Katalog podatności CVE

W n8n przed wersją 2.28.0 wykryto podatność polegającą na nieprawidłowej autoryzacji, która umożliwia uwierzytelnionym użytkownikom przypisywanie przepływów pracy do folderów w innych projektach. Atakujący mogą ominąć granice autoryzacji projektu i folderu, wysyłając spreparowane żądania podczas tworzenia przepływu pracy, co prowadzi do naruszenia integralności logicznej struktury folderów w docelowym projekcie.

Grav przed wersją 2.0.0 (aż do 2.0.0-rc.9 i gałęzi 2.0) zawiera podatność na przechowywane wstrzykiwanie CSS w akcji mediów Markdown image resize(). Wcześniejsze zabezpieczenia odrzucają bezpośrednie ładunki ?style= i niebezpieczne funkcje fallback, ale akcja resize() w Excerpts::processMediaActions() zapisuje wartości kontrolowane przez wywołującego bezpośrednio do atrybutu styleAttributes obrazu. Redaktor treści z niższymi uprawnieniami, który może edytować Markdown strony, może przechowywać spreparowany URL obrazu z deklaracjami CSS oddzielonymi średnikami w parametrach resize, które są renderowane w końcowym atrybucie <img style=...> gdy recenzent/admin z wyższymi uprawnieniami przegląda stronę lub podgląd.

Wtyczka Grav API (getgrav/grav-plugin-api) w wersji 1.0.0 zawiera podatność na nieograniczone przesyłanie plików w punkcie końcowym przesyłania awatara (/api/v1/users/user/avatar). Punkt końcowy weryfikuje tylko typ MIME zadeklarowany przez klienta (getClientMediaType) zaczynający się od 'image/' i nie sprawdza rzeczywistej zawartości pliku ani nie ogranicza wynikowego rozszerzenia, co pozwala uwierzytelnionemu użytkownikowi przechowywać dowolną treść — w tym kod PHP, SVG z osadzonym JavaScriptem oraz ładunki poliglotyczne — w katalogu user/accounts/avatars/ z przewidywalnymi nazwami plików. Bezpośredni dostęp HTTP do przechowywanych plików jest blokowany przez .htaccess (zwraca 403), ale pliki pozostają na dysku i mogą prowadzić do zdalnego wykonania kodu lub trwałego XSS w przypadku wystąpienia błędu path traversal lub błędnej konfiguracji serwera. Podatność została naprawiona w wersji 1.0.1.

Podatność w n8n przed wersjami 2.25.7 i 2.26.x przed 2.26.2 umożliwia ominięcie autoryzacji w punkcie końcowym ponawiania wykonań Public API. Uwierzytelniony użytkownik z dostępem tylko do odczytu do współdzielonego workflow może ponawiać jego wykonania, wykorzystując zakres workflow:read zamiast wymaganego workflow:execute.

Podatność w n8n przed wersjami 1.123.55, 2.25.7 i 2.26.2 dotyczy błędnej autoryzacji w trzech endpointach testowych. Endpointy te używają zakresu workflow:read zamiast workflow:execute do autoryzacji działań zmieniających stan.

Podatność w n8n przed wersjami 1.123.18 i 2.6.2 polega na braku weryfikacji podpisów HMAC-SHA256 w webhookach Zendesk w węźle ZendeskTrigger. Atakujący znający adres URL webhooka mogą wysyłać niepodpisane żądania POST, wywołując przepływy pracy z dowolnymi złośliwymi danymi.

W n8n przed wersją 2.8.0 wykryto podatność na ataki XSS w przepływie zarządzania poświadczeniami. Uwierzytelnieni użytkownicy mogą wstrzykiwać złośliwe adresy URL JavaScript do pola URL autoryzacji OAuth2. Atakujący mogą tworzyć spreparowane poświadczenia i nakłonić ofiary do kliknięcia przycisku autoryzacji OAuth, co prowadzi do wykonania dowolnego skryptu w przeglądarce ofiary z jej uprawnieniami.

Podatność w Capgo przed wersją 12.128.2 polega na braku usuwania metadanych EXIF z obrazów przesyłanych przez endpoint informacji o aplikacji. Umożliwia to atakującym wyodrębnienie danych geolokalizacyjnych i innych metadanych z przesłanych plików.

Podatność w Capgo przed wersją 12.128.2 wynika z błędu autoryzacji w funkcji transfer_app(), która nie aktualizuje pola deploy_history.owner_org podczas przenoszenia aplikacji między organizacjami. Atakujący mogą wykorzystać to przeoczenie, aby zachować nieautoryzowany dostęp do historii wdrożeń w źródłowej organizacji lub spowodować utratę dostępu do przeniesionych rekordów wdrożeń w docelowej organizacji.

Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC Supabase PostgREST public.get_total_metrics(org_id), która jest dostępna dla roli anon przy użyciu publicznego klucza sb_publishable_*. Nieuwierzytelniony atakujący może sprawdzać istnienie organizacji i wyciekać poufne dane, takie jak MAU, przepustowość i liczba instalacji, wysyłając żądania POST do /rest/v1/rpc/get_total_metrics z prawidłowymi UUID organizacji.

Podatność HTML injection w Capgo przed wersją 12.128.2 w punkcie końcowym ustawień organizacji umożliwia atakującym wstrzyknięcie złośliwego kodu HTML. Poprzez pole nazwy organizacji mogą oni przekierowywać użytkowników na niebezpieczne strony, co prowadzi do ataków phishingowych i szkód w reputacji.

Flowise przed wersją 3.1.0 zawiera podatność na przechodzenie po ścieżkach w implementacjach przechowywania wektorów Faiss i SimpleStore. Uwierzytelnieni użytkownicy mogą podać niesanitowany parametr basePath, co pozwala na zapis danych wektorowych w dowolnej lokalizacji systemu plików.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie autoryzacji w polityce INSERT dla public.manifest, co pozwala członkom organizacji z dostępem tylko do odczytu na wstawianie wierszy manifestu OTA. Atakujący z takim dostępem mogą wstrzykiwać złośliwe wpisy manifestu z dowolnymi wartościami s3_path, które są dostarczane do urządzeń przez nieuwierzytelniony endpoint /updates, prowadząc do zatrucia metadanych OTA i potencjalnego dostarczenia złośliwych zasobów.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie polityki szyfrowania pakietów. Atakujący z kluczem API o zakresie aplikacji może zaktualizować tabelę app_versions, usuwając pola session_key i key_id, co pozwala na zastąpienie zaszyfrowanych pakietów nieszyfrowanymi.

W OpenLLM 0.6.30 znaleziono podatność na wstrzyknięcie poleceń w funkcji async_run_command pliku src/openllm/common.py. Atakujący lokalnie może manipulować argumentem cmd, co prowadzi do wykonania dowolnych poleceń systemowych. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.

W bibliotece Flask-MonitoringDashboard do wersji 5.0.2 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF). Nieznana funkcjonalność umożliwia zdalne przeprowadzenie ataku. Exploit został ujawniony publicznie, a projekt nie odpowiedział na zgłoszenie problemu.

W bibliotece check-peer-dependencies do wersji 4.3.4 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji shelljs.exec w pliku dist/packageUtils.js w komponencie peerDependencies. Atak może być przeprowadzony zdalnie.

W produkcie Mediküm Web firmy Webbeyaz Web Design wykryto podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji do 08072026 włącznie, a producent zaprzestał wsparcia dla tego oprogramowania.

W produkcie Mediküm Web firmy Webbeyaz Web Design wykryto podatność na odbity atak XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji do 08072026 włącznie, a producent zaprzestał wsparcia dla tego oprogramowania.

Wtyczka Nexter Blocks dla WordPressa do wersji 4.7.4 włącznie zawiera podatność na przechowywany atak XSS przez parametr 'commentIcon'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnego skryptu, który wykona się przy każdym dostępie do zainfekowanej strony.