Katalog podatności CVE

W 9Router przed wersją 0.5.6, endpoint walidacji klucza API Kiro (POST /api/oauth/kiro/api-key) konstruuje adres URL upstream na podstawie wartości regionu kontrolowanej przez użytkownika. Umożliwia to uwierzytelnionemu atakującemu przekazanie spreparowanego regionu (np. kiro-canary.local:8443#) i skierowanie żądania walidacji do kontrolowanego przez siebie hosta, jednocześnie przesyłając klucz API Kiro w nagłówku Authorization.

W n8n-MCP przed wersją 2.57.4, w trybie wielodostępnym HTTP z włączoną opcją ENABLE_MULTI_TENANT=true, uwierzytelniony najemca mógł uzyskać dostęp do kopii zapasowych workflow_versions o domyślnym zakresie, zamiast być ograniczonym do swojego zakresu najemcy. Problem umożliwiał ujawnienie lub usunięcie kopii zapasowych wersji przepływów pracy z wcześniejszych wdrożeń jedno- lub wielodostępnych.

Podatność w NocoBase przed wersją 2.1.19 pozwalała na wstrzyknięcie poleceń systemowych podczas przywracania kopii zapasowej PostgreSQL. Atakujący z uprawnieniami do zarządzania kopiami zapasowymi mógł umieścić złośliwą wartość w polu database.schema w pliku _metadata.json, która była następnie interpolowana do polecenia powłoki wykonywanego przez child_process.exec().

CVE-2026-55399 to podatność na wyczerpanie zasobów w Secure Access publisher przed wersją 14.55. Atakujący z ważnymi poświadczeniami do tunelu Secure Access mogą przeprowadzić nieutrwalony atak DoS na publisher.

W NocoBase w wersji 2.0.59 i wcześniejszych, funkcja checkSQL() w pluginie collection-sql nie blokuje dostępu do systemowych tabel katalogowych PostgreSQL, takich jak pg_shadow, pg_roles i pg_stat_activity. Użytkownik z rolą administratora może odczytać hashe haseł i metadane bazy danych poprzez funkcję SQL Collection.

W BusyBox w wersji 1.38.0 wykryto podatność use-after-free w funkcji awk_sub() w pliku editors/awk.c. Atakujący może wykorzystać specjalnie spreparowany skrypt AWK, aby doprowadzić do odmowy usługi (DoS).

Podatność w WWBN AVideo przed wersją 29.0 umożliwia eskalację uprawnień poprzez niechronione parametry w API rejestracji. Każdy użytkownik, który rozwiąże CAPTCHA, może samodzielnie nadać sobie podwyższone uprawnienia, takie jak potwierdzenie e-maila, możliwość przesyłania plików, strumieniowania i tworzenia spotkań.

Podatność w zarządzaniu pamięcią w serwerach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą wywołać trwałą odmowę usługi (DoS).

Podatność w Cilium od wersji 1.19.0 do 1.19.4 powoduje, że reguły NetworkPolicy Kubernetes oparte na CIDR bez selektorów podów lub przestrzeni nazw błędnie generują regułę zezwalającą na ruch z wszystkich zasobów w tej samej przestrzeni nazw, gdy Cilium jest skonfigurowane z niestandardową nazwą klastra.

Podatność w Cilium umożliwia użytkownikom z uprawnieniami do tworzenia lub aktualizowania HTTPRoutes w przestrzeni nazw na mirrorowanie ruchu HTTP do dowolnego Serwisu w dowolnej przestrzeni nazw, z pominięciem mechanizmu autoryzacji ReferenceGrant. Funkcjonalność Gateway API jest domyślnie wyłączona.

W DataEase przed wersją 2.10.23 uwierzytelnieni użytkownicy mogą przesyłać pliki SVG przez endpointy POST /de2api/templateManage/save lub DataVisualizationServer.decompression. Pliki są zapisywane bez walidacji rozszerzenia, typu MIME ani zawartości, co umożliwia przechowywanie złośliwych skryptów SVG i prowadzi do ataku XSS w kontekście tej samej domeny.

Argo CD ServerSideDiff w wersjach od 3.2.0 do 3.2.12, 3.3.10 i 3.4.2 nieprawidłowo oczyszcza dane Secretów Kubernetes, co może ujawnić wrażliwe wartości, w tym dane z adnotacji kubectl.kubernetes.io/last-applied-configuration. Podatność pozwala na wyświetlenie tych danych w interfejsie użytkownika lub w różnicach CLI.

Podatność CVE-2026-40953 to przepełnienie sterty w funkcji parsowania certyfikatów klientów Secure Access w wersjach wcześniejszych niż 14.55. Atakujący z lokalnym dostępem i uprawnieniami administratora mogą przeprowadzić atak typu odmowa usługi na klienta, nad którym mają kontrolę.

Podatność CVE-2026-33443 to błąd zarządzania pamięcią w serwerach Secure Access w wersjach starszych niż 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą przeprowadzić trwałe ataki typu DoS na serwer.

OpenWrt przed wersją 25.12.5 zawiera podatność w handlerze cgi-download w cgi-io, która pozwala na odczyt plików roota, w tym /etc/shadow, poprzez manipulację ścieżką z użyciem dozwolonego wzorca z wildcardem i ../.

W TDengine przed wersją 3.4.1.15 użytkownik Data Reader z rolą admin_user na instancji TDengine Cloud DB mógł wykonać create udf, mimo że standardowi użytkownicy powinni mieć tylko uprawnienia do odczytu dla obiektów niebazodanowych, a polecenia show dnodes i create user były zabronione.

W TDengine przed wersją 3.4.1.14 funkcja tGetToken() w parserze SQL nieprawidłowo obsługuje literały łańcuchowe zakończone backslashem, co prowadzi do odczytu poza końcem łańcucha. Uwierzytelniony użytkownik może wysłać specjalnie spreparowane zapytanie SQL, powodując awarię serwera i potencjalny wyciek danych z pamięci.

W TDengine Enterprise przed wersją 3.4.1.15 uwierzytelniony użytkownik SQL z niskimi uprawnieniami mógł wykonać polecenie KILL SSMIGRATE <id> przeciwko aktywnej migracji współdzielonego magazynu. Problem wynikał z zakomentowania kontroli uprawnień MND_OPER_SSMIGRATE_DB w funkcji mndProcessKillSsMigrateReq.

W Dashy w wersjach od 1.9.4 do 3.2.0, widget RSS nie oczyszcza wartości linków z kanałów RSS przed wyświetleniem ich jako atrybutów href w kotwicach. Pozwala to atakującemu na dostarczenie kanału z linkiem javascript:, który po kliknięciu wykonuje kod w kontekście Dashy.

Repomix MCP server przed wersją 1.14.1 umożliwia rejestrację i odczyt dowolnych lokalnych plików .json, .txt, .md lub .xml bez sprawdzania bezpieczeństwa file_system_read_file runSecretLint() ani walidacji pakietu wyjściowego Repomix. Pozwala to wywołującym MCP na ominięcie granicy skanowania sekretów podczas odczytu plików lokalnych.