Katalog podatności CVE

Podatność w luci-proto-openvpn do wersji 0.11.1 (załatana w commicie e4ff45e) pozwala na wstrzyknięcie poleceń powłoki w metodzie generateKey ubus. Parametr cl_meta jest interpolowany do polecenia powłoki bez odpowiedniego escapowania, co umożliwia uwierzytelnionemu użytkownikowi LuCI z dostępem do konfiguracji OpenVPN wykonanie dowolnych poleceń jako root przez funkcję popen.

Podatność w luci-app-tailscale-commonspolega na nieprawidłowym cytowaniu parametrów loginserver i loginserver_authkey w metodzie RPC tailscale.do_login, co umożliwia uwierzytelnionym użytkownikom wstrzyknięcie dowolnych poleceń powłoki wykonywanych z uprawnieniami roota.

Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).

Podatność w ruoyi-vue-pro do wersji 2026.05 (załatana w commicie 5d1fd70) polega na błędnym egzekwowaniu przestrzeni nazw uprawnień w kontrolerze ErpSaleOrderController. Atakujący z uprawnieniami erp:sale-out mogą uzyskać nieautoryzowany dostęp do operacji na zamówieniach sprzedaży, wykonując nieuprawnione tworzenie, aktualizację, usuwanie i odczyt wrażliwych finansowo zamówień.

Podatność SSRF w Pinpoint do wersji 3.1.0 włącznie, występująca w punkcie końcowym rejestracji webhooka, pozwala uwierzytelnionym użytkownikom na rejestrację wewnętrznych adresów URL z powodu braku ochrony przed fałszowaniem żądań po stronie serwera. Atakujący mogą wywołać przekroczenie progów alarmowych, zmuszając serwer do wysyłania żądań POST do wewnętrznych hostów i punktów końcowych metadanych, co umożliwia nieautoryzowany dostęp do wewnętrznych zasobów sieciowych.

Podatność w Modoboa przed wersją 2.9.0 w punkcie końcowym PUT /api/v1/accounts/{pk}/password/ umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Administratorzy domen mogą zmienić hasło dowolnego użytkownika, w tym superadministratora, co prowadzi do pełnego przejęcia konta.

Podatność w Nitter pozwala nieuwierzytelnionym atakującym na wykorzystanie punktu końcowego proxy mediów /video do wysyłania żądań HTTP do dowolnych hostów, w tym wewnętrznych zasobów sieciowych i usług metadanych w chmurze. Problem wynika z braku walidacji docelowych adresów URL względem domen Twitter/X oraz użycia zakodowanego na stałe domyślnego klucza HMAC.

Podatność Directory Traversal w systemie Gigamon GVOS w wersji 5.16.1 i niższych, występująca w podsystemie H-VUE, umożliwia nieautoryzowany dostęp do plików poza katalogiem głównym aplikacji.

W komponencie EtherNet IP Message Handler biblioteki CIPster (wersje do e8e9dba09bf56962807d3504b783ccdb6287f3e4) wykryto podatność polegającą na zapisie poza dozwolonym obszarem pamięci w funkcji BufWriter::append. Atak zdalny jest możliwy, a exploit został opublikowany.

Podatność w bibliotece libtiff. Zdalny atakujący może dostarczyć specjalnie spreparowany obraz TIFF skompresowany kodekiem PixarLog. Problem występuje podczas dekodowania obrazów z formatem wyjściowym PIXARLOGDATAFMT_8BITABGR i określoną wartością stride, prowadząc do przepełnienia bufora na stercie. Może to skutkować wykonaniem dowolnego kodu lub odmową usługi (DoS).

W Rancher w wersjach 2.14 przed 2.14.2, 2.13 przed 2.13.6 oraz 2.12 przed 2.12.10 użytkownicy z rolą Project Owner mogą wykorzystać nieprawidłowe zarządzanie uprawnieniami do eskalacji swoich przywilejów.

Podatność w Snowflake CLI przed wersją 3.19 umożliwia zdalne wykonanie kodu poprzez nieprawidłową neutralizację w szablonie wywołania zwrotnego procesora adnotacji Snowpark. Atakujący może dostarczyć spreparowaną zawartość projektu, która jest interpolowana do wygenerowanego kodu Python, co prowadzi do wykonania kodu w kontekście lokalnym użytkownika uruchamiającego CLI.

Podatność w Snowflake CLI przed wersją 3.19 umożliwiała wykonanie niezamierzonego SQL przez dostarczenie spreparowanego repozytorium, konfiguracji projektu, danych manifestu lub specyfikacji. Atakujący może wykorzystać tę lukę, aby wykonać dowolne zapytania SQL w kontekście sesji ofiary.

W urządzeniu Edimax EW-7478APC w wersji 1.04 odkryto podatność na przepełnienie bufora w funkcji formUSBFolder pliku /goform/formUSBFolder. Manipulacja argumentami ShareName/SelectName w żądaniu POST może prowadzić do przepełnienia bufora, co umożliwia zdalny atak. Exploit został ujawniony publicznie i może być wykorzystany.

W urządzeniu Edimax EW-7478APC w wersji 1.04 wykryto podatność na przepełnienie bufora w funkcji formUSBAccount pliku /goform/formUSBAccount. Atakujący może zdalnie manipulować argumentami UserName/Password, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.

W urządzeniu Edimax EW-7478APC w wersji 1.04 wykryto podatność na przepełnienie bufora w funkcji formQoS pliku /goform/formQoS. Atakujący może zdalnie manipulować argumentem selSSID, co prowadzi do przepełnienia bufora. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka ARForms w wersji 7.1.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Wtyczka Landing Page Builder w wersji 1.5.3.5 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Jobify w wersji 4.3.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Wtyczka Link Whisper Free w wersji 0.9.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.