Katalog podatności CVE

W aplikacji WeGIA w wersjach przed 3.7.0 występuje podatność typu reflected XSS w pliku lista_arquivos_etapa.php. Parametr id_processo jest wstawiany bezpośrednio do HTML bez sanityzacji, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

W WeGIA w wersjach przed 3.7.0 zidentyfikowano podatność Stored Cross-Site Scripting (XSS) w endpoincie funcionario/profile_funcionario.php. Wstrzyknięcie złośliwego ładunku w polu 'Description' (Descrição) i zapisanie profilu powoduje trwałe przechowanie skryptu, który wykonuje się przy każdym dostępie do strony profilu.

W @workos/authkit-session przed wersją 0.5.1 występuje podatność na otwarte przekierowanie w AuthService.handleCallback z powodu niewystarczającej walidacji wartości returnPathname pochodzącej z parametru state OAuth. Parametr state jest przekazywany przez dostawcę tożsamości (IdP) i może być kontrolowany przez atakującego; funkcja handleCallback dekoduje i zwraca returnPathname bez ograniczeń dotyczących origin lub schematu, co może prowadzić do przekierowania użytkownika do zewnętrznej witryny kontrolowanej przez atakującego.

W VectifyAI PageIndex (do commita f50e52975313c6716c02b20a119577a1929decba) wykryto lukę w funkcji toc_transformer w pliku pageindex/page_index.py komponentu PDF Table of Contents Handler. Manipulacja prowadzi do nieskończonej pętli, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany w atakach; produkt działa w modelu rolling release, więc nie podano szczegółów wersji.

Podatność w narzędziu Summarize w wersjach do 0.14.1 (załatana w commicie 0cfb0fb) powoduje, że katalog konfiguracyjny demona oraz plik ~/.summarize/daemon.json są tworzone z domyślnymi uprawnieniami, które mogą być odczytywalne dla wszystkich użytkowników w systemach uniksowych. Lokalny atakujący może odczytać tokeny bearer i poświadczenia API przechowywane w tym pliku.

Biblioteka cowlib w wersjach od 2.6.0 do 2.16.1 zawiera lukę wstrzykiwania CRLF, która pozwala na dzielenie i wstrzykiwanie zdarzeń SSE poprzez niezwalidowane wartości pól. Atakujący może wstrzyknąć dodatkowe linie SSE i sfałszować zdarzenie z dowolnym typem i danymi.

W WeGIA przed wersją 3.7.0 skrypt atendido/familiar_docfamiliar.php wyświetla zbyt szczegółowy komunikat błędu zawierający informacje o bazie danych. Ta rozwlekłość prowadzi do ujawnienia informacji, co może pomóc atakującemu w mapowaniu infrastruktury backendu i rozszerzeniu powierzchni ataku. Luka została naprawiona w wersji 3.7.0.

Tookie to narzędzie OSINT do zbierania informacji. Przed wersją 4.1fix funkcje write_txt, write_csv, write_json oraz scan_file otwierają pliki wyjściowe ze ścieżką pochodzącą z nieoczyszczonego parametru -u lub pliku -U, co pozwala na zapis do dowolnej ścieżki z uprawnieniami użytkownika.

W Sonatype Nexus Repository w wersjach od 3.6.0 do przed 3.92.0 uwierzytelniony użytkownik z uprawnieniem do przesyłania plików do hostowanego repozytorium może zapisać treść powodującą wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika przeglądającego katalog repozytorium przez stronę indeksu HTML. Może to pozwolić atakującemu na wykonanie działań w kontekście sesji ofiary.

W dnsmasq występuje podatność ujawniania informacji, która pozwala zdalnym atakującym obejść sprawdzanie źródła za pomocą spreparowanego pakietu DNS z informacją o podsieci klienta zgodną z RFC 7871. Luka umożliwia obejście mechanizmów weryfikacji pochodzenia zapytań.

W dnsmasq stwierdzono podatność odczytu poza zakresem sterty w walidacji DNSSEC, która umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowany pakiet DNS.

jq to narzędzie do przetwarzania JSON w wierszu poleceń. W wersji 1.8.2rc1 i wcześniejszych, standardowy loader modułów rekurencyjnie ładował moduły bez wykrywania cykli, gdy dwa poprawne moduły wzajemnie się odwołują.

Przeglądarka Zen (oparta na Firefoksie) przed wersją 1.19.12b niepoprawnie skraca długie nazwy hostów na pasku adresu, pokazując jedynie kontrolowany przez atakującego prefiks subdomeny i ukrywając rzeczywistą domenę. Atakujący może tworzyć bardzo długie złośliwe subdomeny imitujące zaufane marki, co umożliwia phishing.

W wersjach 1.8.1 i wcześniejszych jq, procesor JSON w wierszu poleceń, występuje nieograniczona rekurencja w funkcji jv_object_merge_recursive(). Umożliwia to złośliwemu programowi jq spowodowanie awarii procesu z powodu błędu segmentacji.

W jq w wersji 1.8.1 i wcześniejszych ścieżki importu akceptują osadzone bajty NUL na poziomie języka jq, ale podczas wyszukiwania modułów i plików danych są one przetwarzane przez operacje na łańcuchach C. Powstaje rozbieżność między logicznym łańcuchem importu a rzeczywistą ścieżką otwieraną na dysku.

W jq w wersji 1.8.1 i wcześniejszych funkcja decNumberFromString przy literale liczbowym o długości INT_MAX-1 (2147483646) cyfr powoduje przepełnienie makra D2U() w arytmetyce ze znakiem. Zawinięta wartość ujemna omija sprawdzenie rozmiaru alokacji sterty i prowadzi do zapisu około 1,4 GiB danych kontrolowanych przez atakującego poza bufor stosu.

Bitwarden Server przed wersją v2026.4.1 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na zapisanie szyfrów do dowolnej organizacji poprzez żądanie POST /ciphers/import-organization z pustą tablicą collections, co powoduje pominięcie kontroli uprawnień po stronie serwera.

Inbox Zero to asystent AI do poczty e-mail. Przed wersją 2.29.3 endpoint strumienia e-maili cleaner używał współdzielonego nasłuchiwacza subskrypcji Redis, co mogło dostarczać zdarzenia wątków jednego uwierzytelnionego konta do innego konta korzystającego jednocześnie z funkcji cleaner.

W platformie Open edX sanitizer HTML clean_thread_html_body() używany do e-maili powiadomień o dyskusjach nie usuwa znaczników <style> z treści postów tworzonych przez użytkowników. Treść jest renderowana z filtrem |safe w szablonach e-maili, co pozwala każdemu zapisanemu studentowi wstrzyknąć dowolny CSS do powiadomień wysyłanych innym użytkownikom.

W wersjach kafka-sink-azure-kusto przed 5.2.3 wtyczka nie sanityzowała wartości kontrolowanych przez użytkownika w konfiguracji kusto.tables.topics.mapping. Pola db, table, mapping i format każdego wpisu mapowania były wstawiane bezpośrednio do poleceń zarządzania/zapytań KQL przez String.formatted(...), co pozwalało aktorowi mogącemu wpływać na konfigurację konektora na osadzanie metaznaków KQL (;, |, ') i wykonywanie dowolnych poleceń zarządzania w kontekście service principal konektora.