Katalog podatności CVE

Podatność w TeraMIS umożliwia ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do nadużycia uprawnień. Problem dotyczy wersji od V03.26.01.14 do 30.04.2026.

Podatność SQL injection w Dify przed wersją 1.16.0-rc1 w backendzie wektorowego magazynu MyScale umożliwia atakującym wykonanie dowolnych zapytań SQL poprzez nieoczyszczone parametry wyszukiwania przekazane do metody search_by_full_text. Brak walidacji i parametryzacji pozwala na wstrzyknięcie złośliwego kodu SQL, co może prowadzić do odczytu, modyfikacji lub usunięcia danych w bazie ClickHouse.

Krayin CRM w wersji do 2.2.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w kontrolerach LeadController, PersonController, OrganizationController, QuoteController i ActivityController. Umożliwia ona uwierzytelnionym użytkownikom edytowanie, aktualizowanie lub usuwanie rekordów należących do innych użytkowników.

Podatność w Snipe-IT przed wersją 8.6.2 umożliwia autoryzowanemu użytkownikowi przeniesienie rekordu konserwacji na zasób spoza zakresu jego firmy. Dzieje się tak, ponieważ żądania PATCH lub PUT do /api/v1/maintenances/{maintenance_id} nie ponownie autoryzują nowo dostarczonego identyfikatora zasobu (asset_id).

W Snipe-IT przed wersją 8.6.2 uwierzytelniony użytkownik niebędący administratorem, posiadający uprawnienia users.view i users.edit (ale bez users.delete), może wysłać bezpośrednie żądanie POST do /users/bulksave z parametrem delete_user=1. Powoduje to miękkie usunięcie innego nieadministracyjnego użytkownika, ponieważ kontroler BulkUsersController::destroy() autoryzuje jedynie operację aktualizacji.

W Snipe-IT przed wersją 8.6.2, w API akcesoriów podczas tworzenia rekordu dochodzi do masowego przypisania parametrów żądania do modelu Accessory, w tym pola company_id. Umożliwia to niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi z jednej firmy tworzenie rekordów akcesoriów w innej firmie, gdy włączona jest opcja Pełne Wsparcie Wielu Firm.

Podatność w Coturn przed wersją 4.13.0 pozwala uwierzytelnionemu klientowi TURN na ominięcie domyślnego blokowania pętli zwrotnej (loopback) poprzez użycie adresu IPv4-mapowanego na IPv6 (::ffff:127.0.0.1) w atrybucie XOR-PEER-ADDRESS. Mechanizm sprawdzania pętli zwrotnej nie obsługuje poprawnie tego typu adresów, co umożliwia przekazywanie ruchu do usług lokalnych na hoście Coturn.

Podatność w Coturn przed wersją 4.12.0 umożliwia wstrzykiwanie SQL przez panel administracyjny HTTPS. Parametry zapytań HTTP są przekazywane bezpośrednio do zapytań SQL bez odpowiedniego oczyszczania, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie dowolnego kodu SQL.

HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.

Podatność w ZITADEL przed wersją 4.15.3 umożliwia wymianę tokena o niskich uprawnieniach na token z podwyższonymi uprawnieniami w innej aplikacji. Dzieje się tak, ponieważ punkt końcowy OAuth2 Token Exchange nie weryfikuje, czy token podmiotu należy do żądającego klienta ani czy żądane zakresy mieszczą się w zakresach oryginalnego tokena.

W ZITADEL przed wersją 4.15.3, w ścieżkach błędów logowania Login V2 OIDC i SAML, parametr loginSettings.defaultRedirectUri jest przekazywany do router.push bez walidacji isSafeRedirectUri. Umożliwia to administratorowi organizacji lub instancji przechowanie URI javascript lub data, który może zostać wykonany w przeglądarce użytkownika po trafieniu na podatną ścieżkę błędu logowania.

W ZITADEL przed wersjami 3.4.12 i 4.15.2, przepływy OAuth2 i OIDC (CodeExchange, RefreshToken, device token) nie weryfikują, czy żądający klient jest zgodny z klientem, który zainicjował przepływ autoryzacji. Umożliwia to wymianę przechwyconych grantów lub tokenów odświeżania pod innym klientem.

Wtyczka grav-plugin-admin w wersji 1.10.52 i wcześniejszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami admin.users zmianę hasła dowolnego użytkownika, w tym super administratora. Podatność wynika z braku weryfikacji, czy osoba wywołująca może edytować docelowe konto, podczas gdy funkcja saveUser sprawdza jedynie ogólne uprawnienia do zarządzania użytkownikami.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 zawiera podatność polegającą na braku walidacji dolnej granicy indeksu podczas parsowania wartości komórek typu shared-string. Specjalnie spreparowany plik XLSX z wartością -1 może spowodować odwołanie poza zakres tablicy i panic podczas odczytu przez GetCellValue lub GetRows.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 nie egzekwuje limitu TotalRows dla atrybutu r w wierszach podczas strumieniowego odczytu arkusza. Atakujący może dostarczyć mały plik XLSX z numerem wiersza powyżej 1048576, co powoduje dodawanie pustych wierszy i nadmierne zużycie pamięci oraz CPU.

9Router w wersji przed 0.5.2 traktuje żądania z pętli zwrotnej jako zaufane i zezwala na dostęp do /v1/* bez klucza API. Gdy odwrotne proxy przekierowuje ruch publiczny przez 127.0.0.1, src/dashboardGuard.js błędnie klasyfikuje żądania zewnętrzne jako lokalne, co umożliwia zdalnemu, nieuwierzytelnionemu atakującemu dostęp do API /v1, w tym do /v1/models oraz potencjalne nadużycie skonfigurowanych poświadczeń dostawcy upstream.

Podatność w frameworku ESP-IDF firmy Espressif umożliwia zapis poza dozwolonym obszarem pamięci stosu podczas parsowania znacznika DQT w plikach JPEG. Atakujący może dostarczyć specjalnie spreparowany obraz JPEG, co prowadzi do awarii systemu (odmowa usługi).

9Router przed wersją 0.5.2 zawiera podatność polegającą na tym, że decyzja o tym, czy żądanie proxy LLM jest lokalne, podejmowana jest na podstawie kontrolowanego przez klienta nagłówka Host. Zdalny, nieuwierzytelniony atakujący może wysłać nagłówek Host: localhost i ominąć uwierzytelnianie API-key.

9Router w wersji przed 0.5.2 nie zabezpiecza ścieżki /codex, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu ominąć bramę klucza API i wysyłać żądania do /codex/*, które są przepisywane na /api/v1/responses. Atakujący może wykorzystać to do wywoływania zewnętrznych dostawców LLM przy użyciu zapisanych poświadczeń operatora.

Biblioteka cpp-httplib w wersjach od 0.31.0 do 0.46.1 (dla backendu Mbed TLS) oraz od 0.33.0 do 0.46.1 (dla backendu wolfSSL) pomija walidację łańcucha certyfikatów podczas połączeń HTTPS z adresem IP zamiast nazwy domeny. Podatność umożliwia atakującemu typu man-in-the-middle przedstawienie spreparowanego certyfikatu i przechwycenie lub modyfikację ruchu.