CVE Vulnerability Catalog

W wersjach 0.4.0 i wcześniejszych w Unity Catalog występuje krytyczna podatność na obejście uwierzytelniania w punkcie wymiany tokenów (/api/1.0/unity-control/auth/tokens). Punkt ten wyciąga roszczenie issuer (iss) z przychodzących JWT i używa go do dynamicznego pobierania punktu JWKS do walidacji podpisu, nie weryfikując, czy issuer jest zaufanym dostawcą tożsamości.

Frappe to framework aplikacji webowych. Przed wersjami 15.84.0 i 14.99.0, specjalnie przygotowane żądanie wysłane do określonego punktu końcowego mogło prowadzić do wstrzyknięcia SQL, co pozwalało atakującemu na wyciągnięcie informacji, do których normalnie nie miałby dostępu.

Taskosaur to platforma do zarządzania projektami z funkcjonalnością AI do wykonywania zadań. W wersji 1.0.0 aplikacja nieprawidłowo weryfikuje lub ogranicza parametr roli podczas procesu rejestracji użytkownika, co pozwala atakującemu na przypisanie sobie podwyższonych uprawnień.

SAPIDO RB-1732 w wersji 2.0.43 zawiera podatność na zdalne wykonanie poleceń, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych poprzez przesyłanie złośliwego wejścia do punktu końcowego formSysCmd. Atakujący mogą wysyłać żądania POST z parametrem sysCmd zawierającym polecenia powłoki, aby wykonać kod z uprawnieniami routera.

FileThingie w wersji 2.5.7 zawiera podatność na nieautoryzowane przesyłanie plików, która umożliwia atakującym przesyłanie złośliwych plików poprzez wysyłanie archiwów ZIP do punktu końcowego ft2.php. Atakujący mogą przesyłać pliki ZIP zawierające powłoki PHP, a następnie wydobywać je do dostępnych katalogów.

NetGain EM Plus w wersji 10.1.68 zawiera podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych poprzez przesyłanie złośliwych parametrów do punktu końcowego script_test.jsp. Atakujący mogą wysyłać żądania POST z poleceniami powłoki osadzonymi w parametrze 'content', aby wykonać kod i uzyskać wyniki poleceń.

Platforma zarządzania systemami Epross AVCON6 zawiera podatność na wstrzykiwanie języka nawigacji obiektów (OGNL), która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń poprzez wstrzykiwanie złośliwych wyrażeń OGNL. Atakujący mogą wysyłać spreparowane żądania do punktu końcowego login.action z ładunkami OGNL w parametrze redirect, aby zainicjować obiekty ProcessBuilder i wykonywać polecenia systemowe z uprawnieniami roota.

Cloud CLI (znany również jako Claude Code UI) przed wersją 1.25.0 zawierał podatność na wstrzyknięcie poleceń systemowych przez WebSocket Shell. Parametry projectPath i initialCommand w pliku server/index.js były bezpośrednio pobierane z ładunku wiadomości WebSocket i interpolowane do ciągu polecenia bash bez jakiejkolwiek sanitizacji, co umożliwiało wykonanie dowolnych poleceń systemowych.

W Parse Server, przed wersjami 9.6.0-alpha.5 i 8.6.31, występuje podatność na wstrzykiwanie SQL w adapterze pamięci masowej PostgreSQL podczas przetwarzania operacji Increment na zagnieżdżonych polach obiektów przy użyciu notacji kropkowej. Nazwa podklucza jest interpolowana bezpośrednio do literałów ciągów SQL bez odpowiedniego zabezpieczenia.

Cloud CLI (znany również jako Claude Code UI) przed wersją 1.24.0 posiadał wiele punktów końcowych API związanych z Gitem, które używały execAsync() z interpolacją ciągów parametrów kontrolowanych przez użytkownika (plik, gałąź, wiadomość, commit). To umożliwiało uwierzytelnionym atakującym wykonywanie dowolnych poleceń systemowych.

W Parse Server, otwartym backendzie działającym na Node.js, występuje podatność na wstrzykiwanie SQL w adapterze pamięci masowej PostgreSQL. Problem ten pojawia się podczas przetwarzania operacji inkrementacji na zagnieżdżonych polach obiektów przy użyciu notacji kropkowej, co pozwala atakującemu na wstrzyknięcie dowolnych subzapytań SQL.

Jellyfin to system multimedialny typu open-source. Workflow code-quality.yml w projekcie jellyfin/jellyfin-ios jest podatny na wykonanie dowolnego kodu poprzez pull requesty z forku, co może prowadzić do przejęcia repozytorium oraz wycieku poufnych danych.

Parse Server to open source backend, który może być wdrożony na każdej infrastrukturze obsługującej Node.js. Przed wersjami 9.6.0-alpha.2 i 8.6.28, atakujący mógł wykorzystać nazwę pola w notacji kropkowej w połączeniu z parametrem sortowania, aby wstrzyknąć SQL do bazy danych PostgreSQL poprzez niewłaściwe eskapowanie wartości podpól w zapytaniach notacji kropkowej.

In Neo4j Enterprise versions prior to 2026.02, there is an issue with SSO implementation that can lead to unauthorized access. This occurs when an admin configures multiple OIDC providers, some of which are authentication-only but may also provide authorization.

An authentication bypass vulnerability was discovered in Lantronix EDS3000PS version 3.1.0.0R2. By appending a specific suffix to the URL and sending an Authorization header with the username 'admin', an attacker can bypass authentication on management pages.

W podatności CVE-2026-30741 w platformie OpenClaw Agent v2026.2.6 występuje możliwość zdalnego wykonania kodu (RCE) poprzez atak typu injection w promptach po stronie żądania, co pozwala atakującym na wykonanie dowolnego kodu.

Argo Workflows prior to versions 4.0.2 and 3.7.11 contains a vulnerability that allows unauthorized clients to retrieve WorkflowTemplates and ClusterWorkflowTemplates by sending a request with any token in the Authorization header. This can lead to disclosure of sensitive data, including embedded Secret manifests.

W aplikacji Vociferous przed wersją 4.4.2 występuje podatność w pliku src/api/system.py w trasie export_file. Aplikacja akceptuje ładunek JSON zawierający nazwę pliku i treść, jednak nie weryfikuje poprawności nazwy pliku przed przetworzeniem przez logikę systemu plików.

The Mail feature in Zoom Workplace for Windows before version 6.6.0 has an external control of file name or path, which may allow an unauthenticated user to escalate privileges via network access.