Katalog podatności CVE

Podatność typu Stored Cross-Site Scripting (XSS) w pluginie YouTubeAPI platformy AVideo (wersje 29.0 i starsze). Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez ustawienie tytułu filmu na YouTube, który jest następnie wyświetlany na stronie głównej AVideo bez kodowania HTML.

W AVideo przed wersją 29.0 występuje nieuwierzytelniona, odbita podatność XSS w paginacji galerii YouTubeAPI. Parametr $_GET['search'] jest bezpośrednio konkatenowany do atrybutu href linków paginacji bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

W bibliotece Dulwich w wersji do 1.1.0 w pliku contrib/paramiko_vendor.py brakuje weryfikacji klucza hosta SSH. Oznacza to, że podczas połączeń SSH nie jest sprawdzane, czy klucz publiczny serwera jest zaufany.

Przepełnienie sterty w funkcji ifsbreakup() w shell/ash.c Busybox v1.38.0. Atakujący może spowodować odmowę usługi (DoS) poprzez dostarczenie spreparowanego wejścia.

W aplikacji xxl-job-admin w wersji 3.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Zdalny atakujący może wykorzystać spreparowane żądanie HTTP GET zawierające złośliwy skrypt do wykonania dowolnego kodu w kontekście przeglądarki ofiary.

Listmonk przed wersją 6.2.0 zawiera podatność na wstrzykiwanie SQL w endpointcie GET /api/subscribers/export. Parametr zapytania kontrolowany przez użytkownika jest przekazywany do funkcji QuerySubscribersForExport bez walidacji, co pozwala uwierzytelnionemu użytkownikowi z odpowiednimi uprawnieniami na odczyt dowolnych tabel bazy danych oraz wykonywanie modyfikujących dane wyrażeń CTE w PostgreSQL.

W 9Router przed wersją 0.5.6, endpoint walidacji klucza API Kiro (POST /api/oauth/kiro/api-key) konstruuje adres URL upstream na podstawie wartości regionu kontrolowanej przez użytkownika. Umożliwia to uwierzytelnionemu atakującemu przekazanie spreparowanego regionu (np. kiro-canary.local:8443#) i skierowanie żądania walidacji do kontrolowanego przez siebie hosta, jednocześnie przesyłając klucz API Kiro w nagłówku Authorization.

W n8n-MCP przed wersją 2.57.4, w trybie wielodostępnym HTTP z włączoną opcją ENABLE_MULTI_TENANT=true, uwierzytelniony najemca mógł uzyskać dostęp do kopii zapasowych workflow_versions o domyślnym zakresie, zamiast być ograniczonym do swojego zakresu najemcy. Problem umożliwiał ujawnienie lub usunięcie kopii zapasowych wersji przepływów pracy z wcześniejszych wdrożeń jedno- lub wielodostępnych.

Podatność w NocoBase przed wersją 2.1.19 pozwalała na wstrzyknięcie poleceń systemowych podczas przywracania kopii zapasowej PostgreSQL. Atakujący z uprawnieniami do zarządzania kopiami zapasowymi mógł umieścić złośliwą wartość w polu database.schema w pliku _metadata.json, która była następnie interpolowana do polecenia powłoki wykonywanego przez child_process.exec().

CVE-2026-55399 to podatność na wyczerpanie zasobów w Secure Access publisher przed wersją 14.55. Atakujący z ważnymi poświadczeniami do tunelu Secure Access mogą przeprowadzić nieutrwalony atak DoS na publisher.

W NocoBase w wersji 2.0.59 i wcześniejszych, funkcja checkSQL() w pluginie collection-sql nie blokuje dostępu do systemowych tabel katalogowych PostgreSQL, takich jak pg_shadow, pg_roles i pg_stat_activity. Użytkownik z rolą administratora może odczytać hashe haseł i metadane bazy danych poprzez funkcję SQL Collection.

W BusyBox w wersji 1.38.0 wykryto podatność use-after-free w funkcji awk_sub() w pliku editors/awk.c. Atakujący może wykorzystać specjalnie spreparowany skrypt AWK, aby doprowadzić do odmowy usługi (DoS).

Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.

Podatność w zarządzaniu pamięcią w serwerach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą wywołać trwałą odmowę usługi (DoS).

Podatność w Cilium od wersji 1.19.0 do 1.19.4 powoduje, że reguły NetworkPolicy Kubernetes oparte na CIDR bez selektorów podów lub przestrzeni nazw błędnie generują regułę zezwalającą na ruch z wszystkich zasobów w tej samej przestrzeni nazw, gdy Cilium jest skonfigurowane z niestandardową nazwą klastra.

Podatność w Cilium umożliwia użytkownikom z uprawnieniami do tworzenia lub aktualizowania HTTPRoutes w przestrzeni nazw na mirrorowanie ruchu HTTP do dowolnego Serwisu w dowolnej przestrzeni nazw, z pominięciem mechanizmu autoryzacji ReferenceGrant. Funkcjonalność Gateway API jest domyślnie wyłączona.

W DataEase przed wersją 2.10.23 uwierzytelnieni użytkownicy mogą przesyłać pliki SVG przez endpointy POST /de2api/templateManage/save lub DataVisualizationServer.decompression. Pliki są zapisywane bez walidacji rozszerzenia, typu MIME ani zawartości, co umożliwia przechowywanie złośliwych skryptów SVG i prowadzi do ataku XSS w kontekście tej samej domeny.

Argo CD ServerSideDiff w wersjach od 3.2.0 do 3.2.12, 3.3.10 i 3.4.2 nieprawidłowo oczyszcza dane Secretów Kubernetes, co może ujawnić wrażliwe wartości, w tym dane z adnotacji kubectl.kubernetes.io/last-applied-configuration. Podatność pozwala na wyświetlenie tych danych w interfejsie użytkownika lub w różnicach CLI.

Podatność CVE-2026-40953 to przepełnienie sterty w funkcji parsowania certyfikatów klientów Secure Access w wersjach wcześniejszych niż 14.55. Atakujący z lokalnym dostępem i uprawnieniami administratora mogą przeprowadzić atak typu odmowa usługi na klienta, nad którym mają kontrolę.

Podatność CVE-2026-33443 to błąd zarządzania pamięcią w serwerach Secure Access w wersjach starszych niż 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą przeprowadzić trwałe ataki typu DoS na serwer.