Katalog podatności CVE

W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 wykryto podatność w komponencie ltrx_evo, która umożliwia atakującemu wykonanie dowolnego kodu oraz uzyskanie wrażliwych informacji.

W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 odkryto podatność polegającą na braku odpowiedniego oczyszczania parametru hosta w kliencie TFTP na stronie Filesystem Browser. Można to wykorzystać do wyjścia z oryginalnego polecenia i wykonania dowolnego polecenia z uprawnieniami roota.

W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 wykryto podatność umożliwiającą ominięcie uwierzytelniania na stronach zarządzania. Wystarczy dodać określony sufiks do adresu URL oraz wysłać nagłówek Authorization z nazwą użytkownika 'admin'.

W urządzeniach Lantronix EDS5000 w wersji 2.1.0.0R3 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w stronach klienta i serwera SSH. Brak sanityzacji parametrów wejściowych umożliwia atakującemu wstrzyknięcie dowolnych poleceń podczas usuwania obiektów takich jak klucze serwera, użytkownicy czy znane hosty. Polecenia są wykonywane z uprawnieniami roota.

W podatności CVE-2026-30741 w platformie OpenClaw Agent v2026.2.6 występuje możliwość zdalnego wykonania kodu (RCE) poprzez atak typu injection w promptach po stronie żądania, co pozwala atakującym na wykonanie dowolnego kodu.

Argo Workflows przed wersjami 4.0.2 i 3.7.11 umożliwia nieautoryzowany dostęp do szablonów przepływów pracy (WorkflowTemplates i ClusterWorkflowTemplates) poprzez dowolne żądanie z tokenem Authorization: Bearer nothing. Może to prowadzić do wycieku wrażliwych danych, w tym osadzonych manifestów Secret.

W aplikacji Vociferous przed wersją 4.4.2 występuje podatność w pliku src/api/system.py w trasie export_file. Aplikacja akceptuje ładunek JSON zawierający nazwę pliku i treść, jednak nie weryfikuje poprawności nazwy pliku przed przetworzeniem przez logikę systemu plików.

W funkcji poczty w Zoom Workplace dla systemu Windows przed wersją 6.6.0 występuje zewnętrzna kontrola nazwy pliku lub ścieżki, co może umożliwić nieautoryzowanemu użytkownikowi eskalację uprawnień poprzez dostęp sieciowy.

IFTOP opracowany przez WellChoose ma podatność na lokalne włączenie pliku, co pozwala nieautoryzowanym zdalnym atakującym na wykonanie dowolnego kodu na serwerze.

Wtyczka Datalogics Ecommerce Delivery dla WordPressa przed wersją 2.6.60 udostępnia nieautoryzowany punkt końcowy REST, który pozwala zdalnym użytkownikom na modyfikację opcji `datalogics_token` bez weryfikacji. Token ten jest następnie używany do autoryzacji w chronionym punkcie końcowym, co umożliwia wykonywanie dowolnych operacji `update_option()` w WordPressie.

W urządzeniach MR-GM5L-S1 i MR-GM5A-L1 występuje problem z ominięciem uwierzytelniania, który może pozwolić atakującemu na ominięcie procesu logowania i zmianę konfiguracji urządzenia.

W urządzeniach MR-GM5L-S1 i MR-GM5A-L1 występuje problem z użyciem twardo zakodowanych poświadczeń, co może umożliwić atakującemu uzyskanie dostępu administracyjnego.

Netbox-docker w wersjach przed 2.5.0 posiada konto superużytkownika z domyślnymi danymi logowania. Domyślne hasło dla konta admin to 'admin', a wartość SUPERUSER_API_TOKEN to '0123456789abcdef0123456789abcdef01234567'.

MiCode FileExplorer zawiera podatność na obejście uwierzytelniania w wbudowanym komponencie serwera FTP SwiFTP, co pozwala atakującym na logowanie się bez ważnych poświadczeń.

Zidentyfikowano podatność w interfejsie zarządzania opartym na sieci web przełączników AOS-CX, która może pozwolić nieautoryzowanemu zdalnemu atakującemu na obejście istniejących zabezpieczeń uwierzytelniania. W niektórych przypadkach może to umożliwić zresetowanie hasła administratora.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 9.5.2-alpha.12 i 8.6.25, wewnętrzne klasy _GraphQLConfig i _Audience mogą być odczytywane, modyfikowane i usuwane za pomocą ogólnych tras API REST bez uwierzytelnienia klucza głównego.

Parse Server, otwarte oprogramowanie backendowe, przed wersjami 9.5.2-alpha.7 i 8.6.20, pozwalało na bezpośredni dostęp do wewnętrznych tabel przez REST API lub GraphQL API przy użyciu jedynie klucza aplikacji. Atakujący mógł tworzyć, odczytywać, aktualizować lub usuwać rekordy w wewnętrznych tabelach relacji.

Parse Server, otwarte źródło backendu, ma podatność w obsłudze zapytań, która pozwala atakującemu na wykradanie tokenów sesji innych użytkowników. Wymaga to, aby atakujący mógł tworzyć lub aktualizować obiekt z nowym polem relacyjnym, co zależy od uprawnień na poziomie klasy.

W modemie występuje możliwe zapisanie danych poza przydzielonym obszarem pamięci z powodu błędnego sprawdzenia granic. Może to prowadzić do zdalnego wykonania kodu bez potrzeby dodatkowych uprawnień wykonawczych.