Katalog podatności CVE

W ZAC przed wersją 5.2.0 endpointy odczytu po identyfikatorze w ZaakRestService.kt pomijają autoryzację assertPolicy. Uwierzytelniony użytkownik gminny o niskich uprawnieniach, znający UUID sprawy lub decyzji, może odczytać decyzje, historię audytu oraz stan procesu BPMN w nieautoryzowanych typach spraw. Doradztwo wskazuje również endpoint afzender jako ujawniający konfigurację skrzynki bez sprawdzenia polityki.

W SecureDrop od wersji 2.5.0 do 2.16.0 interfejs dziennikarza może akceptować token sesji API w interfejsie webowym, ponieważ SessionInterface utrzymuje zmienny prefiks klucza sesji zmieniający się przy każdym żądaniu. Atakujący, który ma już dostęp do adresu onion interfejsu dziennikarza, wymagane uwierzytelnienie i ważny token sesji API, może użyć tego tokenu w interfejsie webowym do jego naturalnego wygaśnięcia (maksymalnie osiem godzin).

W Frappe Learning Management System (LMS) przed wersją 2.52.0 uwierzytelniony użytkownik z rolą edycji kursu może wstrzyknąć złośliwy JavaScript poprzez pola meta tagów w module Course Management. Wartości są przechowywane bez odpowiedniej sanityzacji HTML i nie są bezpiecznie escapowane podczas renderowania, co umożliwia przechowywany cross-site scripting.

W BeeHome MyBeeHome przed wersją 2025-11-01 występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcjonalność edycji profilu oraz komponent czatu. Brak szczegółów dotyczących wektora ataku w dostarczonym opisie.

Wtyczka APIExperts Square for WooCommerce (woosquare) zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji od n/a do 4.7.5 włącznie. Może to pozwolić atakującemu na wymuszenie na uwierzytelnionym użytkowniku wykonania niepożądanych działań.

Wtyczka The Events Calendar (the-events-calendar) zawiera podatność Missing Authorization, pozwalającą na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 6.18.2 włącznie. Może to umożliwić nieuprawniony dostęp do funkcji lub danych.

Wtyczka Media Player Addons for Elementor (media-player-addons-for-elementor) zawiera podatność Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 1.1.10 włącznie. Może to pozwolić na przechowywany XSS.

Wekan, open-source'owa tablica kanban zbudowana na Meteor, przed wersją 11.11 przekazuje dane kontrolowane przez użytkownika (searchTerm i query) do new RegExp() bez escapowania metaznaków wyrażeń regularnych. W wdrożeniach opartych na MongoDB wzorce są oceniane przez PCRE2, co pozwala zalogowanemu użytkownikowi na wysłanie wyrażeń powodujących katastrofalne cofanie (catastrophic backtracking) i wyczerpanie CPU bazy danych. Metoda searchUsers dodatkowo wymaga członkostwa w tablicy lub uprawnień administratora witryny.

gopacket, biblioteka do przetwarzania pakietów w Go, przed wersją 1.7.2 przekazuje w layers/sctp.go długości i liczby kontrolowane przez atakującego do poddekoderów SCTP (decodeSCTPInit, decodeSCTPShutdown, decodeSCTPError, decodeSCTPSack, decodeSCTPParameter) bez sprawdzenia, czy każdy chunk zawiera wymagane pola. Spreparowany segment SCTP może wywołać panikę z powodu wyjścia poza zakres lub odwróconego slice'a. Panika może zakończyć aplikacje używające SkipDecodeRecovery, bezpośrednich dekoderów lub DecodingLayerParser z IgnorePanic; domyślne API z odzyskiwaniem zamienia ją w błąd dekodowania pojedynczego pakietu.

croc, narzędzie do bezpiecznego przesyłania plików i folderów między komputerami, przed wersją 11.5.2 w pętli gotowości plików po stronie odbiorcy (src/croc/croc.go) traktuje każdą nazwę bazową kontrolowaną przez nadawcę, rozpoczynającą się od croc-stdin-, jako zaufany artefakt transferu tekstowego, nawet gdy SendingText jest false. Powoduje to pominięcie askReceiveOverwrite i obsługi zmiany nazwy przy przewidywalnej kolizji nazw w katalogu roboczym odbiorcy, co pozwala zdalnemu nadawcy nadpisać, obciąć lub zastąpić pasujący plik bez potwierdzenia.

Niekompletna walidacja ciągów znaków w AWS aws-nitro-enclaves-sdk-c przed wersją 0.4.6 może pozwolić stronie trzeciej na podszycie się pod punkt końcowy AWS KMS. Aby usunąć problem, użytkownicy powinni przebudować dowolny niestandardowy obraz enclave z użyciem aws-nitro-enclaves-sdk-c 0.4.6.

W SUSE Rancher Manager w wersjach 2.15.0–2.15.3, 2.14.0–2.14.7, 2.13.0–2.13.11, 2.12.0–2.12.15, 2.11.0–2.11.19 oraz prawdopodobnie starszych występuje luka w autoryzacji funkcji lokalnego (zarządzającego) shella klastra. Wprowadzona kontrola dostępu nie została zastosowana do każdej trasy API prowadzącej do tej funkcji, więc alternatywna forma żądania docierała do obsługi shella bez sprawdzenia uprawnień. Może to pozwolić każdemu uwierzytelnionemu użytkownikowi na uruchomienie poda w klastrze zarządzającym.

Wtyczka Fluent CRM dla WordPressa w wersjach do 3.2.6 zawiera podatność braku autoryzacji wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na wykorzystanie błędnie skonfigurowanych mechanizmów bezpieczeństwa.

Blender w wersjach przed 4.5.15 oraz 5.x przed 5.2.3 zawiera podatność odczytu poza granice w akcesorach blo_bhead_id_* w readfile.cc, które czytają pola ID bez sprawdzania długości bloku. Atakujący może dostarczyć spreparowany plik .blend z krótkimi blokami ID, powodując nadczyt sterty prowadzący do awarii lub ujawnienia pamięci.

Blender w wersjach przed 4.5.15 oraz 5.x przed 5.2.3 zawiera podatność odczytu poza granice sterty w funkcji read_file_dna(), która czyta pole bloku GLOB bez walidacji zadeklarowanej długości. Atakujący może dostarczyć spreparowany plik .blend z obciętym blokiem GLOB, co po otwarciu powoduje odczyt poza granice i awarię Blendera.

NocoDB w wersjach przed 2026.08.0 zawiera podatność clickjacking, ponieważ nie wysyła nagłówków X-Frame-Options ani CSP frame-ancestors, co pozwala dowolnej domenie osadzić uwierzytelniony interfejs w ramce. Atakujący może nakładać złośliwą stronę na sesję zalogowanego użytkownika i wymuszać kliknięcia modyfikujące lub usuwające rekordy, zmieniające ustawienia udostępniania lub zapraszające współpracowników.

Wtyczka My Calendar dla WordPressa w wersjach 3.8.8 do 3.8.11 zawiera podatność wstrzyknięcia shortcode, która pozwala nieuwierzytelnionym atakującym na wykonanie zarejestrowanych shortcode'ów poprzez parametr wyszukiwania mcs. Wartość mcs trafia do mc_search_results() bez kodowania nawiasów przed uruchomieniem do_shortcode, więc żądanie GET uruchamia shortcode'y na dowolnej stronie lub wpisie, umożliwiając wstrzyknięcie treści i podszywanie się.

PipesHub w wersjach przed 0.10.0 zawiera podatność SSRF w ImageParser._fetch_single_url, która pozwala atakującym zmusić usługę indeksowania do pobierania adresów wewnętrznych poprzez osadzanie URL-i obrazów w dokumentach. Atakujący może dostarczyć Markdown lub HTML przez uploady, zsynchronizowane skrzynki pocztowe lub konektory web, aby dotrzeć do pętli zwrotnej, sieci prywatnej lub punktów metadanych chmury, a odpowiedzi obrazów są osadzane w indeksowanej treści.

PipesHub w wersjach przed 0.10.0 zawiera podatność obejścia limitu szybkości w getClientIp(), która pozwala nieuwierzytelnionym atakującym ominąć ograniczenia per-IP poprzez fałszowanie nagłówków X-Forwarded-For lub X-Real-IP. Atakujący może rotować wartości nagłówków, aby uzyskać nowe koszyki limitów na endpointach uwierzytelniania, umożliwiając password spraying oraz zalewanie skrzynki e-mailami resetowania hasła lub OTP.

Grimoire w wersjach przed 1.0.0 zawiera nieuwierzytelnioną podatność SSRF w handlerze POST /api/fetch-metadata, który przekazuje URL-e dostarczone przez użytkownika do getMetadata() bez sprawdzania uwierzytelnienia. Atakujący może przesyłać URL-e wskazujące na pętlę zwrotną, sieć wewnętrzną lub punkty metadanych chmury i odczytywać zwracany tytuł, opis i treść strony.