Katalog podatności CVE

IBM WebSphere Application Server Liberty w wersjach od 17.0.0.3 do 26.0.0.6 zawiera podatność umożliwiającą odczyt dowolnych plików, gdy włączona jest funkcja restConnector-2.0.

IBM WebSphere Application Server Liberty jest dotknięty podatnością na fałszowanie żądań po stronie serwera (SSRF) przy włączonej funkcji apiDiscovery-1.0.

IBM WebSphere Application Server Liberty w wersjach od 17.0.0.3 do 26.0.0.7 z włączoną funkcją adminCenter-1.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF).

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Komponenty RSSReaderComponent i SearXNG wykonują niezweryfikowane żądania HTTP do adresów URL kontrolowanych przez użytkownika, omijając zabezpieczenia SSRF wprowadzone w wersji 1.9.3.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera brak uwierzytelniania w endpointach /api/v1/build_public_tmp/, co pozwala nieuwierzytelnionemu atakującemu na odczyt danych zdarzeń budowania lub anulowanie zadań przy użyciu prawidłowego identyfikatora zadania, prowadząc do ujawnienia informacji i odmowy usługi.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie URL, spowodowaną warunkiem wyścigu TOCTOU, który może być wykorzystany przez ponowne wiązanie DNS.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera podatność na obejście ochrony przed fałszowaniem żądań po stronie serwera (SSRF) w komponencie API Request. Uwierzytelniony atakujący z niskimi uprawnieniami (rola autora przepływu) może ominąć zabezpieczenia SSRF, włączając parametr follow_redirects i podając publiczny URL przekierowujący na adresy wewnętrzne/localhost. Podatność wynika z faktu, że aplikacja weryfikuje tylko początkowy URL, ale nie ponownie weryfikuje miejsc docelowych przekierowań.

Wtyczka Webmention dla WordPressa do wersji 5.8.0 włącznie jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez metadane autora 'avatar' i 'url' pochodzące z parsera. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla właściwości MF2 autora, które są przetwarzane przez niezautoryzowany endpoint REST Webmention i renderowane bezpośrednio w atrybutach 'value' HTML w szablonie edycji komentarza.

Aplikacja HP Fan Control może umożliwiać lokalną eskalację uprawnień. Luka wynika z nieprawidłowej kontroli dostępu w oprogramowaniu do zarządzania wentylatorami firmy HP.

Podatność w JeecgBoot do wersji 3.9.2 umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach pełny dostęp do zarządzania poświadczeniami OpenAPI. Brak autoryzacji Shiro w kontrolerach OpenApiAuthController i OpenApiPermissionController pozwala na tworzenie, odczyt, aktualizację i usuwanie wszystkich par AK/SK, a punkt końcowy listy zwraca sekretne klucze w postaci jawnego tekstu.

W Dolibarr do wersji 23.0.3 (załatanym w commicie 14db36e) wykryto podatność na iniekcję SQL. Uwierzytelnieni użytkownicy API mogą wyodrębnić dowolne dane z bazy, podając złośliwe wartości w parametrze sqlfilters w endpointach REST API dla słowników i walut wielowalutowych.

JimuReport w wersji do 2.5.0 udostępnia endpoint POST /jmreport/auto/export bez wymaganego uwierzytelnienia. Adnotacja @JimuNoLoginRequired powoduje pominięcie wszystkich kontroli dostępu, a usługa eksportu strumieniuje raport dla dowolnego identyfikatora bez weryfikacji flagi konfiguracji automatycznego eksportu. Nieuwierzytelniony atakujący może enumerować identyfikatory raportów Snowflake i wyeksportować pełną zawartość dowolnego raportu, w tym dane z zapytań SQL oraz poświadczenia osadzone w źródłach danych.

SeaweedFS przed wersją 4.34 zawiera podatność na przechodzenie po ścieżkach w handlerze DeleteMultipleObjectsHandler bramy S3. Uwierzytelniony podmiot S3 z prawem zapisu do jednego bucketa może usunąć dowolne obiekty w innych bucketach, podając klucze obiektów z sekwencją ../ w żądaniu XML DeleteObjects.

Podatność w Woodpecker przed wersją 3.15.0 pozwala na obejście listy ApprovalAllowedUsers poprzez manipulację polem pipeline.Author. Dla integracji z GitLab, autor potoku jest pobierany z nazwy autora commita (commit.author.name) w webhooku, która jest kontrolowana przez atakującego i nie jest weryfikowana przez GitLab. Użytkownik otwierający merge request z forka może ustawić nazwę autora commita tak, aby pasowała do wpisu na liście ApprovalAllowedUsers, co powoduje, że needsApproval zwraca false i potok uruchamia się bez wymaganej zgody.

Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na wstrzyknięcie ścieżki (path traversal) podczas budowania ścieżki pliku propozycji. Atakujący może dostarczyć identyfikator propozycji zawierający sekwencje nawigacji po katalogach, co powoduje załadowanie kontrolowanego pliku JSON jako autorytatywnego mandatu handlowego.

Podatność DNS rebinding w Vibe-Trading przed wersją 0.1.10 umożliwia ominięcie uwierzytelniania bearer-token poprzez wykorzystanie zaufania serwera do adresów TCP dla klientów loopback oraz brak walidacji nagłówka Host przy wiązaniu do 0.0.0.0 z uwierzytelnionym CORS. Atakujący może stworzyć złośliwą stronę DNS rebinding, wysyłać uwierzytelnione żądania do lokalnego API, dotrzeć do endpointu wykonania powłoki z presetem bash i uzyskać zdalne wykonanie kodu jako użytkownik procesu API, a także nadpisać ustawienia LLM i źródła danych w celu kradzieży poświadczeń.

Podatność w DeepTutor przed wersją 1.4.10 umożliwia ominięcie autoryzacji, przez co użytkownicy z niskimi uprawnieniami mogą wywoływać nieograniczone narzędzia MCP. Funkcja allowed_mcp_tools zwraca None zamiast odmowy, gdy mcp_tools jest pominięte w konfiguracji użytkownika.

W OpenZiti do wersji 2.0.0 (poprawione w commicie 3027fdf) występuje podatność na eskalację uprawnień. Uwierzytelniony użytkownik niebędący administratorem, posiadający szczegółowe uprawnienia do zarządzania rejestracjami, może utworzyć token rejestracyjny dla dowolnej tożsamości, w tym domyślnego administratora, ponieważ funkcja ApplyCreate w controller/model/enrollment_manager.go sprawdza tylko istnienie docelowej tożsamości, bez autoryzacji wiążącej żądającego z tą tożsamością.

Podatność w bibliotece Microsoft.OpenApi (OpenAPI.NET SDK) pozwala na przerwanie działania procesu przez przepełnienie stosu podczas parsowania dokumentu OpenAPI z cyklicznym odwołaniem do schematu. Problem występuje w wersjach od 2.0.0-preview11 do 2.7.5 i 3.5.4, dotyczy zarówno czytników JSON, jak i YAML.

Podatność odbita XSS w ColdFusion w wersjach 2025.9, 2023.20 i wcześniejszych. Atakujący może wstrzyknąć złośliwy skrypt do strony, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wymagana jest interakcja ofiary (kliknięcie w link).