Security

MinIO-Speichersysteme mit mehreren Benutzern haben eine Sicherheitslücke bei der Verarbeitung von multipart/form-data-Uploads, die alle Multi-User-Installationen betrifft und mittlere Risiken verursacht.

MinIO-Objektspeicher überprüft bei bestimmten Upload-Anfragen die Datenintegrität nicht korrekt, wenn Angreifer falsche Chunk-Größen senden. Dies ermöglicht Man-in-the-Middle-Angriffe zur Manipulation von Daten während der Übertragung.

Eine fehlerhafte Berechtigungsprüfung in MinIO ermöglichte es normalen Benutzern, auf Daten und Funktionen zuzugreifen, für die sie keine Berechtigung haben sollten.

Eine Schwachstelle in MinIO ermöglicht es authentifizierten Benutzern, ihre eigenen Berechtigungen zu erhöhen, indem sie eine API-Funktion zum Erstellen/Aktualisieren von Benutzern missbrauchen, um sich selbst höhere Privilegien zu gewähren.

Ein Sicherheitsfehler in MinIO ermöglicht es normalen Benutzern, Service-Konten für Administrator-Benutzer zu erstellen und deren erweiterte Zugriffsrechte zu übernehmen, was zu einer Rechteausweitung führt.

MinIO-Objektspeicher hat eine Schwachstelle, bei der bösartige HTTP-Clients durch das Offenhalten von Verbindungen endlos neue Go-Routinen erzeugen können, was zu Ressourcenerschöpfung und Denial-of-Service führt.

Eine Schwachstelle in MinIO ermöglicht es Administratoren mit ServerUpdate-Berechtigung, beliebige Dateien vom Server zu lesen, indem sie eine fehlerhafte Update-Anfrage stellen, die den Dateiinhalt in der Fehlermeldung zurückgibt.

MinIO-Objektspeicher ignoriert fälschlicherweise Deny-Regeln für das Umgehen von Governance-Sperren, wenn gleichzeitig Allow-Regeln für alle S3-Aktionen existieren, wodurch Nutzer geschützte Objekte löschen können.

Ein Administrator mit speziellen Berechtigungen kann in MinIO einen Benutzer erstellen, der denselben Namen wie das Root-Konto hat, wodurch der Root-Zugang dauerhaft blockiert wird.

MinIO auf Windows-Systemen filtert Backslash-Zeichen nicht korrekt, wodurch Nutzer mit eingeschränkten Rechten Objekte in beliebigen Buckets platzieren und sogar Admin-Nutzer erstellen können.

Eine Sicherheitslücke in MinIO ermöglicht es Angreifern mit bestimmten Berechtigungen, durch manipulierte Anfragen die Bucket-Namensüberprüfung zu umgehen und Objekte in beliebige Buckets zu schreiben.

MinIO-Cluster geben versehentlich alle Umgebungsvariablen inklusive geheimer Passwörter und Schlüssel über eine interne Schnittstelle preis, wodurch sensible Anmeldedaten kompromittiert werden können.

MinIO-Speichersystem erlaubt Benutzern mit eingeschränkten Zugriffsschlüsseln, ihre eigenen Berechtigungen zu erweitern und auf alle Daten zuzugreifen, da Zugriffsschlüssel standardmäßig Admin-Rechte erben.

MinIO-Objektspeicher prüfte HTTP-Bedingungen vor Berechtigungen, wodurch anonyme Nutzer durch geschickte Anfragen herausfinden konnten, ob Objekte existieren und deren Metadaten wie Änderungsdatum oder Cache-Einstellungen einsehen konnten.

Eine Schwachstelle in MinIO ermöglicht es Benutzern, ihre eigenen Berechtigungen durch Manipulation einer IAM-Import-Datei zu erweitern und dadurch Administratorrechte zu erlangen.

Ein Fehler in MinIO's SFTP-Authentifizierung ermöglicht es Angreifern, sich ohne gültigen SSH-Schlüssel anzumelden, wenn LDAP-Benutzer keine SSH-Schlüssel konfiguriert haben, wodurch unbefugter Zugriff auf Dateien möglich wird.

Eine Schwachstelle in MinIO ermöglicht es Angreifern, beliebige Dateien in Buckets hochzuladen, wenn sie bereits Schreibrechte und Kenntnis des Access-Keys haben, da die Signaturprüfung fehlerhaft ist.

Eine Schwachstelle in MinIO ermöglicht es eingeschränkten Service- und STS-Konten, ihre Berechtigungsbeschränkungen zu umgehen, indem sie neue Service-Konten für sich selbst erstellen und dadurch erweiterte Zugriffsrechte auf Buckets und Objekte erlangen.

Eine Schwachstelle in MinIOs OpenID Connect-Authentifizierung ermöglicht es Angreifern mit Kenntnis des OIDC-Client-Geheimnisses, beliebige Benutzeridentitäten zu fälschen und vollständigen Zugriff auf alle gespeicherten Daten zu erlangen.

MinIO AIStor's Authentifizierungsdienst hat zwei Schwachstellen: Angreifer können gültige Benutzernamen erraten und dann unbegrenzt Passwörter ausprobieren, da es keine Ratenbegrenzung gibt. Dadurch können sie Zugang zu S3-Speichern erlangen.

Eine Schwachstelle in MinIO ermöglicht es authentifizierten Nutzern mit Upload-Berechtigung, gefälschte Verschlüsselungsmetadaten in Objekte einzuschleusen, wodurch diese dauerhaft unlesbar werden und ein gezielter Denial-of-Service-Angriff möglich ist.

MinIO's S3 Select-Funktion hat eine Schwachstelle, bei der speziell präparierte CSV-Dateien ohne Zeilenendezeichen den Server zum Absturz bringen können, indem sie den gesamten Arbeitsspeicher aufbrauchen.

Eine Schwachstelle in MinIO ermöglicht es Angreifern, beliebige Dateien in jeden Bucket zu schreiben, ohne das geheime Passwort zu kennen - nur mit einem gültigen Benutzernamen.

Eine Schwachstelle in MinIO ermöglicht es Angreifern, beliebige Dateien in Buckets hochzuladen, ohne das geheime Passwort zu kennen - nur mit einem gültigen Benutzernamen.

Eine Pfad-Traversal-Schwachstelle in MinIO ermöglicht es Angreifern mit Root-Berechtigung, Dateien außerhalb der konfigurierten Speicherverzeichnisse zu lesen, was zur Offenlegung sensibler Daten wie TLS-Schlüssel oder Systemdateien führen kann.

Eine Schwachstelle in der Sonarr-Software ermöglicht es Angreifern, die Authentifizierung zu umgehen, wenn lokale Adressen von der Anmeldung ausgenommen sind und kein ordnungsgemäß konfigurierter Reverse-Proxy verwendet wird.

Eine Sicherheitslücke in Sonarr Version 4 auf Windows-Systemen ermöglicht es Angreifern ohne Anmeldung, beliebige Dateien zu lesen, einschließlich Konfigurationsdateien mit API-Schlüsseln und Systemdateien.

Ein Logikfehler in der Authentifizierung von Jellyseerr ermöglicht es Angreifern, sich ohne Berechtigung zu registrieren, indem sie ihre eigenen Jellyfin-Server-Details verwenden, auch wenn die Anwendung für Plex konfiguriert ist.

Eine Schwachstelle in Jellyseerr ermöglicht es jedem angemeldeten Benutzer, die vollständigen Einstellungen anderer Nutzer abzurufen, einschließlich privater API-Schlüssel für Pushover, Pushbullet und Telegram-Benachrichtigungen.

Eine Autorisierungslücke in Jellyseerr ermöglicht es angemeldeten Benutzern, Push-Benachrichtigungseinstellungen und Überwachungsdaten anderer Nutzer einzusehen oder zu löschen, indem sie die Benutzer-ID in der URL ändern.

Eine Sicherheitslücke in changedetection.io ermöglicht es nicht autorisierten Nutzern, auf die Verlaufsdaten von Überwachungsaufträgen zuzugreifen, ohne einen API-Schlüssel bereitzustellen.

Eine kritische Schwachstelle in der Website-Überwachungssoftware changedetection.io ermöglicht es Angreifern, beliebige Befehle auf dem Server auszuführen, indem sie schädlichen Code in Benachrichtigungsvorlagen einschleusen.

Eine Schwachstelle in changedetection.io ermöglicht es Angreifern, schädlichen JavaScript-Code über das Eingabefeld für Benachrichtigungs-URLs einzuschleusen, der dann im Browser des Nutzers ausgeführt wird.

Eine Schwachstelle in changedetection.io ermöglicht es Angreifern, lokale Systemdateien über eine spezielle URL-Syntax zu lesen, wenn WebDriver verwendet wird, da die Sicherheitsfilter umgangen werden können.

Eine Sicherheitslücke in changedetection.io ermöglicht es Angreifern, beliebige Dateien vom Server zu lesen, wenn ein Webdriver aktiviert ist und lokale Dateien eigentlich verboten sein sollten.

Eine Schwachstelle in changedetection.io ermöglicht es Angreifern, lokale Dateien auf dem Server zu lesen, indem sie unzureichende Eingabevalidierung bei Datei-URLs ausnutzen.

Eine Sicherheitslücke in changedetection.io ermöglicht Cross-Site-Scripting-Angriffe, da Fehlermeldungen von Website-Überwachungsfiltern nicht ordnungsgemäß bereinigt werden.

Eine Schwachstelle in changedetection.io ermöglicht es Angreifern, schädliche JavaScript-URLs über die API zu speichern, die dann ausgeführt werden, wenn Benutzer auf diese Links klicken.

Eine Schwachstelle in changedetection.io ermöglicht es jedem Nutzer ohne Anmeldung, Anwendungsquellcode über manipulierte URLs zu lesen, wodurch interne Programmlogik preisgegeben wird.

Changedetection.io hat eine Server-Side Request Forgery Schwachstelle, bei der Nutzer interne Netzwerk-URLs überwachen können, wodurch die Anwendung sensible Daten von internen Diensten abruft und über die Web-Oberfläche zugänglich macht.

Eine Cross-Site-Scripting-Schwachstelle in changedetection.io ermöglicht es Angreifern, schädlichen JavaScript-Code in Fehlermeldungen einzuschleusen, der dann im Browser von Nutzern ausgeführt wird und Session-Cookies stehlen kann.

Eine Schwachstelle in changedetection.io ermöglicht Cross-Site-Scripting-Angriffe über den RSS-Tag-Endpunkt, da Benutzereingaben ungeprüft in HTML-Antworten eingefügt werden. Angreifer können schädlichen JavaScript-Code ausführen und möglicherweise Session-Cookies stehlen oder Benutzerkonten überneh

Eine Schwachstelle in der changedetection.io-Webanwendung ermöglicht es Angreifern, beliebige Dateien vom Server zu lesen, indem sie schädliche XPath-Ausdrücke in Filterfeldern verwenden.

Eine kritische Sicherheitslücke in changedetection.io ermöglicht es Angreifern, beliebige Dateien auf dem Server zu überschreiben, indem sie manipulierte ZIP-Archive über die Backup-Wiederherstellungsfunktion hochladen.

Eine Schwachstelle in changedetection.io ermöglicht es Nutzern, über jq-Filter alle Umgebungsvariablen des Servers auszulesen, einschließlich Passwort-Hashes und anderer Geheimnisse.

Ein Webüberwachungsdienst hat einen kritischen Authentifizierungsfehler, bei dem 13 Routen versehentlich ohne Anmeldung zugänglich sind, wodurch Angreifer Backups mit sensiblen Daten herunterladen und löschen können.

Eine XML-Verarbeitungsschwachstelle in changedetection.io ermöglicht es Angreifern, lokale Dateien vom Server zu lesen, wenn sie den Inhalt einer überwachten XML/RSS-URL kontrollieren und XPath-Filter verwendet werden.

Eine Sicherheitslücke in changedetection.io ermöglicht es Angreifern, lokale Dateien auf dem Server zu lesen, indem sie manipulierte Backup-Dateien wiederherstellen, die schädliche Pfade in der Verlaufsdatei enthalten.

Eine Schwachstelle in der Tandoor Recipes Software ermöglicht es jedem Benutzer, beliebige Befehle auf dem Server auszuführen, indem unsichere Template-Verarbeitung in Rezeptanweisungen ausgenutzt wird.

Eine Schwachstelle in der externen Speicher-Funktion von Tandoor Recipes ermöglicht es jedem Benutzer, beliebige Dateien auf dem Server zu durchsuchen und deren Inhalte zu lesen, einschließlich sensibler Systemdateien.