrocks: с первой версии до последней версии 2.11.0.
Пользователям рекомендуется обновиться до версии 2.11.1, которая исправляет проблему.
CVE-2023-32260Неправильная интерпретация входных данных в OpenText™ Service Management Automation X (SMAX), OpenText™ Asset Management X (AMX) и OpenText™ Hybrid Cloud Management X (HCMX). Уязвимость может позволить манипулировать входными данными. Эта проблема затрагивает Service Management Automation X (SMAX) версий: 2020.05, 2020.08, 2020.11, 2021.02, 2021.05, 2021.08, 2021.11, 2022.05, 2022.11, 2023.05; Asset Management X (AMX) версий: 2021.08, 2021.11, 2022.05, 2022.11, 2023.05; и Hybrid Cloud Management X (HCMX) версий: 2020.05, 2020.08, 2020.11, 2021.02, 2021.05, 2021.08, 2021.11, 2022.05, 2022.11, 2023.05.
CVE-2022-21672make-ca — это утилита для предоставления и управления полной конфигурацией PKI для рабочих станций и серверов. Начиная с версии 0.9 и до версии 1.10, make-ca неправильно интерпретирует Mozilla certdata.txt и обрабатывает явно ненадежные сертификаты как доверенные, в результате чего эти явно ненадежные сертификаты, доверенные системой. Явно ненадежные сертификаты использовались некоторыми уже взломанными ЦС. Враждебные злоумышленники могут выполнить MIM-атаку, используя их. Всем, кто использует уязвимые версии make-ca, следует обновиться до make-ca-1.10 и запустить `make-ca -f -g` от имени пользователя `root`, чтобы немедленно восстановить доверенное хранилище. В качестве обходного пути пользователи могут вручную (или с помощью скрипта) удалить ненадежные сертификаты из /etc/pki/tls и /etc/ssl/certs, но это не рекомендуется, поскольку ручные изменения будут перезаписаны при следующем запуске make-ca для обновления доверенного якоря.