Katalog podatności CVE

W Frappe Learning Management System (LMS) przed wersją 2.54.2 nieopublikowane rekordy certyfikatów mogą być pobierane i przeglądane przez użytkowników, którzy nie powinni mieć do nich dostępu. Może to ujawnić szczegóły certyfikatów należących do innych użytkowników. Problem nie pozwala na modyfikację danych ani podniesienie uprawnień.

W Frappe Learning Management System (LMS) przed wersją 2.54.0 rekordy zgłoszeń quizów nie są odpowiednio autoryzowane po stronie serwera. Uwierzytelniony student może poprzez obejście REST zapisać wynik quizu jako zaliczony lub perfekcyjny bez weryfikacji odpowiedzi, odblokowując ukończenie kursu i certyfikaty. Może też tworzyć zgłoszenia przypisane do innego użytkownika, wyczerpując jego dozwolone próby.

W myTinyWMS przed wersją 1.6.4 zarządzanie produktami (Artikel) i kategoriami przechowuje parametr `name` bez odpowiedniej sanityzacji po stronie backendu i renderuje surowe ciągi z bazy przez nieescapowany output Blade w komórkach tabel, m.in. w `article/index.blade.php` i `category/index.blade.php`. Uwierzytelniony atakujący może zapisać złośliwy kod, który wykona się w przeglądarce innego użytkownika po otwarciu odpowiedniego widoku, umożliwiając kradzież sesji i przejęcie konta administratora.

W Frappe Learning Management System (LMS) przed wersją 2.52.1 przepływ płatności za kurs/certyfikat akceptuje ceny kontrolowane przez klienta. Uwierzytelniony użytkownik może dokonać zakupu płatnego kursu lub certyfikatu za kwotę inną niż rzeczywista cena. Jest to problem integralności logiki biznesowej, który nie ujawnia danych innych użytkowników ani nie podnosi uprawnień.

W DBHub przed wersją 0.22.6 walidacja SQL tylko do odczytu może być obejściowa na konektorach MySQL i MariaDB. Podwójny myślnik bez następującego białego znaku może ukryć przed walidatorem kolejną instrukcję zapisu lub destrukcyjną DDL, podczas gdy baza interpretuje myślniki jako operatory minus i wykonuje obie instrukcje. Każdy, kto może wpłynąć na SQL asystenta, w tym przez wstrzyknięcie promptu, może obejść tryb tylko do odczytu i modyfikować lub usuwać dane.

W ZAC przed wersją 5.2.0 endpointy odczytu po identyfikatorze w ZaakRestService.kt pomijają autoryzację assertPolicy. Uwierzytelniony użytkownik gminny o niskich uprawnieniach, znający UUID sprawy lub decyzji, może odczytać decyzje, historię audytu oraz stan procesu BPMN w nieautoryzowanych typach spraw. Doradztwo wskazuje również endpoint afzender jako ujawniający konfigurację skrzynki bez sprawdzenia polityki.

W SecureDrop od wersji 2.5.0 do 2.16.0 interfejs dziennikarza może akceptować token sesji API w interfejsie webowym, ponieważ SessionInterface utrzymuje zmienny prefiks klucza sesji zmieniający się przy każdym żądaniu. Atakujący, który ma już dostęp do adresu onion interfejsu dziennikarza, wymagane uwierzytelnienie i ważny token sesji API, może użyć tego tokenu w interfejsie webowym do jego naturalnego wygaśnięcia (maksymalnie osiem godzin).

W Frappe Learning Management System (LMS) przed wersją 2.52.0 uwierzytelniony użytkownik z rolą edycji kursu może wstrzyknąć złośliwy JavaScript poprzez pola meta tagów w module Course Management. Wartości są przechowywane bez odpowiedniej sanityzacji HTML i nie są bezpiecznie escapowane podczas renderowania, co umożliwia przechowywany cross-site scripting.

W BeeHome MyBeeHome przed wersją 2025-11-01 występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcjonalność edycji profilu oraz komponent czatu. Brak szczegółów dotyczących wektora ataku w dostarczonym opisie.

Wtyczka APIExperts Square for WooCommerce (woosquare) zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji od n/a do 4.7.5 włącznie. Może to pozwolić atakującemu na wymuszenie na uwierzytelnionym użytkowniku wykonania niepożądanych działań.

Wtyczka The Events Calendar (the-events-calendar) zawiera podatność Missing Authorization, pozwalającą na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 6.18.2 włącznie. Może to umożliwić nieuprawniony dostęp do funkcji lub danych.

Wtyczka Media Player Addons for Elementor (media-player-addons-for-elementor) zawiera podatność Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 1.1.10 włącznie. Może to pozwolić na przechowywany XSS.

Wekan, open-source'owa tablica kanban zbudowana na Meteor, przed wersją 11.11 przekazuje dane kontrolowane przez użytkownika (searchTerm i query) do new RegExp() bez escapowania metaznaków wyrażeń regularnych. W wdrożeniach opartych na MongoDB wzorce są oceniane przez PCRE2, co pozwala zalogowanemu użytkownikowi na wysłanie wyrażeń powodujących katastrofalne cofanie (catastrophic backtracking) i wyczerpanie CPU bazy danych. Metoda searchUsers dodatkowo wymaga członkostwa w tablicy lub uprawnień administratora witryny.

gopacket, biblioteka do przetwarzania pakietów w Go, przed wersją 1.7.2 przekazuje w layers/sctp.go długości i liczby kontrolowane przez atakującego do poddekoderów SCTP (decodeSCTPInit, decodeSCTPShutdown, decodeSCTPError, decodeSCTPSack, decodeSCTPParameter) bez sprawdzenia, czy każdy chunk zawiera wymagane pola. Spreparowany segment SCTP może wywołać panikę z powodu wyjścia poza zakres lub odwróconego slice'a. Panika może zakończyć aplikacje używające SkipDecodeRecovery, bezpośrednich dekoderów lub DecodingLayerParser z IgnorePanic; domyślne API z odzyskiwaniem zamienia ją w błąd dekodowania pojedynczego pakietu.

croc, narzędzie do bezpiecznego przesyłania plików i folderów między komputerami, przed wersją 11.5.2 w pętli gotowości plików po stronie odbiorcy (src/croc/croc.go) traktuje każdą nazwę bazową kontrolowaną przez nadawcę, rozpoczynającą się od croc-stdin-, jako zaufany artefakt transferu tekstowego, nawet gdy SendingText jest false. Powoduje to pominięcie askReceiveOverwrite i obsługi zmiany nazwy przy przewidywalnej kolizji nazw w katalogu roboczym odbiorcy, co pozwala zdalnemu nadawcy nadpisać, obciąć lub zastąpić pasujący plik bez potwierdzenia.

Niekompletna walidacja ciągów znaków w AWS aws-nitro-enclaves-sdk-c przed wersją 0.4.6 może pozwolić stronie trzeciej na podszycie się pod punkt końcowy AWS KMS. Aby usunąć problem, użytkownicy powinni przebudować dowolny niestandardowy obraz enclave z użyciem aws-nitro-enclaves-sdk-c 0.4.6.

W aplikacji przykładowej kmstool-enclave z AWS aws-nitro-enclaves-sdk-c przed wersją 0.4.6 występuje use-after-free i double-free w obsłudze komendy SetClient. Może to pozwolić aplikacji działającej na nadrzędnej instancji EC2 na uszkodzenie pamięci sterty wewnątrz enklawy Nitro, co może prowadzić do wykonania dowolnego kodu w enklawie.

W OpenStack keystonemiddleware przed wersją 13.0.2 dostarczenie niestandardowego nagłówka X-Service-Token w żądaniu pozwala osobie posiadającej poświadczenie aplikacji z ograniczeniami dostępu obejść te ograniczenia. Prowadzi to do eskalacji uprawnień.

W listenerze HTTPS w Canonical LXD (wersje 4.0.14, 5.0.10, 5.21.8, 6.9 przed 4.0.15, 5.0.11, 5.21.9, 6.10.1) występuje nieprawidłowa walidacja certyfikatów. Umożliwia to nieuwierzytelnionemu atakującemu uwierzytelnienie się jako dowolny zaufany klient i uzyskanie pełnego dostępu do klastra oraz zarządzanych maszyn wirtualnych za pomocą spreparowanego łańcucha certyfikatów.

W SUSE Rancher Manager w wersjach 2.15.0–2.15.3, 2.14.0–2.14.7, 2.13.0–2.13.11, 2.12.0–2.12.15, 2.11.0–2.11.19 oraz prawdopodobnie starszych występuje luka w autoryzacji funkcji lokalnego (zarządzającego) shella klastra. Wprowadzona kontrola dostępu nie została zastosowana do każdej trasy API prowadzącej do tej funkcji, więc alternatywna forma żądania docierała do obsługi shella bez sprawdzenia uprawnień. Może to pozwolić każdemu uwierzytelnionemu użytkownikowi na uruchomienie poda w klastrze zarządzającym.