Katalog podatności CVE

Podatność w Nomad i Nomad Enterprise umożliwia ominięcie autoryzacji między przestrzeniami nazw w funkcji dynamicznych woluminów hosta. Operator z uprawnieniem do usuwania woluminu hosta w jednej przestrzeni nazw może usunąć trwałe przypisanie woluminu (sticky volume claim) należące do zadania w innej przestrzeni nazw.

W GitLab EE wykryto podatność, która w pewnych warunkach umożliwia uwierzytelnionemu użytkownikowi z rolą maintainera uzyskanie przechowywanych poświadczeń innego użytkownika. Problem wynika z nieprawidłowych mechanizmów autoryzacji i dotyczy wersji od 9.5 do 18.11.7, 19.0 do 19.0.4 oraz 19.1 do 19.1.2.

Podatność polegająca na przechodzeniu do względnych ścieżek (relative path traversal) w module ustawień administracyjnych Progress MOVEit Transfer. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.

Podatność w Progress MOVEit Transfer (moduł Custom Reports) umożliwia niewłaściwą neutralizację specjalnych elementów w logice zapytań danych. Luka występuje w wersjach przed 2025.0.7 oraz od 2025.1.0 do 2025.1.3.

Composer, menedżer zależności dla PHP, w wersjach przed 2.2.29 i 2.10.2 wyciekał dane uwierzytelniające (np. tokeny GitHub) do wyjścia debugowania przy użyciu flagi -vvv. Problem wynikał z braku sanitizacji poświadczeń w nazwie użytkownika w URL-u repozytorium lub pakietu.

Podatność w menedżerze zależności Composer dla języka PHP pozwala na zmianę uprawnień istniejącego pliku na odczytywalny i wykonywalny dla wszystkich użytkowników. Problem występuje podczas instalacji, aktualizacji lub dodawania pakietów, gdy wpis bin w pakiecie zawiera segmenty ścieżki '..'.

LiteLLM przed wersją 1.83.7-stable zawiera podatność polegającą na niewystarczającej walidacji ścieżek plików podczas rozpakowywania archiwów ZIP umiejętności (Skills). Uwierzytelniony użytkownik z dostępem do tras API LLM lub kluczem z trasami /v1/skills, anthropic_routes lub llm_api_routes może przesłać spreparowane archiwum, które umożliwia zapis plików poza zamierzonym katalogiem (path traversal).

LiteLLM przed wersją 1.83.10-stable zawiera podatność w punkcie końcowym /health/test_connection, która umożliwia odczyt plików z lokalnego systemu plików poprzez referencje oidc/file/. Luka wynika z rozpoznawania przez serwer referencji do zmiennych środowiskowych i plików OIDC dostarczonych w żądaniu.

Podatność w Composio SDK przed wersją 0.2.32-beta.283 umożliwia ominięcie walidacji ścieżek plików. Brak sprawdzenia assertSafeFileUploadPath w funkcji readFileFromDisk pozwala atakującym na odczyt i eksfiltrację wrażliwych plików, takich jak klucze SSH, poprzez wstrzyknięcie podpowiedzi (prompt injection).

Podatność w Gumroad przed wersją 2026.07.06.2 umożliwia uwierzytelnionym sprzedawcom manipulowanie dostępem do zakupów innych sprzedawców. Brak walidacji własności sprzedawcy w kontrolerze PurchasesController pozwala na wysyłanie żądań PUT do akcji revoke_access i undo_revoke_access, co prowadzi do nieautoryzowanego cofnięcia lub przywrócenia dostępu do produktów.

Serwer Midscene Bridge do wersji 1.10.3 (poprawiony w commicie 86f4118) cierpi na brak uwierzytelnienia i błędną konfigurację CORS. Umożliwia to nieuwierzytelnionym atakującym zdalne przejęcie aktywnych sesji mostu poprzez otwarcie połączenia WebSocket z lokalnym serwerem Socket.IO, który nie weryfikuje nagłówka Origin ani nie wymaga tokena uwierzytelniającego.

Podatność w bibliotece Zeep (Python SOAP client) w wersjach od 4.0.0 do 4.3.2. Ustawienie Settings.forbid_external jest zdefiniowane, ale nie egzekwowane podczas parsowania dokumentów WSDL lub XSD, co pozwala na zewnętrzne importy i referencje do wybranych przez atakującego adresów URL HTTP lub HTTPS. Problem został naprawiony w wersji 4.3.3.

W serwerze NATS przed wersjami 2.14.3 i 2.12.8 sprawdzanie docelowych tematów śledzenia wiadomości było stosowane do zwykłych połączeń klienckich, ale nie było konsekwentnie egzekwowane dla wiadomości przychodzących przez połączenia liściaste (leafnode). Pozwalało to operatorowi węzła liściastego wysyłać zdarzenia śledzenia do tematów, które w innym przypadku byłyby zabronione, oraz wykorzystywać zachowanie tylko do śledzenia, aby uniemożliwić normalne dostarczanie lub przechowywanie dotkniętych wiadomości.

Podatność w serwerze NATS pozwala uwierzytelnionemu użytkownikowi odbierać wiadomości na zabronionych tematach, gdy subskrypcja z użyciem symboli wieloznacznych pokrywa się z regułą blokowania, ale nie jest jej podzbiorem. Dodatkowo subskrypcje kolejkowane mogą wpływać na dostarczanie wiadomości do legalnych konsumentów.

W serwerze NATS wykryto podatność, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do odmowy subskrypcji na ominięcie reguły blokującej dostęp do tematu (subject) poprzez użycie subskrypcji kolejki (queue subscription). Problem występuje, ponieważ ocena odmowy dla konkretnej kolejki może nadpisać wynik ogólnej reguły odmowy dla tematu, gdy sama nazwa kolejki nie jest objęta zakazem.

W serwerze NATS przed wersjami 2.14.3 i 2.12.12 uwierzytelniony klient MQTT mógł subskrybować wewnętrzną rodzinę tematów $MQTT.deliver.pubrel, co pozwalało na ominięcie skonfigurowanych uprawnień subskrypcji i ujawnienie metadanych protokołu MQTT QoS2 dla sesji w ramach konta.

W serwerze NATS przed wersjami 2.14.3 i 2.12.12 stwierdzono podatność w obsłudze wiadomości MQTT. Mechanizmy dostarczania zatrzymanych wiadomości oraz odtwarzania trwałego QoS1+ nie sprawdzały ponownie oryginalnego tematu wiadomości przed wysłaniem jej do subskrybenta, co mogło ominąć zdefiniowane reguły blokowania subskrypcji.

W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.

W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.

Podatność w bibliotece ONNX (wersje od 1.9.0 do 1.22.0) pozwala na wywołanie dereferencji pustego wskaźnika w funkcji Upsample_6_7::adapt_upsample_6_7() podczas przetwarzania złośliwego modelu z węzłem Upsample posiadającym zero wejść. Prowadzi to do nieodwracalnej odmowy usługi (DoS).