Katalog podatności CVE

Vvveb przed wersją 1.0.8.2 zawiera nieuwierzytelnioną, odbitą podatność na atak XSS w mechanizmie podglądu edytora wizualnego. Atakujący może wykorzystać parametr 'r' oraz parametr POST '_component_ajax', aby wstrzyknąć i wykonać dowolny kod JavaScript w kontekście domeny Vvveb.

Vvveb przed wersją 1.0.8.2 zawiera podatność ujawnienia informacji w kontrolerze cron, która pozwala nieuwierzytelnionym atakującym na pobranie tajnego klucza cron aplikacji. Atakujący mogą uzyskać dostęp do kontrolera cron bez uwierzytelnienia i odczytać ujawniony tajny klucz z odpowiedzi, co umożliwia im wyzwalanie zaplanowanych zadań poza zamierzonym harmonogramem.

W OpenStack Cyborg przed wersją 16.0.1 API Accelerator Request (ARQ) nie wymusza własności projektu na żadnej warstwie. Kolumna project_id w bazie danych nigdy nie jest wypełniana (NULL dla każdego ARQ), zapytania do bazy nie filtrują po projekcie, a kontrole polityk są autoreferencyjne (dekorator authorize_wsgi porównuje project_id wywołującego z samym sobą, a nie z zasobem docelowym).

W CodeAstro Online Classroom 1.0 wykryto lukę w zabezpieczeniach w pliku /askquery.php. Manipulacja argumentem squeryx prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.

i18nextify to biblioteka JavaScript, która umożliwia internacjonalizację stron internetowych bez zmian w kodzie źródłowym. W wersjach przed 4.0.8, tokeny interpolacji {{key}} w atrybutach src i href są zastępowane surowym ciągiem zwracanym przez i18next.t(), co może prowadzić do wstrzyknięcia niebezpiecznych wartości, takich jak javascript:alert(1).

i18nextify to biblioteka JavaScript, która umożliwia internacjonalizację stron internetowych bez zmian w kodzie źródłowym. W wersjach przed 3.0.5 wartości lng i ns są interpolowane bez odpowiedniego kodowania, walidacji lub sanitizacji, co pozwala na wstrzykiwanie złośliwych danych przez użytkowników.

VINCE w wersjach 3.0.38 i wcześniejszych nie weryfikuje poprawnie autentyczności adresu nadawcy z powodu pomylenia kodowania i używa adresu nadawcy do automatycznych akcji, takich jak tworzenie lub aktualizacja zgłoszeń.

W OSGeo gdal do wersji 3.13.0dev-4 wykryto podatność w funkcji GDnentries w pliku frmts/hdf4/hdf-eos/GDapi.c. Manipulacja argumentem DataFieldName prowadzi do przepełnienia bufora na stercie, a atak wymaga lokalnego dostępu.

manage.get.gov to rejestrator TLD .gov zarządzany przez CISA, który pozwala administratorowi organizacji przypisywać uprawnienia zarządzania domeną dla domen, które nie są już przypisane do innej organizacji.

W bibliotece ParquetSharp (od wersji 18.1.0 do przed 23.0.0.1) funkcja DecimalConverter.ReadDecimal wykonuje stackalloc z wartością potencjalnie kontrolowaną przez atakującego. Deklaracja kolumny dziesiętnej o nierealistycznej szerokości może doprowadzić do przepełnienia stosu. W środowisku usługowym może to spowodować niedostępność usługi.

Biblioteka PJSIP w wersjach przed 2.17, w kompilacjach z GnuTLS, może akceptować połączenia transportu SIP TLS (sip_transport_tls) z nieprawidłowymi lub niezaufanymi certyfikatami. Dzieje się tak nawet gdy aplikacja jawnie włącza weryfikację certyfikatów przez verify_server = PJ_TRUE lub verify_client = PJ_TRUE.

Jeśli zaufany autor szablonu napisze tag <script> z pustym atrybutem 'type' lub atrybutem 'type' zawierającym biały znak ASCII, wykonanie szablonu nieprawidłowo escapuje dane przekazane do bloku <script>. Może to prowadzić do wykonania niezamierzonego kodu JavaScript.

ReverseProxy w Go może przekazywać zapytania zawierające parametry niewidoczne dla funkcji Rewrite. Nie uwzględnia limitu liczby parametrów zapytania narzuconego przez url.ParseQuery (GODEBUG=urlmaxqueryparams=N), co pozwala na przekazanie ukrytego parametru, np. hidden=y, niewidocznego dla funkcji Rewrite.

Podatność naprawiona w CVE-2026-27142 dotyczyła nieprawidłowego escapowania adresów URL w atrybucie <content> znacznika <meta>. Jeśli zawartość URL zawierała białe znaki ASCII wokół znaku '=', escaper nie radził sobie z ich escapowaniem, co prowadziło do XSS.

W OSGeo GDAL do wersji 3.13.0dev-4 zidentyfikowano podatność w funkcji SWnentries pliku frmts/hdf4/hdf-eos/SWapi.c. Manipulacja argumentem DimensionName prowadzi do przepełnienia bufora na stercie. Atak musi być przeprowadzony lokalnie, a exploit jest publicznie dostępny.

W CLIProxyAPI 6.9.29 (router-for-me) wykryto podatność w pliku internal/api/handlers/management/api_tools.go w interfejsie API. Manipulacja argumentem url prowadzi do podatności server-side request forgery (SSRF), którą można wykorzystać zdalnie; exploit jest publicznie dostępny.

W systemie PHPGurukal Hospital Management System v4.0 wykryto podatność na atak XSS (Cross-Site Scripting) w pliku /hospital/hms/edit-profile.php. Uwierzytelniony atakujący (pacjent) może wstrzyknąć złośliwy skrypt do parametru User Name, który jest przechowywany i wyświetlany w interfejsie lekarza.

W systemie CODEASTRO Membership Management System v1.0 wykryto podatność zdalnego wykonania kodu (RCE) w pliku /add_members.php. Luka wynika z nieprawidłowej sanityzacji przesyłanych plików, co umożliwia atakującemu wstrzyknięcie złośliwych plików i zdalne wykonanie kodu.

Medtronic MyCareLink Patient Monitor używa poświadczeń dla poszczególnych produktów, które są przechowywane w formacie umożliwiającym ich odzyskanie. Atakujący może użyć tych poświadczeń do modyfikacji zaszyfrowanych danych na dysku.

Medtronic MyCareLink Patient Monitor posiada wewnętrzny interfejs szeregowy, który umożliwia atakującemu z fizycznym dostępem uzyskanie monitu logowania przez terminal UART. Podatność wymaga fizycznego dostępu do urządzenia.