Katalog podatności CVE

W mailcow w wersjach przed 2026-03b brak weryfikacji uprawnień administratora przy usuwaniu Forwarding Hosts przez /api/v1/delete/fwdhost. Każdy uwierzytelniony użytkownik może wywołać ten API, co może poważnie zakłócić działanie usługi pocztowej.

Przetwarzanie złośliwego pliku czcionki może spowodować nadmierną alokację pamięci.

W Bludit CMS przed commitem 6732dde występuje odbita podatność cross-site scripting w wtyczce wyszukiwania, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScript poprzez spreparowane zapytanie wyszukiwania. Atakujący mogą wykonać złośliwe skrypty w przeglądarkach użytkowników odwiedzających spreparowane adresy URL zawierające ładunek, potencjalnie kradnąc ciasteczka sesji lub wykonując działania w imieniu dotkniętych użytkowników.

Podatność w Spring Security dotyczy aplikacji, które jawnie konfigurują logowanie One-Time Token z JdbcOneTimeTokenService. Występuje warunek wyścigu Time-of-check Time-of-use (TOCTOU), który może prowadzić do nieprawidłowego działania mechanizmu jednorazowych tokenów.

W aplikacji Next AI Draw.io przed wersją 0.4.15 wbudowany sidecar HTTP zawiera trzy handlery POST, które gromadzą całe ciało żądania w pamięci bez limitu rozmiaru. Wysłanie bardzo dużego żądania (np. 500 MiB) wyczerpuje stertę procesu i powoduje awarię serwera MCP z powodu błędu Out-of-Memory.

W ClearanceKit przed wersją 5.0.6 rozszerzenie systemowe opfilter można zawiesić sygnałem SIGSTOP lub zabić sygnałem SIGKILL/SIGTERM z dowolnego procesu uruchomionego jako root. Podczas zawieszenia zdarzenia AUTH Endpoint Security wygasają i domyślnie są dozwalane, co po cichu wyłącza egzekwowanie polityk dostępu do plików.

Home Assistant Command-line interface (hass-cli) to narzędzie wiersza poleceń dla Home Assistant. Do wersji 1.0.0 włącznie używano nieograniczonego środowiska do obsługi szablonów Jinja2 zamiast piaskownicy. Dane wejściowe użytkownika w szablonach Jinja2 były renderowane lokalnie bez ograniczeń, co dawało dostęp do wnętrza Pythona i rozszerzało zakres szablonów poza zamierzone użycie. Podatność naprawiono w wersji 1.0.0.

W blueprintUE przed wersją 4.2.0 zmiana hasła przez stronę edycji profilu lub zakończenie resetu hasła nie unieważnia istniejących uwierzytelnionych sesji użytkownika. Atakujący, który przejął sesję, zachowuje pełny dostęp do konta nawet po zmianie hasła, aż do naturalnego wygaśnięcia sesji.

Twenty to otwartoźródłowy system CRM. W wersjach przed 1.20.6 w komponencie edytora BlockNote występuje podatność Stored XSS — z powodu braku walidacji protokołu w komponencie FileBlock i niewystarczającej kontroli zawartości bloków po stronie serwera atakujący może wstrzyknąć URI javascript: do właściwości url bloku pliku, co pozwala na wykonanie dowolnego JavaScriptu po kliknięciu załącznika.

October to system CMS i platforma webowa. Przed wersjami 3.7.14 i 4.1.10 zidentyfikowano podatność w polityce bezpieczeństwa sandboxa Twig, która pozwalała na operacje zapisu do bazy danych przy włączonym cms.safe_mode. Użytkownicy backendu z uprawnieniami Developer mogli użyć znaczników szablonu Twig do wykonania operacji insert, update i delete na dowolnej tabeli bazy danych poprzez query builder znajdujący się na liście dozwolonych sandboxa. Podatność naprawiono w wersjach 3.7.14 i 4.1.10.

October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność polegającą na ujawnieniu informacji po stronie serwera podczas obsługi plików preprocesorów CSS. Użytkownicy backendu z uprawnieniami Editor mogą tworzyć pliki .less, .sass lub .scss wykorzystujące funkcję importu kompilatora do odczytu dowolnych plików z serwera, nawet przy włączonym cms.safe_mode. Podatność naprawiono w wersjach 3.7.14 i 4.1.10.

Podatność w Tekton Pipelines w wersjach od 0.43.0 do przed 1.0.2, 1.3.4, 1.6.2, 1.9.3 i 1.11.1. Weryfikacja zaufanych zasobów używa regexp.MatchString, które dopasowuje wzorzec w dowolnym miejscu ciągu, więc niezabezpieczone wzorce można obejść za pomocą ciągów źródłowych zawierających zaufany wzorzec jako podciąg, co może zmienić tryb weryfikacji lub klucze.

NVIDIA KAI Scheduler zawiera lukę umożliwiającą atakującemu obejście autoryzacji poprzez odwołania do podów w innych przestrzeniach nazw (cross-namespace). Udana eksploatacja może prowadzić do manipulacji danymi.

PHP Point of Sale w wersji 19.4 zawiera podatność na wstrzyknięcie HTML. Atakujący może wyświetlić dowolny kod HTML w przeglądarce ofiary poprzez wysłanie żądania do '/reports/generate/specific_customer' z parametrami 'start_date_formatted' i 'end_date_formatted' z powodu braku odpowiedniej walidacji danych wejściowych.

Aplikacja AD Self Update firmy Dovestones Software w wersjach przed 4.0.0.5 jest podatna na Cross-Site Request Forgery (CSRF). Podatny endpoint przetwarza żądania zmieniające stan bez wymagania tokenu CSRF lub równoważnej ochrony. Akceptuje żądania application/x-www-form-urlencoded, a pierwotnie żądanie POST można przekształcić w GET, które nadal skutecznie aktualizuje dane użytkownika. Pozwala to atakującemu na spreparowanie złośliwego żądania, które po odwiedzeniu przez uwierzytelnionego użytkownika może zmodyfikować informacje o koncie bez jego zgody.

W aplikacji ADPhonebook firmy Dovestones Software w wersjach przed 4.0.1.1 występuje podatność typu reflected XSS w parametrze wyszukiwania endpointu /ADPhonebook?Department=HR. Dane wejściowe użytkownika są odzwierciedlane w odpowiedzi HTTP bez walidacji i kodowania wyjścia, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Nagłówek HTTP kontrolowany przez użytkownika w Fortra GoAnywhere MFT przed wersją 7.10.0 pozwala atakującym wywołać zapytanie DNS, a także DNS Rebinding i ujawnienie informacji.

W Fortra GoAnywhere MFT przed wersją 7.10.0 możliwa jest iniekcja HTML w generowanych przez system wiadomościach e-mail. Tytuł, szczegóły i opis tego CVE zostały poprawione po publikacji.

Fortra GoAnywhere MFT w wersjach przed 7.10.0 zawiera błąd niewłaściwego limitu czasu sesji. Powoduje to przekierowywanie użytkowników sieciowych skonfigurowanych z SAML na zwykłą stronę logowania zamiast strony logowania SAML.

HCL BigFix Service Management (SM) Discovery jest podatny na brak wymuszonego szyfrowania, ponieważ port 80 (HTTP) jest otwarty, co umożliwia niezaszyfrowany dostęp. Atakujący mający dostęp do ruchu sieciowego może przechwycić pakiety i odkryć dane.