Katalog podatności CVE

W bibliotece guzzlehttp/psr7 w wersjach przed 2.12.3 funkcja Uri::assertValidHost() nie odrzuca nieprawidłowych komponentów hosta URI, które mogą zawierać ograniczniki autorytetu, osadzone porty lub źle sformatowane nawiasy IPv6. Powoduje to, że Uri::getHost() może zwracać wartość różniącą się od rzeczywistego autorytetu URI, co może prowadzić do błędów w decyzjach bezpieczeństwa lub routingu.

Podatność umożliwia deanonimizację uzgadniania połączeń TLS korzystających z szyfrowanego powitania klienta (ECH). Pasywny obserwator sieci może odczytać tożsamości kluczy wstępnie udostępnionych (PSK) w niezaszyfrowanej części powitania klienta.

W U-Boot do wersji 2026.04-rc3 włącznie występuje podatność na odczyt poza zakresem w funkcji tcp_rx_state_machine() (net/tcp.c) przy włączonym CONFIG_PROT_TCP. Zdalny atakujący może wysłać spreparowany pakiet z niezgodną długością całkowitą IP i polem przesunięcia danych TCP, powodując odczyt poza granicami segmentu TCP i potencjalne zakłócenie stanu połączenia.

Podatność w bibliotece protobufjs umożliwia zapętlenie nieskończone podczas parsowania specjalnie spreparowanych plików .proto. Brak sprawdzenia końca wejścia przy przetwarzaniu opcji powoduje, że funkcje parse, Root.load lub Root.loadSync mogą działać w nieskończoność.

Podatność w bibliotece protobufjs (wersje 8.2.0 do 8.6.5) umożliwia atak typu prototype pollution poprzez parsowanie map w formacie Text Format. Atakujący może wstrzyknąć klucz mapy o nazwie __proto__, co zmienia prototyp obiektu zamiast tworzyć wpis w mapie.

Biblioteka node-tar przed wersją 7.5.17 nie usuwa bajtów NUL z rekordów PAX path i linkpath, co pozwala na stworzenie spreparowanego archiwum, które powoduje nieobsłużony wyjątek i zakończenie procesu Node.js.

Biblioteka node-tar przed wersją 7.5.18 konwertuje wszystkie cyfrowe wartości PAX path i linkpath na liczby JavaScript, co powoduje błąd TypeError podczas przetwarzania ścieżek. Problem został naprawiony w wersji 7.5.18.

Podatność w bibliotece js-yaml (wersje od 5.0.0 do 5.2.0) powoduje kwadratowy wzrost czasu procesora podczas parsowania dokumentów YAML z włączonymi kluczami scalania. Łańcuch mapowań, gdzie każdy wpis scala poprzedni, prowadzi do nadmiernego obciążenia CPU.

Podatność w AFFiNE umożliwia uwierzytelnionym członkom przestrzeni roboczej odczyt historii edycji dokumentów bez wymaganych uprawnień. Pole GraphQL 'histories' nie sprawdza uprawnienia Doc.Read przed udostępnieniem danych.

CyberChef przed wersją 11.2.0 zawiera podatność na zanieczyszczenie prototypu przez operację Series Chart, która akceptuje klucz __proto__ podczas parsowania CSV dostarczonego przez użytkownika. Może to być wykorzystane w połączeniu z innymi operacjami, takimi jak Parse UDP, do wstrzyknięcia złośliwego JavaScriptu do wyjścia HTML.

Podatność w Portainer Community Edition umożliwia nieuwierzytelnionemu atakującemu dostęp do endpointów przywracania kopii zapasowej i inicjalizacji administratora w ciągu pięciu minut od uruchomienia niezainicjalizowanej instancji. Atakujący może przywrócić spreparowaną kopię zapasową lub utworzyć pierwsze konto administratora, uzyskując pełny dostęp administracyjny.

Podatność w ToolJet przed wersją 3.20.180 pozwala na wstrzyknięcie poleceń powłoki przez komentarz w pull requeście. CI runner wykonuje kod z komentarza, co umożliwia kradzież sekretów wdrożeniowych.

W usłudze gorch, będącej częścią trustyai-service-operator, stwierdzono lukę polegającą na tym, że nawet przy włączonym uwierzytelnianiu, usługa ta udostępnia niechronione porty metryk orkiestratora i detektora. Umożliwia to każdemu podowi w klastrze bezpośredni dostęp do tych portów z pominięciem kube-rbac-proxy i jego mechanizmów uwierzytelniania.

Podatność w SeaweedFS w wersjach 4.08–4.33 umożliwia uwierzytelnionemu użytkownikowi S3 z niskimi uprawnieniami wyliczenie nazw i ARN-ów kubełków tabel należących do administratora. Problem wynika z błędnego routowania żądań SigV4 do API zarządzania S3Tables, gdzie autoryzacja scala tożsamości S3 bez konta z kontem administratora.

Podatność w File Browser przed wersją 2.63.16 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia i modyfikacji plików na tworzenie plików poza dozwolonym zakresem. Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (symlink) – sprawdzany jest najbliższy istniejący przodek, a następnie podąża się za dowiązaniem.

W operatorze TrustyAI Service wykryto lukę, która przy wdrażaniu usług takich jak gorch czy NemoGuardrails, przy wyłączonym odpowiednim ustawieniu bezpieczeństwa, pozwala na nieuwierzytelniony dostęp do kanałów komunikacyjnych. Umożliwia to innym programom w klastrze dostęp do barier i orkiestratora AI bez autoryzacji.

W systemie Harness do wersji 2.28.2 wykryto podatność w funkcji getAuthorizedSpaces pliku app/api/controller/gitspace/list_all.go w komponencie gitspaces Endpoint. Manipulacja tym punktem końcowym może prowadzić do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W MISP funkcja importModule() używała getEnabledModule() do rozpoznawania modułów importu, ale nie egzekwowała ograniczeń organizacyjnych. Uwierzytelniony użytkownik z organizacji, której nie zezwolono na korzystanie z modułu, mógł go wywołać bezpośrednio, znając jego nazwę.

Podatność w MISP pozwalała uwierzytelnionym użytkownikom lub kluczom API tylko do odczytu, mającym dostęp do przeglądania zdarzeń, na zapisywanie danych do zdarzeń, których nie mieli prawa modyfikować. Problem występował w metodzie EventsController::importModule() podczas przetwarzania wyników w formacie misp_standard, gdzie nie sprawdzano uprawnień do modyfikacji przed zapisem.

Podatność XSS w AVideo (wtyczka Meet) pozwala atakującemu na przechowywanie złośliwego kodu JavaScript w nagłówku User-Agent podczas dołączania do publicznego spotkania. Kod ten jest następnie wyświetlany bez odpowiedniego kodowania w panelu zarządzania uczestnikami, co prowadzi do wykonania skryptu w sesji administratora lub gospodarza spotkania.