Katalog podatności CVE

W bibliotece kicad-mcp do wersji 3.3.1 wykryto podatność w pliku kicad_mcp/utils/path_validator.py. Manipulacja argumentami project_path lub schematic_path powoduje obejście mechanizmów ochronnych. Atak wymaga dostępu lokalnego, a exploit został opublikowany.

W projekcie augmnt augments-mcp-server w wersji 7.1.0 wykryto podatność na przejście ścieżki (path traversal) w funkcji scanProjectDeps pliku src/tools/v4/scan-project-deps.ts. Atak wymaga lokalnego dostępu i manipulacji argumentem packageJsonPath. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.

W bibliotece alioshr memory-bank-mcp do wersji 0.2.1/3.1 wykryto podatność polegającą na manipulacji argumentem projectName w pliku list-project-files-validation-factory.ts, co prowadzi do przejścia ścieżki (path traversal). Atak wymaga lokalnego dostępu, a exploit został już publicznie ujawniony.

W aplikacji vnotex vnote do wersji 3.20.1 wykryto podatność na atak XSS w funkcji przetwarzającej YAML Frontmatter w pliku markdownit.js. Manipulacja argumentem p_metaData umożliwia zdalne wykonanie skryptu w przeglądarce ofiary.

W sterowniku kontrolera USB HSUSBD dla układów Nuvoton NuMaker (udc_numaker.c) występuje podatność polegająca na bezwarunkowym uzbrajaniu etapu Data IN w kontroli transferu. Gdy host USB anuluje trwający transfer kontrolny (timeout) i wyśle nowy pakiet SETUP, sterownik traci synchronizację, co może prowadzić do wysłania nieaktualnych danych i trwałego zablokowania punktu końcowego kontrolnego (NAK).

Podatność w FileBrowser przed wersją 2.63.17 polega na braku normalizacji ścieżek przed zapytaniem o indeks udostępnień w funkcji DeleteWithPathPrefix. Umożliwia to uwierzytelnionym użytkownikom pozostawienie nieaktualnych publicznych udostępnień po usunięciu katalogu z ukośnikiem na końcu ścieżki.

Capgo przed wersją 12.128.2 zawiera podatność na wstrzykiwanie SQL w punkcie końcowym POST /private/admin_stats. Parametr limit jest pobierany z niezweryfikowanego ciała żądania i bezpośrednio interpolowany do zapytań SQL silnika Cloudflare Analytics Engine za pomocą literałów szablonów.

W systemie Attendance-Management-System od Akpali9 wykryto podatność na atak XSS w pliku absent.php. Manipulacja argumentem export_date umożliwia zdalne wstrzyknięcie złośliwego skryptu. Produkt jest rozwijany w modelu rolling release, więc nie ma dostępnych informacji o konkretnych wersjach.

W ImageMagick przed wersją 7.1.2-26 występuje podatność na wyciek pamięci w enkoderze VIFF, gdy alokacja pamięci nie powiedzie się. Atakujący może wykorzystać specjalnie spreparowane obrazy VIFF, aby wyczerpać dostępną pamięć i spowodować odmowę usługi.

W ImageMagick przed wersją 7.1.2-26 występuje podatność use-after-free w metodzie FormatMagickCaption, gdy alokacja pamięci się nie powiedzie. Atakujący może wywołać błędy alokacji pamięci, powodując, że wiszący wskaźnik odwołuje się do zwolnionej pamięci, co może prowadzić do odmowy usługi lub wykonania kodu.

Podatność w ImageMagick przed wersją 7.1.2-26 umożliwia ominięcie polityki bezpieczeństwa w enkoderze APNG i zewnętrznych delegatach z powodu braku walidacji. Atakujący mogą zapisywać pliki w niedozwolonych lokalizacjach, wykorzystując proces kodowania APNG.

W ImageMagick przed wersją 7.1.2-26 występuje podatność use-after-free na stercie spowodowana brakiem sprawdzenia wartości null podczas parsowania profili XMP. Atakujący mogą stworzyć złośliwe pliki graficzne ze specjalnie spreparowanymi danymi XMP, aby wywołać podatność i spowodować awarię aplikacji.

W ImageMagick przed wersjami 7.1.2-26 i 6.9.13-51 brakuje sprawdzenia limitu alokacji pamięci w operacjach opartych na macierzach, takich jak -canny. Atakujący może dostarczyć spreparowany obraz, który powoduje alokację większej ilości pamięci niż dozwolona przez skonfigurowane zasady, co prowadzi do odmowy usługi.

Parse Server w wersjach od 9.0.0 do 9.10.0-alpha.2 oraz od 8.6.83 i wcześniejszych zawiera podatność na trwałe XSS. Nieprawidłowo sformowany Content-Type pliku (np. 'image//svg+xml') omija blokadę rozszerzeń i jest przechowywany bez zmian, co w przypadku adapterów S3, GCS lub Azure powoduje, że przeglądarka interpretuje plik jako HTML i wykonuje osadzony skrypt.

Podatność w ImageMagick przed wersją 7.1.2-19 powoduje przepełnienie bufora sterty podczas operacji powiększania (magnify). Nieprawidłowa wartość parametru magnify:method prowadzi do odczytu poza dozwolonym obszarem pamięci.

Podatność SSRF w rdzeniu Drupala umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.

Framework Frappe przed wersjami 16.18.3 i 15.108.0 zawierał podatność w funkcji check_safe_sql_query, która zezwalała na zapytania SELECT INTO OUTFILE. Może to być wykorzystane na samodzielnie hostowanych stronach, jeśli uprawnienia bazy danych są nieprawidłowo skonfigurowane i dostępne są przywileje MySQL FILE.

Wtyczka AI (Artificial Intelligence) dla Drupala zawiera lukę brakującej autoryzacji, która umożliwia atakującemu wymuszone przeglądanie (Forceful Browsing) i dostęp do nieautoryzowanych zasobów. Problem dotyczy wersji od 0.0.0 do 1.2.17, od 1.3.0 do 1.3.8 oraz od 1.4.0 do 1.4.3.

Podatność SSRF w module Drupal OpenAI Provider umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wersji od 0.0.0 do 1.1.1 oraz od 1.2.0 do 1.2.2.

Podatność nieprawidłowej autoryzacji w module Drupal Advanced Content Feedback (admin_feedback) umożliwia atakującemu wymuszone przeglądanie (forceful browsing) i dostęp do nieautoryzowanych zasobów. Problem dotyczy wersji od 0.0.0 do 2.8.0.