Katalog podatności CVE

Podatność typu path traversal w komponencie FeaturedImage w astro-notion-blog 0.13.0 pozwala atakującym wyjść poza zamierzony katalog oraz odczytywać i nadpisywać pliki na serwerze poprzez spreparowany adres URL.

Uwierzytelniona podatność cross-site scripting (XSS) w komponencie /spina/embeddable.rb w Spina CMS v2.21.0 pozwala atakującym wykonać dowolne skrypty internetowe lub HTML poprzez wstrzyknięcie spreparowanego adresu URL.

Wtyczka Webba Booking (webba-booking-lite) zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.5.4 włącznie.

RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.

Automatyczne tworzenie linków do adresów URL w treści HTML zgłoszeń w RT nie escapuje HTML adresu URL umieszczanego w linku. Adres URL skonstruowany tak, aby wyłamać się z adresu linku, może dodać skrypt uruchamiany przy wyświetlaniu historii zgłoszenia bez dodatkowej akcji przeglądającego. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki przyznającej CreateTicket lub ReplyToTicket dla Everyone — może to wykorzystać. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

W SUSE Rancher Fleet wykryto lukę w przepływie rejestracji klastra w wersjach przed 0.12, 0.13.0 do 0.13.17, 0.14.0 do 0.14.12, 0.15.0 do 0.15.17 oraz 0.16.0 do 0.16.3. Tożsamość klastra zgłoszona w żądaniu rejestracji była akceptowana bez powiązania z tokenem rejestracyjnym, z którym żądanie zostało wykonane. W rezultacie żądanie rejestracji mogło zostać powiązane z klastrem zarządzanym pierwotnie zarejestrowanym innym tokenem.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na dostęp do pamięci poza granicami w pluginie importsvm, który nie weryfikuje zgodności wymiarów bitmapy i maski przezroczystości. Atakujący może dostarczyć spreparowany plik SVM z niezgodnymi wymiarami maski, wywołując odczyty i zapisy sterty, powodując awarię lub wykonanie kodu jako użytkownik.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie bufora na stercie w loaderze obrazów Mac PICT i pluginie importu podczas rozpakowywania 4-bitowych danych pikseli indeksowanych. Atakujący może dostarczyć spreparowany plik PICT z niespójną szerokością i danymi wiersza, co przy umieszczeniu lub imporcie powoduje zapis poza granicami bufora, prowadząc do awarii lub wykonania kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na zapis poza granicami w pluginie importdrw Micrografx Draw, który używa niezwalidowanego przesunięcia y do wyboru linii obrazu. Atakujący może spreparować plik DRW, który przy imporcie przez użytkownika zapisuje zdekodowane dane bitmapy poza buforem obrazu na stercie, powodując awarię lub wykonanie kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie liczbowe w loaderze TIFF scimgdataloader_tiff, umożliwiające wywołanie przepełnienia sterty poprzez spreparowane wymiary kafelków. Atakujący może dostarczyć kafelkowy plik TIFF z dużymi wartościami szerokości, wysokości i próbek, co przy imporcie przez użytkownika uszkadza pamięć sterty, powodując awarię Scribusa lub wykonanie kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność polegającą na odczycie poza granicami bufora w loaderze obrazów Mac PICT i wtyczce importu podczas dekodowania danych pikseli planar. Atakujący może dostarczyć spreparowany plik PICT ze zmienionymi wymiarami, powodując nadmierny odczyt sterty prowadzący do awarii lub ujawnienia pamięci sterty.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie bufora na stercie w loaderze obrazów PICT i pluginie importu, umożliwiające uszkodzenie pamięci sterty poprzez niekontrolowaną wartość bytesPerLine. Atakujący może spreparować plik PICT, w którym bytesPerLine przekracza rozmiar linii obrazu QImage, co przy umieszczeniu lub imporcie powoduje awarię Scribusa i potencjalne wykonanie kodu jako użytkownik.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na zapis poza granicami sterty w loaderze scimgdataloader_psd, który używa niekontrolowanych wartości z pliku PSD jako indeksów tablicy wyszukiwania. Atakujący może nakłonić użytkownika do umieszczenia lub importu spreparowanego pliku PSD, co uszkadza pamięć sterty, powodując awarie i potencjalne wykonanie kodu jako użytkownik.

Podatność deserializacji niezaufanych danych w zadaniu SubWorkflow w Google Cloud Application Integration (wersje przed 2026-09-11) pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu przy użyciu spreparowanego obiektu serializowanego. Podatność została załatana 11 września 2026 r.

Wtyczka Blocksy Companion firmy Creative Themes zawiera podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiającą przechowywany XSS. Problem dotyczy Blocksy Companion w wersjach od n/a do 2.1.60.

W SOCFortress CoPilot przed wersją 0.1.77 endpointy zarządzania wykluczeniami Velociraptor Sigma nie weryfikują ról ani tenanta, a endpoint tworzenia wykluczenia nie waliduje poprawnie poświadczeń — dowolny nieprawidłowy, wygasły lub sfałszowany token Bearer pozwala utworzyć regułę wyciszania. Ponadto reguły z pustym customer_code działają globalnie, a niskouprzywilejowani użytkownicy mogą przeglądać, modyfikować, wyłączać i usuwać wykluczenia.

W SOCFortress CoPilot przed wersją 0.1.77 endpoint POST /api/scoutsuite/generate-gcp-report przekazuje surową nazwę pliku z nagłówka multipart do funkcji zapisu bez sanityzacji ani sprawdzenia ścieżki docelowej. Nazwa pliku z sekwencją przejścia katalogów pozwala zapisać przesłany JSON poza zamierzonym katalogiem raportów, w tym w katalogu źródłowym aplikacji.

W szablonie ng-antd-admin przed wersją 22.0 zaszyty na stałe domyślny sekret JWT umożliwia fałszowanie tokenów, jeśli wdrożenie nie zastąpiło domyślnego sekretu, bez ostrzeżenia przy starcie. Atakujący może ominąć uwierzytelnianie i autoryzację oraz podszyć się pod dowolnego użytkownika, w tym administratora.

W SOCFortress CoPilot nieuwierzytelniony mount StaticFiles /scoutsuite-report udostępnia katalog scoutsuite-report, ujawniając raporty HTML oraz pliki wyników zawierające informacje o IAM, zasobach i błędach konfiguracji AWS, Azure i GCP. Podczas skanowania GCP klucz konta usługi jest zapisywany w tym samym katalogu i usuwany dopiero po zakończeniu skanowania, więc anonimowy klient może go pobrać.