Katalog podatności CVE

Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.

W interfejsie WebClient UI systemu SAP CRM brakuje konfiguracji Content Security Policy (CSP) dla niektórych restrykcyjnych dyrektyw, co umożliwia atakującemu wstrzyknięcie i wykonanie złośliwych skryptów w kontekście aplikacji. Podatność ma niski wpływ na integralność aplikacji, natomiast poufność i dostępność nie są zagrożone.

Podatność w funkcji setThemeRoot() pozwala na ominięcie listy dozwolonych źródeł motywów (sap-allowed-theme-origins). Atakujący może zapisać i użyć kontrolowanego, bezwzględnego adresu URL z innej domeny do skonstruowania elementu <link rel=stylesheet>, nawet gdy w dokumencie brak znacznika <meta name=sap-allowed-theme-origins>. Obejście jest również możliwe przez parametr URL ?sap-themeRoot.

Podatność Cross-Site Scripting (XSS) w frameworku Business Server Pages w SAP NetWeaver Application Server ABAP pozwala atakującemu na wstrzyknięcie i wykonanie dowolnego kodu JavaScript poprzez odbicie niesanitizowanego wejścia w odpowiedzi HTTP. Udane wykorzystanie może umożliwić kradzież sesji i wykonywanie uwierzytelnionych działań w imieniu ofiary.

Podatność w SAP NetWeaver Enterprise Portal umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL.

W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.

W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.

W aplikacji HedgeDoc przed wersją 1.11.0 stwierdzono podatność w przepływie eksportu do GitHub Gist. Mechanizm OAuth2 nie walidował poprawnie parametru state, co umożliwiało atakującemu sfałszowanie adresu zwrotnego i podmianę kodu autoryzacyjnego. W rezultacie ofiara klikająca w spreparowany link mogła nieświadomie wyeksportować swoją prywatną notatkę do Gist kontrolowanego przez atakującego.

W bibliotece tanstack db w wersji do 0.6.8 wykryto podatność w funkcji select w pliku src/query/compiler/select.ts w komponencie Alias Path Handler. Manipulacja prowadzi do niekontrolowanej modyfikacji atrybutów prototypu obiektu, co może być wykorzystane zdalnie. Exploit jest publicznie dostępny.

Podatność w bibliotece FlashAttention do wersji 2.8.3.post1 (naprawiona w commicie 0816ef1) polega na ataku symlinkowym w funkcji download_and_copy() w pliku hopper/setup.py. Funkcja ta rozpakowuje archiwa narzędzi NVIDIA bez walidacji dowiązań symbolicznych ani filtrowania elementów archiwum, co pozwala lokalnemu atakującemu na umieszczenie złośliwego dowiązania symbolicznego w przewidywalnym katalogu cache i nadpisanie dowolnych plików z uprawnieniami ofiary podczas budowania.

W OpenClaw w wersjach od 2026.5.28 do 2026.6.5 występuje podatność polegająca na obejściu autoryzacji w natywnym wyszukiwaniu internetowym. Umożliwia ona wywołaniom o niższym poziomie zaufania wykonywanie operacji wymagających silniejszych kontroli polityki bezpieczeństwa.

OpenClaw w wersjach od 2026.6.5 do 2026.6.8 zawiera podatność w mechanizmie instalacji wtyczek, która może ominąć sprawdzanie polityki instalacji (autoryzacji). Gdy podatna funkcja jest włączona i dostępna, osoba lub proces o niższym zaufaniu może wykonać lub utrwalić działania wykraczające poza przyznane uprawnienia.

HedgeDoc w wersjach przed 1.11.0 umożliwiał atakującym ominięcie ograniczeń szybkości żądań do ścieżek /login i /register poprzez fałszowanie nagłówka cf-connecting-ip. Aplikacja ufała temu nagłówkowi nawet gdy żądanie nie pochodziło z Cloudflare, co pozwalało na spamowanie logowaniem lub tworzenie wielu kont.

HedgeDoc przed wersją 1.11.0 był podatny na przechowywany atak HTML Injection przez niebezpieczne przetwarzanie lokalnej części adresu e-mail. Atakujący mógł zarejestrować specjalnie spreparowany adres e-mail i wstrzyknąć dowolny kod HTML do stron wyświetlanych innym użytkownikom.

Podatność w Skillable (dawniej Learn on Demand Systems) w punkcie końcowym uruchamiania laboratoriów SCORM nie sprawdza parametru userId dostarczonego przez klienta z uwierzytelnionym tokenem sesji SCORM. Uwierzytelniony użytkownik może podstawić dowolne wartości userId, aby ominąć limity szybkości uruchamiania laboratoriów na użytkownika i wykorzystać alokacje laboratoriów innych użytkowników.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez nadużycie funkcji „Wyślij informacje pomocnicze”. Atak wymaga uprzedniego uzyskania niskiego poziomu uprawnień w systemie.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez manipulację plikami nagrań ekranu. Wymaga to uprzedniego uzyskania możliwości wykonania kodu o niskich uprawnieniach na docelowym systemie.

W bibliotece antv layout w wersji 2.0.0 wykryto podatność polegającą na niekontrolowanej modyfikacji atrybutów prototypu obiektu. Problem występuje w funkcji setNestedValue w pliku lib/util/object.js, gdzie manipulacja argumentem path może prowadzić do ataku typu prototype pollution. Atak może być przeprowadzony zdalnie.