Katalog podatności CVE

Turms Server w wersji 0.10.0-SNAPSHOT i wcześniejszych przechowuje hasła administratorów w postaci jawnego tekstu w pamięci. Klasa BaseAdminService cache'uje hasła w obiektach AdminInfo, a po zalogowaniu surowe hasła są przechowywane w polu rawPassword.

Moduł Turms AI-Serving w wersji v0.10.0-SNAPSHOT i wcześniejszych zawiera podatność na niewłaściwą walidację typu pliku w funkcji przesyłania obrazów OCR. Kontroler OcrController w pliku turms-ai-serving/src/main/java/im/turms/ai/domain/ocr/controller/OcrController.java używa adnotacji @FormData(contentType = MediaTypeConst.IMAGE) do ograniczenia przesyłania do plików obrazów, ale to ograniczenie nie jest właściwie egzekwowane. System polega wyłącznie na dostarczanych przez klienta nagłówkach Content-Type i rozszerzeniach plików bez walidacji rzeczywistej zawartości pliku za pomocą magicznych bajtów (sygnatur plików). Atakujący może przesłać dowolne typy plików, w tym pliki wykonywalne, skrypty, HTML lub webshelle, ustawiając nagłówek Content-Type na "image/*" lub używając rozszerzenia pliku obrazu. To obejście umożliwia potencjalne wykonanie kodu po stronie serwera, przechowywany XSS lub ujawnienie informacji w zależności od tego, jak przesłane pliki są przetwarzane i serwowane.

W bibliotece libnbd znaleziono błąd. Złośliwy atakujący może wykorzystać tę podatność, przekonując libnbd do otwarcia specjalnie spreparowanego URI. Podatność wynika z tego, że niestandardowe nazwy hostów zaczynające się od '-o' są błędnie interpretowane jako argumenty dla procesu SSH, a nie jako nazwy hostów. Może to prowadzić do wykonania dowolnego kodu z uprawnieniami użytkownika uruchamiającego libnbd.

Podatność typu 'Open Redirect' w systemie dostarczania jedzenia online firmy Restajet Information Technologies Inc. umożliwia przekierowanie użytkowników na niezaufane strony, co może prowadzić do phishingu oraz nieautoryzowanego przeglądania.

W serwisie pdfonline.foxit.com występuje podatność typu przechowywany Cross-Site Scripting (XSS) w funkcji importu warstw. Złośliwy ładunek wstrzyknięty w pole „Create new Layer” podczas importu warstwy jest renderowany w DOM bez odpowiedniej sanityzacji, co powoduje wykonanie skryptu przy dostępie do panelu Layers.

W serwisie pdfonline.foxit.com występuje podatność typu przechowywany Cross-Site Scripting (XSS) w funkcji Page Templates. Złośliwy ładunek może zostać zapisany jako nazwa szablonu i renderowany w DOM bez odpowiedniej sanityzacji, co powoduje wykonanie skryptu przy każdym wczytaniu zainfekowanego PDF-a.

Wersje pakietu fastapi-sso przed 0.19.0 są podatne na Cross-site Request Forgery (CSRF) z powodu nieprawidłowej walidacji parametru OAuth state podczas wywołania zwrotnego uwierzytelniania. Metoda get_login_url pozwala na generowanie state, ale nie przechowuje go ani nie wiąże z sesją użytkownika. W rezultacie metoda verify_and_process akceptuje state otrzymany w parametrach zapytania bez weryfikacji z zaufaną lokalną wartością. Pozwala to zdalnemu atakującemu nakłonić ofiarę do odwiedzenia złośliwego adresu URL wywołania zwrotnego, co może skutkować powiązaniem konta atakującego z wewnętrznym kontem ofiary.

W JeecgBoot do wersji 3.9.0 wykryto podatność w funkcji SysUserOnlineController pliku jeecg-boot/jeecg-module-system/jeecg-system-biz/src/main/java/org/jeecg/modules/system/controller/SysUserOnlineController.java. Wykonanie manipulacji może prowadzić do zarządzania sesjami użytkowników. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Zalecane jest zastosowanie poprawki b686f9fbd1917edffe5922c6362c817a9361cfbd.

Wykryto błąd bezpieczeństwa w JeecgBoot do wersji 3.9.0. Dotyczy on nieznanej funkcji w pliku jeecg-boot/jeecg-module-system/jeecg-system-biz/src/main/java/org/jeecg/modules/system/controller/SysTenantController.java komponentu Multi-Tenant Management Module. Manipulacja argumentem ID prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony. Zalecane jest zastosowanie poprawki o nazwie e1c8f00bf2a2e0edddbaa8119afe1dc92d9dc1d2/67795493bdc579e489d3ab12e52a1793c4f8a0ee.

Elasticsearch ma podatność na nieograniczoną alokację zasobów (CWE-770), która pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na spowodowanie nadmiernej alokacji (CAPEC-130), prowadzącej do trwałej odmowy usługi (awaria OOM) poprzez przesłanie zbyt dużych danych ustawień użytkownika.

Podatność na obejście uwierzytelniania w Google Cloud Dialogflow CX Messenger pozwalała nieuwierzytelnionym użytkownikom na interakcję z ograniczonymi agentami czatu, uzyskując dostęp do wiedzy agentów i możliwość wyzwalania ich intencji, poprzez manipulowanie parametrami inicjalizacji lub tworzenie specjalnych żądań API. Wszystkie wersje po 20 sierpnia 2025 zostały zaktualizowane, aby chronić przed tą podatnością. Nie jest wymagane żadne działanie użytkownika.

Podatność Reflected Cross-Site Scripting (XSS) w Hotel Management System (commit 87e004a) pozwala zdalnemu atakującemu na wykonanie dowolnego skryptu webowego poprzez parametr 'error' w pliku pages/room.php.

Podatność na wstrzykiwanie SQL w phpMsAdmin w wersji 2.2 w pliku database_mode.php. Atakujący może wykonać dowolne polecenia SQL poprzez parametr dbname, co może prowadzić do ujawnienia informacji lub manipulacji bazą danych.

Podatność Reflected XSS w phpMsAdmin w wersji 2.2 w pliku database_mode.php. Atakujący może wykonać dowolny skrypt webowy lub HTML poprzez parametr dbname po uwierzytelnieniu użytkownika.

Podatność w Avahi (do wersji 0.9-rc5) polega na ignorowaniu zdefiniowanego limitu klientów (CLIENTS_MAX) przez prosty serwer protokołu. Serwer bezwarunkowo akceptuje nieograniczoną liczbę połączeń, co pozwala nieuprzywilejowanym lokalnym użytkownikom na wyczerpanie pamięci i deskryptorów plików demona, powodując lokalny atak typu denial of service (DoS). Brak oficjalnej poprawki, ale dostępny jest kandydat w pull requeście 808.

Ignition firmy Inductive Automation, przy domyślnych ustawieniach konta usługi systemowej, może umożliwić podniesienie uprawnień i wykonanie kodu na hoście poprzez funkcję przywracania kopii zapasowej bramy. Uwierzytelniony użytkownik z uprawnieniami administratora bramy może zaimportować złośliwy plik kopii zapasowej (.gwbk) zawierający spreparowane zasoby projektu, skrypty lub moduły, co prowadzi do wykonania kodu na systemie hosta.

Dify 1.9.1 i 1.17.0 udostępnia endpoint /console/api/system-features dla nieuwierzytelnionych żądań HTTP GET, zwracając informacje o funkcjach i konfiguracji systemu. Według maintainera endpoint jest celowo nieuwierzytelniony jako mechanizm bootstrap wymagany do inicjalizacji dashboardu, a dane są niepoufne i nie zawierają PII, poświadczeń ani sekretów.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach przed 1.27.1 występuje podatność na cross-site request forgery przy wylogowaniu, która może prowadzić do odmowy usługi przez <track src>. Wersja 1.27.1 naprawia ten problem.

Podatność Authorization Bypass Through User-Controlled Key w RadiusTheme Radius Blocks do wersji 2.2.1 włącznie, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

W AnythingLLM v1.8.5 wykryto podatność polegającą na obejściu uwierzytelnienia w punkcie końcowym /api/workspaces. Brak odpowiednich kontroli uwierzytelniania umożliwia nieuwierzytelnionym zdalnym atakującym enumerację i pobieranie szczegółowych informacji o wszystkich skonfigurowanych przestrzeniach roboczych, w tym identyfikatorach, konfiguracjach modeli AI, promptach systemowych, parametrach operacyjnych i ustawieniach wyszukiwania wektorowego.