Katalog podatności CVE

W Campcodes Retro Basketball Shoes Online Store 1.0 wykryto podatność w nieznanej funkcjonalności pliku /admin/admin_football.php. Manipulacja argumentem product_image prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W Progress MOVEit Transfer występuje podatność Server-Side Request Forgery (SSRF). Problem dotyczy wersji przed 2024.1.8 oraz wersji od 2025.0.0 przed 2025.0.4.

W bridgetech VBC Server & Element Manager w wersji firmware 6.5.0-10 i 6.5.0-9 odkryto problem pozwalający nieautoryzowanym atakującym na usuwanie i tworzenie dowolnych kont. Podatność może być wykorzystana do przejęcia kontroli nad systemem.

Urządzenia GatesAir Flexiva-LX (modele LX100, LX300, LX600, LX1000) z firmware 1.0.13 i 2.0 ujawniają identyfikatory sesji (sid) w publicznie dostępnym pliku logu /log/Flexiva%20LX.log. Nieuwierzytelniony atakujący może pobrać ważne identyfikatory sesji i przejąć sesję bez podawania danych uwierzytelniających, pod warunkiem że administrator wcześniej zamknął przeglądarkę bez wylogowania.

W funkcji udostępniania tekstu w FileCodeBox w wersji 2.2 i wcześniejszych występuje podatność stored cross-site scripting (XSS). Niewystarczająca walidacja danych wejściowych pozwala atakującemu wstrzyknąć dowolny kod JavaScript do udostępnianych "codeboxów". Ładunek XSS jest automatycznie wykonywany w przeglądarkach użytkowników, którzy uzyskają dostęp do zainfekowanego codeboxa.

IBM i w wersjach 7.2, 7.3, 7.4, 7.5 i 7.6 jest dotknięty podatnością ujawnienia informacji w implementacji pamięci podręcznej planów bazy danych. Użytkownik mający dostęp do pamięci podręcznej planów bazy danych może zobaczyć informacje, do których nie ma uprawnień.

Isar to system integracji do automatycznego generowania głównego systemu plików. W wersjach 0.11-rc1 i 0.11 samo zdefiniowanie ISAR_APT_SNAPSHOT_DATE nie ustawia prawidłowego znacznika czasu dla dystrybucji bezpieczeństwa, co prowadzi do pominięcia aktualizacji bezpieczeństwa. Problem został naprawiony w commicie 738bcbb.

W bridgetech VBC Server & Element Manager w wersjach firmware od 6.5.0-9 do 6.5.0-10 występuje podatność typu stored cross-site scripting (XSS). Atakujący może wykonać dowolny kod poprzez parametr addName w punkcie końcowym /vbc/core/userSetupDoc/userSetupDoc.

W rozszerzeniu XWiki Remote Macros przed wersją 1.27.0 użytkownik bez uprawnień do przeglądania strony może zobaczyć zawartość załącznika biurowego wyświetlanego makrem view file. Problem został naprawiony w wersji 1.27.0.

Rallly, narzędzie do planowania i współpracy, w wersjach przed 4.5.4 ma podatność IDOR (Insecure Direct Object Reference). Umożliwia ona każdemu uwierzytelnionemu użytkownikowi zmianę nazw wyświetlanych innych uczestników ankiet bez uprawnień administratora lub właściciela ankiety.

Rallly to narzędzie do planowania i współpracy. Przed wersją 4.5.4 w punkcie tworzenia komentarzy występuje błąd autoryzacji, który pozwala uwierzytelnionym użytkownikom podszyć się pod innego użytkownika poprzez zmianę pola authorName w żądaniu API.

Rallly w wersjach przed 4.5.4 ma podatność IDOR, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować głosy innych uczestników ankiet bez autoryzacji. Backend opiera się wyłącznie na parametrze participantId, nie weryfikując własności ani uprawnień do ankiety.

esm.sh przed wersją 136 zawiera podatność na wstrzyknięcie wyrażeń szablonowych (CWE-94) w konwersji CSS do modułu JavaScript. Złośliwy kod JavaScript wstawiony przez wyrażenia ${...} w plikach CSS wykonuje się przy imporcie modułu, umożliwiając XSS w przeglądarkach i RCE w aplikacjach Electron.

Rallly to open-source'owe narzędzie do planowania i współpracy. Przed wersją 4.5.4 podatność Insecure Direct Object Reference (IDOR) w punkcie końcowym duplikacji ankiet (/api/trpc/polls.duplicate) pozwala każdemu uwierzytelnionemu użytkownikowi na duplikowanie ankiet, których nie jest właścicielem, poprzez modyfikację parametru pollId. Omija to kontrolę dostępu i pozwala nieuprawnionym użytkownikom klonować prywatne lub administracyjne ankiety.

Astro to framework webowy. W wersjach przed 5.15.9, przy użyciu adaptera Cloudflare (@astrojs/cloudflare) z output: 'server', endpoint optymalizacji obrazów (/_image) zawiera krytyczną podatność w funkcji isRemoteAllowed(), która bezwarunkowo zezwala na adresy URL z protokołem data:. Umożliwia to ataki XSS poprzez złośliwe ładunki SVG, omijając ograniczenia domen i politykę CSP.

W Astro przed wersją 5.15.8 istnieje niezgodność między normalizacją ścieżek żądań do routingu a odczytem ścieżki przez middleware. Astro stosuje decodeURI(), a middleware używa context.url.pathname bez tej normalizacji, co może pozwolić na obejście kontroli walidacji.

authentik to open-source'owy dostawca tożsamości. Przed wersjami 2025.8.5 i 2025.10.2 zaproszenia były uznawane za ważne niezależnie od tego, czy wygasły, polegając na zadaniach w tle usuwających wygasłe zaproszenia, co może zająć do 5 minut lub dłużej przy dużym obciążeniu.

authentik to otwartoźródłowy dostawca tożsamości. W wersjach przed 2025.8.5 i 2025.10.2, podczas uwierzytelniania za pomocą client_id i client_secret u dostawcy OAuth, authentik tworzy konto usługi dla dostawcy. W poprzednich wersjach authentik uwierzytelnianie dla tego konta było możliwe nawet gdy konto było dezaktywowane. Inne uprawnienia są poprawnie stosowane, a federacja z innymi dostawcami nadal uwzględnia przypisane zasady. Wersje authentik 2025.8.5 i 2025.10.2 naprawiają ten problem. Obejście polega na dodaniu zasady do aplikacji, która jawnie sprawdza, czy konto usługi jest nadal ważne, i odmawia dostępu, jeśli nie jest.

eGovFrame Common Components w wersjach do 4.3.1 zawiera nieuwierzytelnioną podatność na przesyłanie plików przez endpointy /utl/wed/insertImage.do i /utl/wed/insertImageCk.do. Atakujący może przesłać dowolną treść, a serwer przechowuje plik i zwraca URL do pobrania, co pozwala na wykorzystanie aplikacji jako hostingu plików.

W urządzeniach AudioCodes Fax Server i Auto-Attendant IVR (wersje do 2.6.23) komponent webowy F2MAdmin udostępnia nieuwierzytelniony endpoint do przesyłania plików (ajaxPromptUploadFile.php). Zdalny atakujący może przesyłać lub nadpisywać pliki w katalogu C:\F2MAdmin\tmp bez uwierzytelnienia i walidacji typu pliku.