Katalog podatności CVE

W kodcloud KodExplorer do wersji 4.52 wykryto lukę w funkcji initInstall w pliku /app/controller/systemMember.class.php. Manipulacja argumentem path prowadzi do obejścia autoryzacji. Atak możliwy zdalnie, exploit publicznie ujawniony.

Sekrety w zmiennych zapisanych jako słowniki JSON nie były prawidłowo redagowane — w przypadku pobrania tych zmiennych przez użytkownika sekrety przechowywane jako zagnieżdżone pola nie były maskowane. Jeśli nie przechowujesz zmiennych z wrażliwymi wartościami w formacie JSON, podatność Cię nie dotyczy. W przeciwnym razie zaktualizuj do Apache Airflow 3.2.0, które zawiera poprawkę.

W libgphoto2 do wersji 2.5.33 włącznie występuje odczyt poza granicami bufora w ptp_unpack_EOS_FocusInfoEx, który może spowodować awarię biblioteki podczas przetwarzania danych z niezaufanych urządzeń USB. Poprawka znajduje się w commicie c385b34af260595dfbb5f9329526be5158985987.

libgphoto2 w wersjach do 2.5.33 włącznie ma wyciek pamięci w funkcji ptp_unpack_Sony_DPD() w pliku camlibs/ptp2/ptp-pack.c. Podczas przetwarzania dodatkowej listy enumeracji (wprowadzonej w kamerach Sony z 2024+) funkcja nadpisuje dpd->FORM.Enum.SupportedValue nowym wywołaniem calloc() bez zwolnienia poprzedniej alokacji, co powoduje wyciek tablicy i zawartych w niej łańcuchów przy każdym parsowaniu deskryptora właściwości.

W libgphoto2 do wersji 2.5.33 włącznie funkcja ptp_unpack_Canon_FE() w camlibs/ptp2/ptp-pack.c (linia 1377) kopiuje nazwę pliku do 13-bajtowego bufora przez strncpy bez jawnego zakończenia znakiem NUL. Gdy dane źródłowe mają dokładnie 13 bajtów bez terminatora, bufor pozostaje niezakończony, co prowadzi do odczytów poza granicami w kolejnych operacjach na łańcuchach. Poprawka znajduje się w commicie 259fc7d3bfe534ce4b114c464f55b448670ab873.

Stirling-PDF w wersjach przed 2.0.0 renderuje nazwy plików dostarczone przez użytkownika bezpośrednio do HTML przy użyciu niebezpiecznych metod, takich jak innerHTML, bez sanityzacji. Atakujący może spreparować plik o złośliwej nazwie zawierającej JavaScript, który wykona się w kontekście przeglądarki użytkownika przesyłającego plik, powodując odbity XSS na wielu punktach końcowych przesyłania.

Wykryto wadę w lukevella rallly do wersji 4.7.4. Dotyczy ona nieznanej funkcji w pliku apps/web/src/app/[locale]/(auth)/reset-password/components/reset-password-form.tsx w komponencie Reset Password Handler. Manipulacja argumentem redirectTo prowadzi do cross site scripting, a atak można wykonać zdalnie.

W aplikacji Note Mark w wersjach 0.19.1 i wcześniejszych endpoint logowania wykonuje weryfikację hasła bcrypt tylko dla istniejących nazw użytkowników, zwracając natychmiast dla nieistniejących. Ta różnica czasu odpowiedzi pozwala nieuwierzytelnionym atakującym wyliczać prawidłowe nazwy użytkowników. Problem naprawiono w wersji 0.19.2.

Podatność w bibliotece libexpat przed wersją 2.8.0 wynika z użycia niewystarczającej entropii, co umożliwia atak typu hash flooding za pomocą spreparowanego dokumentu XML.

MuPDF przed wersją 1.27 zawiera podatność na wstrzyknięcie ANSI w narzędziu mutool, pozwalającą atakującym wstrzyknąć dowolne sekwencje ucieczki ANSI poprzez spreparowane pola metadanych PDF. Złośliwe kody ANSI osadzone w metadanych PDF są przekazywane bez sanityzacji do wyjścia terminala podczas uruchamiania mutool info.

Biblioteki Yubico libfido2 przed wersją 1.17.0, python-fido2 przed wersją 2.2.0 oraz yubikey-manager przed wersją 5.9.1 zawierają niezamierzoną ścieżkę wyszukiwania DLL. Może to umożliwić załadowanie złośliwej biblioteki DLL z nieodpowiedniej lokalizacji.

W Google Chrome przed wersją 147.0.7727.101 występuje niewystarczające egzekwowanie polityki w mechanizmie CORS. Zdalny atakujący, który przejął proces renderera, może wyciekać dane cross-origin za pomocą spreparowanej strony HTML. Chromium ocenia ważność jako High.

Niewystarczające egzekwowanie polityki w komponencie Passwords w Google Chrome przed wersją 147.0.7727.101 pozwala zdalnemu atakującemu, który przejął proces renderera, na wyciek danych międzyoriginowych za pomocą spreparowanej strony HTML.

ApostropheCMS w wersjach 4.28.0 i starszych zawiera podatność typu timing side-channel w endpoincie resetowania hasła (/api/v1/@apostrophecms/login/reset-request), umożliwiającą nieuwierzytelnione wyliczanie nazw użytkowników i adresów e-mail. Różnice w czasie odpowiedzi wynikają z braku normalizacji opóźnień oraz braku ograniczania liczby żądań. Podatność naprawiono w wersji 4.29.0.

W funkcji korelacji (Correlations) w Grafanie wykryto podatność naruszającą izolację między dzierżawcami, dotyczącą starszych rekordów korelacji. Ze względu na warunek zgodności wstecznej, który pozwala na zwracanie rekordów z org_id = 0 między organizacjami, użytkownik z uprawnieniami zarządzania źródłami danych może odczytać i trwale usunąć starsze dane korelacji należące do innej organizacji. Problem dotyczy korelacji utworzonych przed wersją 10.2 i został naprawiony w wersjach >=11.6.11, >=12.0.9, >=12.1.6 i >=12.2.4.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 5.17 API zadań nie weryfikowało dostępu użytkownika do oczekujących zadań, co mogło ujawnić logi operacji w toku użytkownikom bez odpowiedniego zakresu uprawnień. Atakujący musiałby odgadnąć losowy UUID zadania, co jest mało prawdopodobne przy domyślnych limitach API.

HCL AION posiada podatność, w której pewne zachowania systemu mogą umożliwiać poznanie wewnętrznej struktury systemu plików. Ujawnienie takich informacji może dostarczyć wglądu w środowisko bazowe.

W OAuth2 Proxy w wersji 7.11.0 wprowadzono regresję, która uniemożliwia wyczyszczenie sesyjnego ciasteczka podczas renderowania strony logowania. W środowiskach używających strony logowania jako części procesu wylogowania, użytkownik może zobaczyć stronę logowania, podczas gdy istniejące ciasteczko sesyjne pozostaje ważne, co oznacza, że sesja przeglądarki nie jest faktycznie zakończona. Na współdzielonych stacjach roboczych kolejny użytkownik może kontynuować korzystanie z uwierzytelnionej sesji poprzednika. Problem rozwiązano w wersji 7.15.2.

ColdFusion w wersjach 2023.18, 2025.6 i wcześniejszych jest dotknięty podatnością na niekontrolowane zużycie zasobów, która może prowadzić do odmowy usługi aplikacji. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność i wyczerpać zasoby systemowe, zmniejszając szybkość działania aplikacji. Eksploatacja nie wymaga interakcji użytkownika.

ColdFusion w wersjach 2023.18, 2025.6 i wcześniejszych jest dotknięty podatnością na niekontrolowane zużycie zasobów, która może prowadzić do odmowy usługi aplikacji. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność i wyczerpać zasoby systemowe, zmniejszając szybkość działania aplikacji. Eksploatacja nie wymaga interakcji użytkownika.