CWE-838БазаНеполный
Неподходящая кодировка для контекста вывода
Продукт использует или задаёт кодировку при формировании вывода для нижестоящего компонента, однако указанная кодировка не совпадает с ожидаемой нижестоящим компонентом.
Открыть в каталоге с фильтром CWE →Связанные уязвимости
CVE-2025-4052Неправильная реализация в DevTools в Google Chrome до версии 136.0.7103.59 позволяла удаленному злоумышленнику, который убедил пользователя выполнить определенные действия с UI, обойти дискреционное управление доступом через специально созданную HTML-страницу [1][2].
Источники:
- [1] https://chromereleases.googleblog.com/2025/04/stable-channel-update-for-desktop_29.html
- [2] https://issues.chromium.org/issues/401927528
CVE-2022-25235xmltok_impl.c в Expat (aka libexpat) до версии 2.4.5 не имеет определенной проверки кодировки, такой как проверка того, является ли символ UTF-8 допустимым в определенном контексте.
CVE-2019-18981Pimcore до версии 6.2.2 не имеет результата «Доступ запрещен» для определенного сценария неверного идентификатора получателя уведомления.
CVE-2022-43407Jenkins Pipeline: Input Step Plugin 451.vf1a_a_4f405289 и более ранние версии не ограничивает и не очищает дополнительно указанный идентификатор шага «input», который используется для URL-адресов, обрабатывающих взаимодействие с пользователем для данного шага «input» (продолжить или прервать), и не кодируется должным образом, что позволяет злоумышленникам, способным настраивать конвейеры, создавать URL-адреса сборки Jenkins из идентификаторов шага «input», которые будут обходить защиту CSRF любого целевого URL-адреса в Jenkins при взаимодействии с шагом «input».
CVE-2021-42574Проблема была обнаружена в двунаправленном алгоритме в спецификации Unicode до версии 14.0. Он разрешает визуальное изменение порядка символов с помощью управляющих последовательностей, которые можно использовать для создания исходного кода, который отображает другую логику, чем логический порядок токенов, принимаемых компиляторами и интерпретаторами. Злоумышленники могут использовать это для кодирования исходного кода для компиляторов, принимающих Unicode, таким образом, чтобы целевые уязвимости были внесены невидимо для проверяющих. ПРИМЕЧАНИЕ: Консорциум Unicode предлагает следующий альтернативный подход к представлению этой проблемы. Отмечена проблема в природе международного текста, которая может повлиять на приложения, реализующие поддержку стандарта Unicode и двунаправленного алгоритма Unicode (все версии). Из-за поведения отображения текста, когда текст включает символы слева направо и справа налево, визуальный порядок токенов может отличаться от их логического порядка. Кроме того, управляющие символы, необходимые для полной поддержки требований двунаправленного текста, могут еще больше запутать логический порядок токенов. Если не принять меры, злоумышленник может создать исходный код таким образом, что порядок токенов, воспринимаемый проверяющими, не будет совпадать с тем, что будет обработано компилятором/интерпретатором/и т. д. Консорциум Unicode задокументировал этот класс уязвимостей в своем документе Unicode Technical Report #36, Unicode Security Considerations. Консорциум Unicode также предоставляет рекомендации по смягчению последствий для этого класса проблем в Unicode Technical Standard #39, Unicode Security Mechanisms, и в Unicode Standard Annex #31, Unicode Identifier and Pattern Syntax. Кроме того, спецификация BIDI позволяет приложениям адаптировать реализацию способами, которые могут смягчить вводящее в заблуждение визуальное изменение порядка в тексте программы; см. HL4 в Unicode Standard Annex #9, Unicode Bidirectional Algorithm.
CVE-2021-42694Проблема была обнаружена в определениях символов спецификации Unicode до версии 14.0. Спецификация позволяет злоумышленнику создавать идентификаторы исходного кода, такие как имена функций, с использованием омоглифов, которые визуально идентичны целевому идентификатору. Злоумышленники могут использовать это для внедрения кода через враждебные определения идентификаторов в зависимостях вышестоящего программного обеспечения, обманным путем вызываемых в нижестоящем программном обеспечении. ПРИМЕЧАНИЕ: Консорциум Unicode предлагает следующий альтернативный подход к представлению этой проблемы. Отмечается проблема в характере международного текста, которая может повлиять на приложения, реализующие поддержку стандарта Unicode (все версии). Если не смягчить, злоумышленник может создать идентификаторы исходного кода, используя символы-омоглифы, которые визуально идентичны целевому идентификатору, но отличаются от него. Таким образом, злоумышленник может внедрить враждебные определения идентификаторов в вышестоящее программное обеспечение, которые не обнаруживаются рецензентами-людьми и обманным путем вызываются в нижестоящем программном обеспечении. Консорциум Unicode задокументировал этот класс уязвимостей безопасности в своем документе Unicode Technical Report #36, Unicode Security Considerations. Консорциум Unicode также предоставляет рекомендации по смягчению последствий для этого класса проблем в Unicode Technical Standard #39, Unicode Security Mechanisms.
CVE-2019-9853Документы LibreOffice могут содержать макросы. Выполнение этих макросов контролируется настройками безопасности документа, обычно выполнение макросов блокируется по умолчанию. Существовал недостаток декодирования URL-адресов в том, как обрабатывались и классифицировались URL-адреса макросов в документе, что приводило к возможности создания документа, в котором выполнение макросов обходило настройки безопасности. Документы были правильно обнаружены как содержащие макросы, и пользователю было предложено их существование в документах, но макросы в документе впоследствии не контролировались настройками безопасности, что позволяло выполнять произвольные макросы. Эта проблема затрагивает: LibreOffice 6.2 серий версий до 6.2.7; LibreOffice 6.3 серий версий до 6.3.1.
CVE-2018-9862util.c в runV 1.0.0 для Docker неправильно обрабатывает числовое имя пользователя, что позволяет злоумышленникам получать root-доступ, используя наличие начального числового значения в строке /etc/passwd, а затем выдавая команду "docker exec" с этим значением в аргументе -u, что аналогично проблеме CVE-2016-3697.
CVE-2022-27780Парсер URL curl неправильно принимает URL-разделители в процентах, такие как '/', при декодировании имени хоста в URL, делая его *другим* URL с использованием неправильного имени хоста при его последующем извлечении. Например, URL-адрес типа `http://example.com%2F127.0.0.1/` будет разрешен парсером и преобразован в `http://example.com/127.0.0.1/`. Этот недостаток можно использовать для обхода фильтров, проверок и многого другого.
CVE-2021-38505Microsoft представила новую функцию в Windows 10, известную как Cloud Clipboard, которая, если она включена, будет записывать данные, скопированные в буфер обмена, в облако и делать их доступными на других компьютерах в определенных сценариях. Приложения, которые хотят предотвратить запись скопированных данных в историю облака, должны использовать определенные форматы буфера обмена; и Firefox до версий 94 и ESR 91.3 не реализовал их. Это могло привести к записи конфиденциальных данных в учетную запись Microsoft пользователя. *Эта ошибка затрагивает только Firefox для Windows 10+ с включенным Cloud Clipboard. Другие операционные системы не затронуты.*. Эта уязвимость затрагивает Firefox < 94, Thunderbird < 91.3 и Firefox ESR < 91.3.
CVE-2024-11702Копирование конфиденциальной информации со вкладок приватного просмотра на Android, такой как пароли, могло непреднамеренно сохранять данные в облачной истории буфера обмена, если она включена. Эта уязвимость затрагивает Firefox < 133 и Thunderbird < 133.
CVE-2023-6512Неправильная реализация пользовательского интерфейса веб-браузера в Google Chrome до 120.0.6099.62 позволила удаленному злоумышленнику потенциально подменить содержимое контекстного меню диалогового окна iframe через специальную HTML-страницу. (Уровень серьезности безопасности Chromium: низкий)
CVE-2022-43408Jenkins Pipeline: Stage View Plugin 2.26 и более ранние версии некорректно кодируют идентификатор шагов «input» при использовании его для создания URL-адресов для продолжения или прерывания сборок конвейера, что позволяет злоумышленникам, способным настраивать конвейеры, указывать идентификаторы шагов «input», приводящие к URL-адресам, которые будут обходить защиту CSRF любого целевого URL-адреса в Jenkins.
CVE-2023-5770Proofpoint Enterprise Protection содержит уязвимость в агенте доставки электронной почты, которая позволяет не прошедшему проверку подлинности злоумышленнику внедрять неправильно закодированный HTML в тело сообщения электронной почты через тему сообщения. Уязвимость вызвана ненадлежащим кодированием при перезаписи электронной почты перед доставкой. Эта проблема затрагивает Proofpoint Enterprise Protection: от 8.20.2 до исправления 4809, от 8.20.0 до исправления 4805, от 8.18.6 до исправления 4804 и все другие предыдущие версии.
CVE-2024-34006Отчет журнала сайта требовал дополнительного кодирования описаний событий, чтобы гарантировать, что любой HTML в контенте отображался в виде обычного текста вместо рендеринга.