Katalog podatności CVE

ChurchCRM to system zarządzania kościołem. W wersjach przed 6.5.0 aplikacja odsyła w odpowiedziach HTTP hasła użytkowników w postaci jawnej. Ujawnienie to znacznie zwiększa ryzyko kompromitacji poświadczeń.

Netty to asynchroniczny, sterowany zdarzeniami framework do aplikacji sieciowych. W wersjach przed 4.1.129.Final i 4.2.8.Final klasa io.netty.handler.codec.http.HttpRequestEncoder ma wstrzyknięcie CRLF w URI żądania podczas konstruowania żądania, co prowadzi do przemytu żądań (request smuggling), gdy HttpRequestEncoder jest używany bez odpowiedniej sanityzacji URI. Wersje 4.1.129.Final i 4.2.8.Final naprawiają ten problem.

Weblate, narzędzie do lokalizacji oparte na sieci, w wersjach przed 5.15 umożliwiało pobieranie ustawień powiadomień użytkownika lub listy wszystkich użytkowników przez API. Wersja 5.15 naprawia ten problem.

Weblate to narzędzie do lokalizacji oparte na sieci Web. W wersjach przed 5.15 możliwe było wywołanie aktualizacji wielu repozytoriów poprzez spreparowany ładunek webhooka. Wersja 5.15 naprawia ten problem.

Nieprawidłowa konfiguracja zabezpieczeń replikacji w komponencie MariaDB infra-operatora w YAOOK Operator pozwala atakującemu znajdującemu się na ścieżce sieciowej na odczyt zawartości bazy danych, potencjalnie w tym poświadczeń.

Misskey to otwartoźródłowa, sfederowana platforma społecznościowa. Atakujący, którzy korzystają z niezaufanego odwrotnego proxy lub nie używają odwrotnego proxy wcale, mogą ominąć ograniczenia szybkości IP, dodając sfałszowany nagłówek X-Forwarded-For. Od wersji 2025.9.1 dodano opcję (trustProxy) w pliku konfiguracyjnym, aby temu zapobiec, ale przed wersją 2025.12.0-alpha.2 ma ona domyślnie niebezpieczną wartość, co czyni podatność nadal aktywną, jeśli konfiguracja nie jest ustawiona poprawnie. Poprawka w v2025.12.0-alpha.2 zmienia domyślną wartość trustProxy na false.

Weblate przed wersją 5.15 nie waliduje ani nie sanityzuje pola URL repozytorium w funkcji tworzenia komponentu, co pozwala na podanie dowolnych protokołów, nazw hostów i adresów IP, w tym localhost i adresów sieci wewnętrznej. Przy wybranym systemie kontroli wersji Mercurial aplikacja ujawnia pełną odpowiedź HTTP serwera dla podanego URL, co tworzy podatność typu SSRF umożliwiającą sondowanie usług wewnętrznych i odczytywanie ich zawartości. Dodatkowo błędy aplikacji pozwalają na enumerację plików lokalnych poprzez żądania file://, a w środowiskach chmurowych możliwy jest dostęp do wewnętrznych punktów końcowych, takich jak usługi metadanych.

Misskey to otwarta, sfederowana platforma mediów społecznościowych. W wersjach od 13.0.0-beta.16 do wersji przed 2025.12.0 aktor niemający uprawnień do przeglądania ulubionych lub klipów może wyeksportować posty i zobaczyć ich zawartość. Wersja 2025.12.0 naprawia ten problem.

W CTCMS Content Management System do wersji 2.1.2 występuje podatność w module zarządzania szablonami (plik CT_Parser.php). Niewłaściwe neutralizowanie specjalnych elementów w silniku szablonów umożliwia zdalny atak.

W Hitachi Vantara Pentaho Data Integration and Analytics Community Dashboard Framework w wersjach przed 10.2.0.4, w tym 9.3.0.x i 8.3.x, serwlet GetCdfResource wyświetla pełny stos wywołań serwera w przypadku wystąpienia błędu. Może to ujawnić szczegóły techniczne środowiska.

W systemie zarządzania treścią CTCMS do wersji 2.1.2 wykryto podatność na wstrzykiwanie kodu w nieznanej funkcji biblioteki /ctcms/libs/Ct_Config.php w module konfiguracji backendu. Manipulacja argumentami Cj_Add/Cj_Edit umożliwia zdalne wykonanie kodu. Exploit jest publicznie dostępny.

W systemie zarządzania treścią CTCMS do wersji 2.1.2 stwierdzono podatność na wstrzykiwanie kodu w funkcji Save pliku /ctcms/libs/Ct_App.php w module konfiguracji aplikacji backendu. Manipulacja argumentem CT_App_Paytype umożliwia zdalne wykonanie kodu. Exploit jest publicznie dostępny.

W Zimbra Collaboration (ZCS) 10.0 i 10.1 wykryto problem: w publicznie dostępnym Zimlecie Flickr znajdują się zaszyte na stałe klucz i sekret API Flickr. Ponieważ te dane uwierzytelniające są osadzone bezpośrednio w Zimlecie, każda nieupoważniona strona może je pobrać i nadużyć integracji z Flickr. Atakujący z dostępem do tych danych może podszywać się pod legalną aplikację i inicjować prawidłowe przepływy OAuth Flickr. Jeśli użytkownik zostanie nakłoniony do zatwierdzenia takiego żądania, atakujący może uzyskać dostęp do danych Flickr użytkownika. Zaszyte dane zostały usunięte z kodu Zimleta, a powiązany klucz został unieważniony.

IBM UrbanCode Deploy w wersjach 7.1 do 7.1.2.27, 7.2 do 7.2.3.20, 7.3 do 7.3.2.15 oraz IBM DevOps Deploy w wersjach 8.0 do 8.0.1.10 i 8.1 do 8.1.2.3 jest podatny na warunek wyścigu w egzekwowaniu powiązania sesji HTTP z adresem IP klienta. Może to pozwolić na krótkie ponowne użycie sesji z nowego adresu IP przed jej unieważnieniem, potencjalnie umożliwiając nieautoryzowany dostęp w pewnych warunkach sieciowych.

IBM UCD - IBM DevOps Deploy w wersjach od 8.1 do 8.1.2.3 może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami do konfiguracji integracji LLM na odzyskanie wcześniej zapisanego tokena API LLM.

IBM DevOps Deploy w wersjach 8.1 do 8.1.2.3 przesyła dane w postaci jawnej, co może pozwolić atakującemu na uzyskanie poufnych informacji za pomocą technik man-in-the-middle.

W stosie Bluetooth Host, w procedurze bt_br_acl_recv odpowiedzialnej za przetwarzanie przychodzącego ruchu BR/EDR L2CAP, występuje przepełnienie liczb całkowitych. Luka dotyczy krytycznej ścieżki przetwarzania danych.

Wtyczka Cordova cordova-plugin-x-socialsharing (SocialSharing-PhoneGap-Plugin) dla Androida w wersji 6.0.4 rejestruje eksportowany odbiornik rozgłoszeń nl.xservices.plugins.ShareChooserPendingIntent z filtrem intencji android.intent.action.SEND. Implementacja onReceive uzyskuje dostęp do Intent.EXTRA_CHOSEN_COMPONENT bez sprawdzania wartości null, co przy braku tego dodatku powoduje wyjątek NullPointerException. Ponieważ odbiornik jest eksportowany i nie weryfikuje uprawnień ani wywołującego, dowolna lokalna aplikacja może wysyłać spreparowane rozgłoszenia ACTION_SEND i wielokrotnie powodować awarię aplikacji hosta.

Podatność HTML Injection w sekcji komentarzy na stronie projektu w MicroStudio 24.01.29 pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML przez parametr text funkcji add_project_comment.

W Frappe ERPNext do wersji 15.89.0 istnieje podatność SSTI (Server-Side Template Injection) w metodzie get_terms_and_conditions. Funkcja renderuje kontrolowane przez atakującego szablony Jinja2 (terms) za pomocą frappe.render_template() z kontekstem dostarczonym przez użytkownika (doc). Mimo że Frappe używa niestandardowego SandboxedEnvironment, niektóre niebezpieczne globalne obiekty, takie jak frappe.db.sql, są nadal dostępne w kontekście wykonania przez get_safe_globals(). Uwierzytelniony atakujący z dostępem do tworzenia lub modyfikowania dokumentu Warunki i zasady może wstrzyknąć dowolne wyrażenia Jinja do pola terms, co prowadzi do wykonania kodu po stronie serwera w ograniczonym, ale wciąż niebezpiecznym kontekście. Podatność może być wykorzystana do wycieku informacji z bazy danych.