Katalog podatności CVE

W systemie CMS Statamic tag `user:reset_password_form` mógł renderować dane wejściowe użytkownika bezpośrednio do HTML bez ich escapowania. Umożliwiało to atakującemu spreparowanie adresu URL, który wykonuje dowolny kod JavaScript w przeglądarce ofiary.

Statamic (CMS oparty na Laravel i Git) w wersjach przed 5.73.16 i 6.7.2 pozwala na manipulację endpointem podglądu markdown w celu zwrócenia danych z dowolnych typów pól. Uwierzytelniony użytkownik panelu sterowania może uzyskać wrażliwe dane użytkowników, w tym adresy e-mail, zaszyfrowane dane passkey i zaszyfrowane kody 2FA; naprawiono w 5.73.16 i 6.7.2.

W aplikacji SourceCodester Note Taking App do wersji 1.0 wykryto podatność typu cross-site request forgery (CSRF) w nieznanej funkcji. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany w atakach.

Varnish Cache przed wersją 8.0.1 oraz Varnish Enterprise przed 6.0.16r12 w pewnych niekontrolowanych scenariuszach req.url błędnie obsługują adresy URL ze ścieżką / dla HTTP/1.1. Może to prowadzić do zatruwania pamięci podręcznej lub obejścia uwierzytelniania.

W Fleet przed wersją 4.81.0 występuje problem w procesie zapraszania użytkowników: adres e-mail podany podczas akceptacji zaproszenia nie jest weryfikowany względem adresu powiązanego z zaproszeniem. Atakujący posiadający ważny token zaproszenia może utworzyć konto na dowolny adres e-mail, dziedzicząc rolę przyznaną przez zaproszenie, w tym globalnego administratora.

Home Assistant, oprogramowanie do automatyki domowej, zawiera podatność typu cross-site scripting w sensorze "remaining charge time" dla telefonów komórkowych (importowanym z Android Auto). Problem występuje od wersji 2025.02 do wersji przed 2026.01 i został naprawiony w wersji 2026.01.

Home Assistant, oprogramowanie do automatyki domowej, w wersjach od 2020.02 do przed 2026.01 pozwala uwierzytelnionej stronie dodać złośliwą nazwę do encji urządzenia, umożliwiając ataki cross-site scripting na każdego, kto widzi pulpit z kartą Map zawierającą tę encję. Wymaga to najechania kursorem na punkt informacyjny przez ofiarę. Wersja 2026.01 naprawia problem.

LibreChat to klon ChatGPT z dodatkowymi funkcjami. W wersjach od 0.8.2-rc1 do 0.8.3-rc1 serwery MCP (Model Context Protocol) tworzone przez użytkowników mogą zawierać dowolne nagłówki HTTP, w których następuje podstawianie symboli zastępczych poświadczeń. Atakujący może utworzyć złośliwy serwer MCP z nagłówkami zawierającymi {{LIBRECHAT_OPENID_ACCESS_TOKEN}} (i inne), powodując wyciek tokenów OAuth ofiar, które wywołują narzędzia na tym serwerze. Wersja 0.8.3-rc2 naprawia problem.

LibreChat w wersjach 0.8.2-rc2 do 0.8.2-rc3 nie weryfikuje, czy użytkownik żądający strumienia SSE jest jego właścicielem. Każdy uwierzytelniony użytkownik znający identyfikator strumienia może odczytać treść czatu innego użytkownika.

W code-projects Social Networking Site 1.0 odkryto podatność SQL Injection w pliku delete_photos.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia kodu SQL. Atak można wykonać zdalnie, a exploit został publicznie udostępniony.

WWBN AVideo w wersjach do 26.0 zawiera endpointy API get_api_video_file i get_api_video, które zwracają pełne źródła odtwarzania wideo (bezpośrednie adresy MP4, manifesty HLS) dla wideo chronionych hasłem bez weryfikacji hasła. Nieuwierzytelniony atakujący może uzyskać bezpośrednie adresy odtwarzania dla dowolnego chronionego wideo, wywołując API bezpośrednio.

Skrypty provisioning i Dockerfiles Wazuh zawierają podatność na niebezpieczny transport, gdzie curl jest wywoływany z flagą -k/--insecure, wyłączając walidację certyfikatów SSL/TLS. Atakujący z dostępem sieciowym mogą przeprowadzić ataki man-in-the-middle, aby przechwycić i zmodyfikować pobierane zależności lub kod podczas procesu budowania, co prowadzi do zdalnego wykonania kodu i kompromitacji łańcucha dostaw.

W SourceCodester Diary App 1.0 wykryto podatność Cross-Site Request Forgery (CSRF) w pliku diary.php. Manipulacja danymi wejściowymi może prowadzić do wykonania nieautoryzowanych akcji w imieniu użytkownika. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

W itsourcecode Free Hotel Reservation System 1.0 wykryto lukę w pliku /admin/mod_room/index.php?view=edit, polegającą na manipulacji argumentem ID prowadzącą do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W WWBN AVideo w wersjach do 26.0 włącznie metoda transferBalance() w plugin/YPTWallet/YPTWallet.php zawiera warunek wyścigu TOCTOU. Metoda odczytuje saldo portfela nadawcy, sprawdza wystarczalność w PHP, a następnie zapisuje nowe saldo bez transakcji bazodanowych i blokad wierszy. Atakujący z wieloma sesjami może wysłać równoczesne żądania przelewu, które odczytają to samo nieaktualne saldo, co prowadzi do wielokrotnego uznania odbiorcy przy tylko jednym obciążeniu nadawcy.

WWBN AVideo w wersjach do 26.0 włącznie ma endpoint categories.json.php, który nie egzekwuje kontroli dostępu opartych na grupach użytkowników. W domyślnej ścieżce żądania filtrowanie grup jest pomijane, ujawniając wszystkie nieprywatne kategorie, a przy parametrze ?user= błąd type confusion powoduje użycie grup administratora (user_id=1) zamiast bieżącego użytkownika. Poprawka znajduje się w commicie 6e8a673eed07be5628d0b60fbfabd171f3ce74c9.

Wersja Wazuh 4.12.0 zawiera podatność polegającą na ekspozycji tokenu GITHUB_TOKEN w artefaktach workflow GitHub Actions. Atakujący może wykorzystać ujawniony token w ograniczonym oknie czasowym do nieautoryzowanych działań, takich jak wypychanie złośliwych commitów lub zmiana tagów wydań.

W huggingface smolagents 1.25.0.dev0 funkcje evaluate_augassign, evaluate_call i evaluate_with w pliku local_python_executor.py są podatne na wstrzyknięcie kodu. Exploit jest publicznie dostępny, a dostawca nie odpowiedział na zgłoszenie.

Podatność w Appsmith w wersjach przed 1.98 ujawnia wrażliwe punkty końcowe API zarządzania instancją bez wymaganego uwierzytelnienia. Niezalogowani atakujący mogą odczytać metadane konfiguracji, informacje licencyjne oraz niesolone hasze SHA-256 domen e-mail administratora.

WWBN AVideo to otwarta platforma wideo. W wersjach do 26.0 włącznie funkcja verifyTokenSocket() w pliku plugin/YPTSocket/functions.php ma zakomentowaną walidację limitu czasu tokena, co powoduje, że tokeny WebSocket nigdy nie wygasają, mimo że są generowane z 12-godzinnym limitem. Umożliwia to przechwyconym lub legalnie uzyskanym tokenom stały dostęp do WebSocket, nawet po usunięciu, zbanowaniu lub degradacji konta użytkownika. Tokeny administratora dają dostęp do danych połączeń w czasie rzeczywistym dla wszystkich online użytkowników, w tym adresów IP, informacji o przeglądarce i lokalizacji stron. Poprawka w commicie 5d5237121bf82c24e9e0fdd5bc1699f1157783c5.