Katalog podatności CVE

Vaultwarden to serwer kompatybilny z Bitwarden napisany w Rust. W wersjach przed 1.35.5 tokeny odświeżania nie są unieważniane, gdy security_stamp użytkownika jest rotowany przez niektóre operacje istotne dla bezpieczeństwa (zmiana hasła, zmiana KDF, rotacja kluczy, zmiana e-mail, reset hasła przez administratora organizacji, przejęcie dostępu awaryjnego). Pozwala to atakującemu posiadającemu wcześniej uzyskany token odświeżania na utrzymanie dostępu do sesji nawet po podjęciu przez użytkownika działań zabezpieczających konto. Podatność została naprawiona w wersji 1.35.5.

Wireshark MCP to serwer MCP przekształcający tshark w ustrukturyzowany interfejs analityczny. W wersji 1.1.5 i wcześniejszych narzędzie wireshark_export_objects przyjmuje kontrolowany przez atakującego parametr dest_dir i przekazuje go do flagi --export-objects programu tshark bez obowiązkowego ograniczenia ścieżki. Piaskownica ścieżek (_allowed_dirs) jest domyślnie wyłączona (None) i aktywuje się tylko po jawnym ustawieniu zmiennej środowiskowej WIRESHARK_MCP_ALLOWED_DIRS, więc w domyślnej instalacji dowolny katalog w systemie plików może być celem eksportu.

W frameworku Fiber dla języka Go przed wersjami 2.52.12 i 3.1.0 występuje podatność Cross-Site Scripting. Zdalny atakujący może wstrzyknąć dowolny HTML/JavaScript, dostarczając nagłówek Accept: text/html w żądaniu, którego handler przekazuje dane pod wpływem atakującego do funkcji AutoFormat(). Podatność naprawiono w wersjach 2.52.12 i 3.1.0.

Podatność w systemie barebox przed wersją 2026.04.0 umożliwia atak DoS poprzez specjalnie spreparowany obraz systemu plików ext4. Funkcja ext4fs_iterate_dir() nie sprawdza, czy długość wpisu katalogu jest różna od zera, co może prowadzić do nieskończonej pętli podczas wyświetlania katalogów lub rozwiązywania ścieżek.

W urządzeniu D-Link DIR-816 w wersji 1.10CNB05_R1B011D88210 zidentyfikowano słabość w funkcji sub_445E7C pliku /goform/formDMZ.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń, a atak można zainicjować zdalnie. Exploit został publicznie udostępniony i może być wykorzystany w atakach.

Biblioteka HTTP::Tiny w wersjach przed 0.093 dla Perla nie waliduje znaków CRLF w linii żądania HTTP ani w wartościach nagłówków pól kontrolnych. Niezwalidowane dane wejściowe obejmują metodę i URI w linii żądania, host URL trafiający do nagłówka Host oraz wartości pól kontrolnych HTTP/1.1. Atakujący kontrolujący jedno z tych wejść, np. URL podany przez użytkownika przekazywany do webhooka lub endpointu pobierania URL, może wstrzyknąć dodatkowe nagłówki i przemycić żądania do serwera nadrzędnego.

W AVideo w wersjach do 29.0 włącznie punkt końcowy plugin/PayPalYPT/agreementCancel.json.php anuluje umowę rozliczeniową PayPal na podstawie parametru agreement dostarczonego przez atakującego, bez weryfikacji, czy uwierzytelniony użytkownik jest właścicielem tej umowy. Użytkownik z niskimi uprawnieniami może zawiesić subskrypcję innego użytkownika.

W WWBN AVideo w wersjach do 29.0 włącznie nieuwierzytelniony endpoint plugin/Scheduler/downloadICS.php przekazuje kontrolowane przez atakującego parametry title, description i joinURL do Scheduler::downloadICS(), który buduje plik kalendarza ICS. ICS::escape_string() escapuje tylko przecinki i średniki i nie neutralizuje CR/LF, więc bajty CRLF w wartości właściwości pozwalają wstrzyknąć dowolne linie ICS, w tym pary END:VEVENT / BEGIN:VEVENT dodające całe zdarzenia kalendarza. Ponieważ złośliwy plik .ics jest serwowany z zaufanego origin AVideo, umożliwia to wiarygodny phishing kalendarzowy.

W AVideo w wersjach do 29.0 włącznie endpoint objects/users.json.php udostępnia dwa nieuwierzytelnione ścieżki, które ujawniają pełną listę zarejestrowanych kont użytkowników. Parametr isCompany pozwala obejść zabezpieczenie admin-only w User::getAllUsers()/User::getTotalUsers(), a druga ścieżka przyjmuje users_id i wywołuje User::getUserFromID() bez sprawdzenia uprawnień. Obie ścieżki zwracają identyfikatory, nazwy wyświetlane, adresy kanałów, zdjęcia, tła, statusy oraz łączną liczbę kont.

WWBN AVideo to otwarta platforma wideo. W wersjach do 29.0 włącznie plik objects/sendEmail.json.php udostępnia dwie ścieżki w zależności od tego, czy przesłano contactForm=1. Gdy parametr jest pominięty, endpoint ustawia $sendTo na adres e-mail dostarczony przez atakującego, a dla nieuwierzytelnionych wywołań używa własnego adresu kontaktowego witryny jako From:/Reply-To:. Endpoint jest jawnie wpisany na listę dozwolonych jako "public write action" w objects/functionsSecurity.php (linia 885), więc nie wymaga uwierzytelnienia ani tokenu CSRF. Nieuwierzytelniony atakujący (po rozwiązaniu captchy) może wymusić na infrastrukturze SMTP witryny wysłanie skomponowanych przez siebie wiadomości do dowolnych odbiorców z legalnym adresem nadawcy witryny, przechodząc przez SPF/DKIM/DMARC dla domeny witryny — idealne do ukierunkowanego phishingu i podszywania się pod markę. Commit 4e3709895857a5857f0edb46b0ee984de0d9e1a2 zawiera zaktualizowaną poprawkę.

W AVideo w wersjach do 29.0 włącznie uwierzytelniony użytkownik może skonfigurować własny URL webhooka powiadomień o darowiznach, wskazując na wewnętrzne/loopback/metadata hosty. Gdy inny użytkownik dokona darowizny, serwer AVideo wykonuje żądanie curl POST na podany URL, co prowadzi do blind SSRF. Handler używa tylko isValidURL() i nie wywołuje isSSRFSafeURL(), a CURLOPT_FOLLOWLOCATION jest włączone bez ponownej walidacji.

WWBN AVideo to otwarta platforma wideo. W wersjach do 29.0 włącznie plik plugin/Meet/iframe.php wypisuje kontrolowane przez atakującego parametry zapytania user i pass bez escapowania do literału łańcuchowego w podwójnych cudzysłowach JavaScript wewnątrz bloku <script>. Atakujący, który wyśle ofiarę na spreparowany URL, może wyłamać się z łańcucha i wykonać dowolny JavaScript w przeglądarce ofiary w kontekście originu AVideo. Uwierzytelnienie nie jest wymagane, jeśli w celu istnieje publiczny harmonogram Meet. Commit 3298ced2bcf92e4f3acff6ce9bde14edf42ecb5b zawiera zaktualizowaną poprawkę.

W AVideo do wersji 29.0 włącznie endpoint objects/userSavePhoto.php przyjmuje parametr base64 i zapisuje zdekodowane bajty do pliku zdjęcia profilowego, mając jedynie kontrolę dostępu User::isLogged(). Brak tokenu CSRF, weryfikacji Origin/Referer i walidacji MIME, a domyślna polityka ciasteczek SameSite=None; Secure umożliwia atakującemu nadpisanie zdjęcia profilowego zalogowanego użytkownika i wywołanie clearCache(true).

Platforma AVideo w wersjach do 29.0 włącznie przekazuje surowy parametr POST 'message' do funkcji sendSiteEmail(), która wstawia go bezpośrednio do szablonu HTML e-maila bez sanityzacji ani kodowania znaków. Uwierzytelniony użytkownik z uprawnieniem do przesyłania może rozsyłać dowolny HTML (linki phishingowe, piksele śledzące, podszywanie się pod interfejs) do wszystkich subskrybentów kanału, do 10 000 odbiorców na wywołanie.

W AVideo w wersjach do 29.0 włącznie wtyczka MobileManager/oauth2.php kończy logowanie OAuth, przekierowując na adres zawierający hash hasła ofiary w parametrze URL. Ponieważ endpoint logowania akceptuje flagę encodedPass=1 omijającą hashowanie, każdy kto przechwyci ten adres (np. z logów serwera, nagłówka Referer lub historii przeglądarki) uzyskuje dane równoważne hasłu w postaci jawnej i może przejąć konto, w tym konta administratorów.

Podatność w bibliotece barebox przed wersją 2026.04.0 umożliwia odczyt poza dozwolonym zakresem pamięci podczas parsowania systemu plików ext4. Brak walidacji pola eh_entries w stosunku do pojemności bufora w pliku fs/ext4/ext4_common.c pozwala atakującym na dostarczenie złośliwego obrazu ext4 przez USB, kartę SD lub rozruch sieciowy.

W bibliotece barebox przed wersją 2026.04.0 wykryto podatność na odczyt poza dozwolonym zakresem w funkcji dhcp_message_type() podczas parsowania opcji DHCP. Brak weryfikacji, czy wskaźnik opcji pozostaje w granicach odebranego pakietu, umożliwia atakującemu w tej samej domenie rozgłoszeniowej wysłanie spreparowanego pakietu DHCP Offer lub ACK bez znacznika końca 0xff, co może doprowadzić do odczytu poza danymi pakietu i potencjalnie do awarii systemu.

Problem zapisu poza granicami bufora został naprawiony poprzez poprawione sprawdzanie granic. Podatność występuje w iOS 18.7.9 i iPadOS 18.7.9, iOS 26.5 i iPadOS 26.5, macOS Sequoia 15.7.7, macOS Sonoma 14.8.7, macOS Tahoe 26.5, tvOS 26.5, visionOS 26.5 oraz watchOS 26.5. Atakujący w sieci lokalnej może wywołać odmowę usługi.

Warunek wyścigu został naprawiony poprzez dodatkową walidację. Problem dotyczy iOS, iPadOS, macOS, visionOS i może pozwolić aplikacji na dostęp do poufnych danych użytkownika.

Poprawiono obsługę pamięci w iOS, iPadOS, macOS i tvOS. Atakujący w lokalnej sieci może spowodować odmowę usługi (DoS).