Katalog podatności CVE

W backendzie stacji ładowania brakowało ograniczenia liczby powtarzanych prób uwierzytelnienia, co umożliwiało atakującemu przeprowadzenie ataku typu Denial of Service (DoS).

Podatność w frameworku Phalcon przed wersją 5.15.0 powoduje, że domyślny router MVC używa skompilowanego wzorca PCRE z zagnieżdżonym kwantyfikatorem, co umożliwia atakującemu wywołanie katastroficznego cofania (catastrophic backtracking) poprzez spreparowane żądanie URI zawierające powtarzające się ukośniki i znaki nowej linii. Prowadzi to do wyczerpania zasobów CPU lub niepowodzenia dopasowania trasy.

Podatność w Tilt od wersji 0.24.0 do 0.37.3 umożliwia atakującemu dostęp do strumienia widoku HUD przez WebSocket, pomimo zabezpieczenia CSRF. Token CSRF jest serwowany przez nieuwierzytelniony endpoint, a serwer akceptuje połączenia bez nagłówka Origin, co pozwala na przejęcie danych sesji, plików Tiltfile i statusów zasobów.

Tilt HUD serwer montuje nieautoryzowane handlery pprof pod ścieżką /debug, co pozwala nieuwierzytelnionemu atakującemu na odczyt pamięci procesu (w tym tokenów sesji i API) oraz degradację wydajności. Podatność dotyczy wersji od 0.19.5 do 0.37.3.

W frameworku Frappe przed wersjami 16.23.0 i 15.112.0 wykryto podatność TarSlip RCE podczas importu pakietów. Brak wystarczającego sprawdzania członków archiwum tar przed ekstrakcją umożliwiał zdalne wykonanie kodu.

Wtyczka Plotly.js Graphing dla Drupala zawiera podatność na wstrzykiwanie obiektów poprzez nieprawidłowo kontrolowaną modyfikację dynamicznie określanych atrybutów obiektów. Problem dotyczy wersji od 0.0.0 do 3.0.2.

Podatność w module Flag attendance field dla Drupala umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 1.2.

Podatność w frameworku Phalcon przed wersją 5.14.1 polega na tym, że funkcja Phalcon\Encryption\Crypt::decrypt porównuje dostarczony przez atakującego znacznik HMAC z nowo wyliczonym HMAC za pomocą porównania bajt po bajcie, które kończy się na pierwszej różnicy. Ta obserwowalna różnica czasowa umożliwia atakującemu odzyskanie prawidłowego znacznika bajt po bajcie i dołączenie go do wybranego IV i ciphertextu, przez co decrypt() akceptuje zmodyfikowaną treść jako autentyczną.

ModSecurity przed wersją 3.0.16 zawiera podatność w parserze multipart/form-data, która powoduje ciche usuwanie znaków nowej linii z wartości pól formularza niebędących plikami. Dzieje się tak, ponieważ kod nadpisuje zarezerwowane bajty zamiast dołączać bieżący bufor, co prowadzi do różnic w parsowaniu między ModSecurity a aplikacjami backendowymi.

W systemie Frappe przed wersją 16.19.0 stwierdzono podatność na pominięcie autoryzacji w punkcie końcowym update_page w obszarze Workspace. Publiczne obszary robocze nie przechodziły wymaganej kontroli edycji przez menedżera obszaru roboczego.

Podatność SSRF w TypeBot przed wersją 3.17.2 pozwala na ominięcie walidatora adresów URL poprzez użycie adresu IPv6 :: (nieokreślony). Osoba z rolą edytora lub twórcy przestrzeni roboczej może skonfigurować blok żądania HTTP lub skrypt fetch po stronie serwera, co umożliwia połączenie z lokalnymi usługami HTTP.

Podatność w Spinnaker umożliwia zdalne wykonanie kodu poprzez niebezpieczne przetwarzanie YAML podczas korzystania z CloudFormation lub CloudFoundry. Użycie niebezpiecznego konstruktora pozwala na ładowanie dowolnych klas Java, co prowadzi do zdalnego wykonania kodu.

W frameworku Frappe przed wersją 16.18.3 wykryto podatność na path traversal i lokalne dołączanie plików poprzez bezpieczny dostęp do lokalnych zasobów w generatorze PDF Chrome.

Wtyczka Location Selector dla Drupala zawiera podatność na wstrzykiwanie SQL (SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wszystkich wersji od 0.0.0 do 1.3.0.

Podatność w module Drupal Tealium iQ Tag Management umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 2.4.0.

Podatność w sterowniku GPU umożliwia nieuprzywilejowanemu użytkownikowi wykonanie sekwencji nieprawidłowych wywołań systemowych GPU, prowadzących do użycia po zwolnieniu (use-after-free). Ułatwia to nieautoryzowany dostęp do pamięci z poziomu kodu shadera.

EverOS przed wersją 1.0.1 zawiera podatność na path traversal w punkcie końcowym POST /api/v1/memory/add. Pole sender_id nie było walidowane jako identyfikator bezpieczny dla ścieżki, co pozwala nieuwierzytelnionemu atakującemu na zapis lub nadpisanie plików .md poza docelowym katalogiem pamięci.

Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.

RabbitMQ przed wersją 4.2.6 nie egzekwuje limitu rozmiaru ramek strumieniowych podczas składania ramek w trakcie uwierzytelniania i przed negocjacją Tune. Pozwala to nieuwierzytelnionemu zdalnemu klientowi deklarować nadmierne rozmiary ramek i konsumować pamięć brokera w komponencie rabbit_stream_core.

Podatność w RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11 i 4.2.6 pozwala nieuwierzytelnionym atakującym na odczytanie sekretu klienta OAuth 2 poprzez przestarzały endpoint GET /api/auth. Problem występuje, gdy włączona jest wtyczka zarządzania i skonfigurowane management.oauth_client_secret.