Katalog podatności CVE

Wikidforum 2.20 zawiera podatność na XSS, która pozwala uwierzytelnionym atakującym wstrzykiwać złośliwe skrypty poprzez parametr reply_text w endpointcie rpc.php. Skrypty wykonują się w przeglądarkach innych użytkowników podczas przeglądania odpowiedzi na forum.

Mermaid, narzędzie JavaScript do tworzenia diagramów, zawiera podatność na wstrzykiwanie CSS w domyślnej konfiguracji przed wersjami 10.9.6 i 11.15.0. Poprzez opcje fontFamily, themeCSS i altFontFamily można wstrzyknąć CSS, który omija automatyczne zakreskowanie #mermaid-xxx, umożliwiając modyfikację wyglądu strony i eksfiltrację atrybutów DOM za pomocą selektorów :has().

Mermaid przed wersjami 10.9.6 i 11.15.0 jest podatny na atak odmowy usługi podczas renderowania wykresów Gantta, jeśli użyto atrybutu excludes do wykluczenia wszystkich dat.

W motocyklu Indian Motorcycle Scout Bobber + Tech model 2025, nieprawidłowe obsługiwanie warunków fizycznych w sterowaniu wyłączaniem silnika pozwala fizycznemu atakującemu z dostępem do wiązki przewodów modułu WCM na ominięcie zabezpieczenia antykradzieżowego. Odbiorczy ECU nie rozróżnia aktywnego impulsu wyłączenia od stanu otwartego obwodu; przerwanie odpowiednich przewodów pozostawia motocykl w pełni sprawnym, nawet jeśli WCM nie zweryfikował kodu PIN.

W motocyklu Indian Motorcycle Scout Bobber + Tech (model 2025) występuje naruszenie oczekiwanego zachowania w sieci wewnątrz pojazdu. Atakujący z dostępem do sieci sąsiedniej może ominąć zabezpieczenie antykradzieżowe, zmuszając moduł Wireless Control Module (WCM) do stanu CAN bus-off. Poprzez wstrzyknięcie ramek błędów CAN, atakujący powoduje, że WCM przestaje wysyłać wszystkie komunikaty, w tym komendę wyłączenia silnika. Inne ECU nie interpretują ciszy WCM jako zdarzenia bezpieczeństwa i kontynuują normalną pracę, umożliwiając uruchomienie motocykla bez odblokowania immobilizera.

W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.

WWBN AVideo w wersji 29.0 i wcześniejszych przechowuje opisy kategorii pochodzące od użytkownika i renderuje je jako surowy HTML w widoku Galerii. Użytkownik z możliwością tworzenia lub edycji kategorii może przechowywać JavaScript w opisie kategorii, który wykonuje się podczas przeglądania strony kategorii przez innego użytkownika. Jest to podatność na atak XSS (stored) w polu opisu kategorii.

WWBN AVideo to otwarta platforma wideo. W wersji 29.0 i wcześniejszych, nieuwierzytelniony zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć – w tym prywatne zdjęcia profilowe, miniatury przesłane przez administratora, ramki plakatów zaszyfrowanych filmów oraz treści graficzne z katalogów aplikacji podrzędnych dostępne poprzez nawigację .. . Endpoint nie wymaga uwierzytelnienia.

W platformie WWBN AVideo (wersje 29.0 i wcześniejsze) skrypt view/update.php odczytuje parametr $_POST['updateFile'] jako względną ścieżkę w katalogu updatedb/ i przekazuje go do funkcji PHP file() w celu wykonania linia po linii jako część migracji bazy danych. Uwierzytelniony administrator może to wykorzystać do odczytu dowolnych plików tekstowych dostępnych z procesu serwera WWW.

W WWBN AVideo w wersji 29.0 i wcześniejszych, plik objects/mention.json.php nie ma sprawdzania uwierzytelnienia ani bramy administracyjnej. Posiada jedynie prostą kontrolę wejścia: preg_match('/^@/', $_REQUEST['term']) i zakodowaną na stałe wartość rowCount=10. Umożliwia to nieuwierzytelnionemu atakującemu enumerację użytkowników.

WWBN AVideo w wersji 29.0 i wcześniejszych nie używa parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do przypinania DNS przez CURLOPT_RESOLVE w plikach EpgParser.php, plugin/AI/receiveAsync.json.php i innych. Otwiera to lukę DNS-rebinding TOCTOU.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w przełączniku uwierzytelniania dwuskładnikowego (2FA). Atakujący może wykorzystać ukryty formularz lub żądanie fetch bez poświadczeń, aby wyłączyć 2FA ofiary za pomocą jednego żądania POST.

W n8n-MCP przed wersją 2.51.3, sanitizer telemetrii przepływów pracy mógł zachowywać fragmenty parametrów węzłów w kształcie URL, takich jak identyfikatory klientów czy sekrety w zapytaniach, przed wysłaniem danych do anonimowego backendu telemetrii. Problem został naprawiony w wersji 2.51.3.

WWBN AVideo w wersji 29.0 i wcześniejszych zawiera podatność na trwałe cross-site scripting (XSS) we wtyczce Live. Widok w stylu YouTube wyświetla klucz strumienia na żywo w atrybucie klasy HTML przez surowe echo, bez użycia htmlspecialchars(). Użytkownik z uprawnieniami canStream może utrwalić klucz zawierający " i procedurę obsługi zdarzeń przez plugin/Live/saveLive.php, a każdy odwiedzający stronę strumienia wykonuje JavaScript atakującego w kontekście platformy.

W produkcie DreamMaker firmy Interinfo wykryto podatność Path Traversal, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt nazw plików w dowolnej ścieżce poprzez wykorzystanie Absolute Path Traversal.

DreamMaker od Interinfo ma lukę Arbitrary File Read, umożliwiającą uprzywilejowanym lokalnym atakującym wykorzystanie Relative Path Traversal do pobrania dowolnych plików systemowych.

W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność na iniekcję poleceń w funkcji formWPS pliku /goform/formWPS. Manipulacja argumentem peerPin umożliwia zdalne wykonanie dowolnych poleceń. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.

W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 odkryto podatność umożliwiającą zdalne wykonanie kodu. Problem występuje w funkcji formSetRoute w pliku /goform/formSetRoute, gdzie parametry ip, mask i gateway są podatne na wstrzyknięcie komend. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.

W module Wireless Control Module (WCM) motocykla Indian Motorcycle Scout Bobber + Tech 2025 występuje niekontrolowane zużycie zasobów. Atakujący z sieci lokalnej może trwale unieruchomić motocykl poprzez wysłanie kilku spreparowanych ramek, które wywołują blokadę immobilizera bez resetu po wyłączeniu zasilania.

Słabe uwierzytelnianie między modułem sterowania bezprzewodowego (WCM) a modułem sterowania silnikiem (ECM) w motocyklu Indian Motorcycle Scout Bobber + Tech 2025 pozwala atakującemu w sąsiedniej sieci na odzyskanie tajnego klucza immobilizera ECM poprzez pasywne przechwycenie pojedynczej wymiany seed/key. Atakujący może następnie uruchomić silnik bez oryginalnego kluczyka.