Katalog podatności CVE

W module Dataflow OpenMage LTS (Magento LTS) przed wersją 20.17.0 stosowany jest słaby filtr czarnej listy (`str_replace('../', '', $input)`) chroniący przed path traversal. Filtr można obejść wzorcami takimi jak `..././` lub `....//`, które po zamianie nadal dają `../`. Uwierzytelniony administrator może odczytać dowolne pliki z systemu plików serwera.

Dell PowerProtect Data Domain w wersjach od 8.5 do 8.6 zawiera podatność na wstrzyknięcie poleceń. Wysoko uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do wykonania dowolnych poleceń z uprawnieniami roota.

W Buffalo Link Station w wersji 1.85-0.01 istnieje podatność pozwalająca nieuwierzytelnionym lub gościnnym użytkownikom na wyliczenie prawidłowych nazw użytkowników i przypisanych im ról uprawnień. Problem jest wywoływany przez modyfikację parametru w żądaniach wysyłanych do endpointu /nasapi.

W Pagekit CMS do wersji 1.0.18 zidentyfikowano słabość w funkcji evaluate pliku app/modules/view/src/PhpEngine.php (komponent StringStorage Template Handler). Manipulacja powoduje niewłaściwą neutralizację dyrektyw w dynamicznie ewaluowanym kodzie, co umożliwia zdalne wykorzystanie; exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W bibliotece Junrar przed wersją 7.5.10 wykryto podatność na path traversal w klasie `LocalFolderExtractor`. Umożliwia ona atakującemu zapis dowolnych plików o kontrolowanej treści do katalogów sąsiednich podczas wypakowywania spreparowanego archiwum RAR.

W OpenProject przed wersją 17.3.0 użytkownik z uprawnieniem manage_agendas w dowolnym projekcie może wstrzykiwać punkty agendy do spotkań w innych projektach, nawet tych, do których nie ma dostępu. Atakujący może losowo dodawać elementy do wszystkich spotkań, iterując sekwencyjne identyfikatory sekcji.

pip traktuje połączone pliki tar i ZIP jako pliki ZIP niezależnie od nazwy pliku lub tego, czy plik jest jednocześnie tar i ZIP. Może to powodować mylące zachowanie instalacji, np. instalację 'nieprawidłowych' plików zgodnie z nazwą archiwum. Nowe zachowanie kontynuuje instalację tylko jeśli plik jednoznacznie identyfikuje się jako ZIP lub tar, a nie jako oba.

Vvveb przed wersją 1.0.8.1 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami do przesyłania i zmiany nazw plików ominięcie walidacji typu MIME poprzez dodanie nagłówka GIF89a do ładunku HTML/JavaScript, a następnie zmianę nazwy pliku na rozszerzenie .html. Pozwala to na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do utworzenia kont zapasowych i wgrania złośliwych wtyczek umożliwiających zdalne wykonanie kodu.

W Qibo CMS 1.0 wykryto podatność w nieznanej funkcjonalności pliku /index/image/headers. Manipulacja argumentem starts umożliwia atak typu server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W podatności CVE-2026-6369 występuje niewłaściwa kontrola dostępu w kliencie canonical-livepatch przed wersją 10.15.0, co pozwala lokalnemu użytkownikowi bez uprawnień na uzyskanie wrażliwego tokena uwierzytelniającego na poziomie roota poprzez wysłanie nieautoryzowanego żądania do gniazda Unix livepatchd.sock. Problem ten występuje na systemach, gdzie administrator włączył klienta Livepatch z ważną subskrypcją Ubuntu Pro.

Apache Kafka w komponencie NetworkClient loguje pełne żądania i odpowiedzi na poziomie DEBUG, co może ujawnić poufne informacje, takie jak dane uwierzytelniania SASL czy tokeny delegacji. Problem dotyczy wersji do 3.9.1 i 4.0.0.

Apache Doris MCP Server przed wersją 0.6.1 ma podatność na nieprawidłową neutralizację w obsłudze kontekstu zapytań, co może pozwolić na wykonanie niezamierzonych instrukcji SQL oraz obejście walidacji zapytań i ograniczeń dostępu przez interfejs MCP.

Wykryto podatność w projekcie p2r3 convert w wersji do 6998584ace3e11db66dff0b423612a5cf91de75b. Funkcja Bun.serve w pliku buildCache.js (komponent API) umożliwia path traversal poprzez manipulację argumentem pathname. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W usememos memos do wersji 0.22.1 funkcja memos_access_token w pliku src/App.tsx komponentu UpdateInstanceSetting pozwala na manipulację argumentami additionalStyle/additionalScript, co prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony. Producent nie odpowiedział na zgłoszenie.

W crate'ie thin_vec wykryto podatność typu double-free i use-after-free w funkcjach `IntoIter::drop` oraz `ThinVec::clear`. Panika w `ptr::drop_in_place` powoduje pominięcie wyzerowania długości wektora.

W phili67 Ecclesia CRM do wersji 8.0.0 funkcja ValidateInput w pliku /v2/query/view/ (komponent Query Viewer) jest podatna na wstrzyknięcie SQL poprzez manipulację argumentem custom. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

W Cockpit-HQ Cockpit do wersji 2.13.5 wykryto podatność w nieznanej funkcjonalności komponentu Asset Handler/Aggregate Handler. Manipulacja prowadzi do niewłaściwej neutralizacji specjalnych elementów w logice zapytań danych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Fudo Enterprise w wersjach od 5.5.0 do 5.6.2 umożliwia użytkownikom z niskimi uprawnieniami dostęp do zasobów zarezerwowanych dla administratorów poprzez nieodpowiednio zabezpieczone punkty końcowe API. Obejmuje to poufne informacje, takie jak logi systemowe i części ustawień konfiguracji systemu. Podatność została naprawiona w wersji 5.6.3.

W SonicCloudOrg sonic-server do wersji 2.0.0 wykryto podatność w funkcji Upload pliku FileTool.java w komponencie File Upload Endpoint. Manipulacja argumentem Type prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W langgenius dify do wersji 1.13.3 wykryto podatność w funkcji parse_openai_plugin_json_to_tool_bundle w pliku api/core/tools/utils/parser.py (komponent ApiBasedToolSchemaParser). Manipulacja argumentem url prowadzi do server-side request forgery, a atak można przeprowadzić zdalnie. Exploit został opublikowany.