Katalog podatności CVE

yshop-crm do wersji 2.1.3 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom sprzedaży na dostęp do rekordów klientów innych użytkowników poprzez podanie dowolnych identyfikatorów. Atakujący mogą enumerować identyfikatory w endpointach get, update, delete i do-open, aby odczytać dane kontaktowe, nadpisać lub usunąć klientów, albo zwolnić ich do publicznej puli.

Niefy wx-api do wersji 0.8.2 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na podszycie się pod fanów WeChat poprzez dostarczenie surowego ciasteczka openid do kontrolerów skierowanych do fanów. Atakujący znający openid ofiary mogą wywołać endpointy /wxUser/getUserInfo i /wxUserTags, aby odczytać pseudonim, telefon, unionid i tagi oraz dodawać lub usuwać tagi fanów.

HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę braku autoryzacji w punkcie końcowym hcp-mp PayController.xcxRecharge, która pozwala atakującym modyfikować saldo portfela dowolnego członka bez dokonywania płatności. Atakujący mogą wysyłać żądania z dowolnymi parametrami amount i userId, aby zwiększać lub zmniejszać salda oraz korzystać z usług ładowania za darmo.

HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w hcp-mp MeController i OrderController, która ufa parametrom userId, openId i orderNumber dostarczonym przez klienta. Atakujący mogą enumerować sekwencyjne identyfikatory członków w punktach końcowych takich jak /me/getMemberBalanceByUserId i /order/orderDetail, aby odczytać portfel, kredyty, profil i zamówienia ładowania dowolnego członka.

data-platform-open do commita efeacd3 używa zakodowanego na stałe, publicznie znanego domyślnego klucza AES w AesPasswordEncAndDecServiceImpl, co pozwala uwierzytelnionym atakującym odszyfrować przechowywane hasła do źródeł danych. Atakujący mogą uzyskać zaszyfrowane hasła z API szczegółów źródła danych, na przykład poprzez IDOR między obszarami roboczymi, i odszyfrować je offline, aby odzyskać poświadczenia do bazy danych w postaci jawnej.

qKnow do wersji 2.4.3 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp do punktów końcowych integracji przepływu pracy /flyflow dozwolonych w SecurityConfig. Atakujący mogą wysyłać sekwencyjne wartości userId do /flyflow/userById lub wywoływać roleAll i deptListByParentDeptId, aby enumerować numery telefonów użytkowników, role i strukturę działów.

Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy użytkowników z dowolnego działu poprzez ignorowanie zakresu danych roli. Atakujący mogą wysyłać żądania GET /xboot/user/getByDepartmentId/{departmentId} z dowolnymi identyfikatorami działów, aby uzyskać nazwy użytkowników, prawdziwe nazwiska, numery telefonów, adresy e-mail i statusy.

Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych ról poprzez wysłanie openDataFilter=false. Atakujący mogą dołączyć ten parametr do punktów końcowych getByParentId lub search działu, aby uzyskać całe drzewo działów organizacji i nazwy poza przypisanym zakresem.

Allegro Ralph do wersji 20260902.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom personelu obejść uprawnienia do modelu rack, ponieważ RalphPermission pomija sprawdzenia dla widoków bez queryset. Atakujący mogą wywoływać DCAssetsView i SRRacksAPIView pod /api/rack/<id> i /api/server_room/<id>, aby odczytywać nazwy hostów, numery seryjne i adresy IP zarządzania oraz modyfikować, przenosić lub tworzyć racki.

EFAK 5.0.0 do 5.1.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytywać klucze API dostawców LLM poprzez REST API /api/model-config. Atakujący z dowolnym kontem ROLE_USER mogą odpytywać /api/model-config/page lub /api/model-config/{id}, aby uzyskać niezamaskowane klucze, umożliwiając dostęp do kont dostawców i ponoszenie kosztów.

Ekko Studio do wersji 0.7.36 zawiera lukę braku autoryzacji, która pozwala dowolnemu uwierzytelnionemu użytkownikowi niebędącemu super_adminem wyświetlać i czyścić blokady logowania na całym serwerze poprzez /api/auth/locked-ips. Atakujący mogą wysyłać żądania DELETE bez parametru ip, aby wywołać unlockAll(), wyłączając ogranicznik szybkości logowania podczas zgadywania hasła do kont super_admin.

Antiword do wersji 0.37 zawiera lukę odczytu poza granicami sterty w vGet8LstInfo w prop8.c, spowodowaną odwróconym sprawdzeniem granic na liczbie rekordów PlcfLst. Atakujący mogą dostarczyć spreparowany plik Word 8 .doc, który deklaruje do 0xffff rekordów LSTF w małym buforze, powodując odczyty poza alokacją sterty, które crashują proces.

Faveo Helpdesk do wersji 2.0.3 zawiera podatność typu broken access control, która pozwala uwierzytelnionym agentom odczytywać zgłoszenia z innych działów poprzez handler getTooltip. Atakujący może enumerować kolejne wartości ticketid w żądaniu GET /ticket/tooltip, aby czytać konwersacje zgłoszeń, w tym dane osobowe klientów i wewnętrzne notatki agentów.

Tbed do wersji 20240319 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi zmieniać nazwy obrazów innych użytkowników poprzez endpoint /admin/setImgFileName. Atakujący może podać imgname ofiary, ujawnione w publicznych URL-ach obrazów i listingach albumów, aby nadpisać nazwy wyświetlane wybranym przez siebie tekstem przypisanym ofierze.

Cube-studio do wersji 2026.09.01 zawiera podatność braku autoryzacji w myapp/views/view_pipeline.py, która pozwala uwierzytelnionym użytkownikom przeglądać lub kopiować pipeline'y innych grup projektowych po identyfikatorze. Atakujący może enumerować kolejne identyfikatory pipeline'ów przez endpointy web, log, monitoring, pod i copy_pipeline, ujawniając DAG-i, nazwy klastrów, przestrzenie nazw, identyfikatory workflow Argo i nazwy podów, albo klonować pipeline'y.

ClickVisual do wersji 1.1.2 zawiera podatność braku autoryzacji w handlerach /api/v2/reports, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach uzyskać dostęp do instancji ClickHouse, do których nie zostali upoważnieni. Atakujący może iterować parametr instance-id w ReportSourceDatabases, ReportSourceTables, ReportTableColumns i WhereCheckRun, aby enumerować schematy i wnioskować o liczbie wierszy w zastrzeżonych tabelach.

ZR.Admin.NET do wersji 3.8.2 zawiera podatność SQL injection, która pozwala uwierzytelnionym atakującym manipulować klauzulą ORDER BY poprzez dostarczenie spreparowanego parametru PagerInfo.Sort do wspólnego helpera stronicowania ToPage. Atakujący posiadający uprawnienie system:user:list może wstrzykiwać podzapytania lub wyrażenia CASE przez GET /system/user/list, aby metodami ślepymi wyodrębnić zawartość bazy danych, taką jak przechowywane poświadczenia.

AIHelms do wersji 0.1.25 zawiera podatność braku autoryzacji w apps/api/v1/efficiency.py, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach obejść kontrole uprawnień efficiency:read i efficiency:write. Atakujący może odpytywać trasy takie jak /cost/detail, /top-users i /budget, aby odczytać wydatki AI całej organizacji, a także modyfikować statusy sugestii lub generować raporty.

REBUILD do wersji 4.5.0 zawiera podatność braku autoryzacji w TaskCommentController.commentList, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach czytać komentarze do zadań bez sprawdzania przynależności do projektu. Atakujący może podać identyfikator zadania z prywatnego projektu do endpointu /project/comments/list, aby uzyskać treść komentarzy i odwołania do załączników.

Steedos Platform do wersji 3.0.15-beta.51 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać definicje raportów innych najemców poprzez odpytywanie obiektu reports. Ponieważ callAdapter w objectql pomija filtrowanie przestrzeni dla obiektów enable_space_global przy find/findOne, atakujący może wywołać GET /api/v1/reports, aby ujawnić nazwy raportów, opisy oraz nazwy API obiektów i pól.