Katalog podatności CVE

W kin-openapi od wersji 0.144.0 do 0.147.0 openapi3filter.ValidationHandler waliduje operację wybraną ze zdekodowanego URL.Path, podczas gdy router gorilla/mux skonfigurowany z UseEncodedPath może skierować żądanie do innej operacji wybranej z URL.RawPath. Gdy publiczna trasa dokładna i chroniona trasa parametryzowana używają tej samej metody i nakładają się po dekodowaniu, nieuwierzytelnione żądanie zawierające zakodowany separator ścieżki może zostać zwalidowane jako publiczne, a następnie skierowane do chronionego handlera bez wywołania AuthenticationFunc.

W kin-openapi przed wersją 0.146.0 funkcja openapi3filter.ValidateResponse przekazuje nil schemat nagłówka odpowiedzi do decodeValue, gdy dokument OpenAPI deklaruje nagłówek z content zamiast schema. Dokument przechodzi walidację, ale każda walidacja odpowiedzi dla dotkniętej operacji wyłuskuje nil schemat i powoduje panikę, nawet gdy odpowiedź nie zawiera zadeklarowanego nagłówka.

Proxy źródła danych Grafany nie stosowało kontroli dostępu opartej na rolach do żądań zapisu przekazywanych do źródeł danych Loki. Użytkownik z rolą Viewer mógł wysyłać żądania POST, PUT i DELETE przez proxy do API reguł Loki (/loki/api/v1/rules), tworząc, modyfikując i usuwając reguły alertów Loki. Ponieważ reguły są przechowywane przez Loki, zmiana działała dla wszystkich użytkowników tego źródła danych.

Problem w lottie-android 6.7.1 i wcześniejszych (oraz master) pozwala zdalnemu atakującemu wywołać odmowę usługi poprzez spreparowany JSON animacji Lottie zawierający cykliczny graf prekompozycji, który wywołuje niekontrolowaną rekurencję w BaseLayer.forModel i CompositionLayer.

Podatność przepełnienia bufora w HPE NonStop XABroker może powodować uszkodzenie pamięci, prowadząc do awarii aplikacji.

Podatność przepełnienia bufora w HPE NonStop ODBC/MX Server może powodować uszkodzenie pamięci, prowadząc do awarii aplikacji.

Podatność przepełnienia bufora w HPE NonStop ODBC/MX Services może powodować uszkodzenie pamięci, prowadząc do awarii aplikacji.

W EspoCRM od wersji 8.1.0 do 9.3.8 uwierzytelniony nieadministrator może przesłać spreparowany parametr where do endpointu GET entity streamAttachments, ponieważ ta ścieżka zapytania pozwala na złożone wyrażenia. Ślepa iniekcja SQL oparta na wartościach logicznych może wyodrębnić dowolne informacje z bazy danych, w tym aktywne tokeny sesji administratorów, i umożliwić pełną eskalację uprawnień.

Podatność lokalnej eskalacji uprawnień w TotalAV pozwala nieuprzywilejowanemu lokalnemu użytkownikowi sfałszować token uwierzytelniający gRPC IPC poprzez załadowanie IPC.dll i wykorzystać usługę SYSTEM w TotalAV do wykonania dowolnego kodu jako NT AUTHORITY\SYSTEM.

W komponencie Symfony YAML przed wersjami 5.4.54, 6.4.45, 7.4.18 i 8.1.6 metoda Yaml\Parser::lexInlineStructure() rekurencyjnie przetwarzała każdy znak { i [ w kolekcji inline, nie wchodząc na poziom zagnieżdżenia ograniczany przez maxNestingLevel. Dokument z głęboko zagnieżdżonymi kolekcjami inline, np. [[[[...]]]], wyczerpywał stos podczas analizy, powodując awarię procesu lub błąd fatalny żądania. Podatność dotyczy każdego kodu parsującego niezaufany YAML, w tym #[MapRequestPayload], gdy komponent Yaml jest zainstalowany, a endpoint nie ogranicza acceptFormat.

W Progress Kendo UI for jQuery przed wersją v2026.3.1015 specjalnie spreparowane wartości filtrów w transporcie PivotGrid XMLA mogły zmieniać predykaty MDX lub wstrzykiwać znaczniki XML do żądań SOAP. Może to prowadzić do ujawnienia danych dostępnych przez skonfigurowane połączenie XMLA.

W Symfony http-foundation przed wersjami 5.4.54, 6.4.46, 7.4.19 i 8.1.7 metoda HeaderUtils::split() parsowała wartości nagłówków wzorcem, którego alternatywa tokenu dopasowywała również białe znaki, z negatywnym lookbehind (?<!\s). Ciąg białych znaków przed separatorem mógł być dzielony na wykładniczo wiele sposobów, powodując wysokie zużycie CPU. HeaderBag wywołuje tę metodę dla nagłówka Cache-Control przy każdym budowaniu Request, więc każda aplikacja obsługująca żądania HTTP jest narażona bez uwierzytelnienia. Od 18 spacji preg_match_all() osiąga limit pcre.backtrack_limit, a split() zwraca pustą tablicę, przez co dyrektywy nagłówka są po cichu odrzucane.

P4 Search (dawniej Helix Search) zwraca zapisane poświadczenia w postaci jawnej przez swoje API konfiguracji użytkownikom z uprawnieniami administracyjnymi na podłączonym serwerze P4. Umożliwia to eskalację uprawnień. Podatność dotyczy wersji 2026.4.2 i wcześniejszych, została naprawiona w 2026.4.3.

P4 Search (dawniej Helix Search) pozwala uwierzytelnionemu użytkownikowi z uprawnieniami administracyjnymi na podłączonym serwerze P4 dostarczyć spreparowaną konfigurację logowania, która powoduje zapis lub usunięcie plików poza zamierzonym katalogiem logów. Może to prowadzić do wykonania kodu jako konto usługi P4 Search. Podatność dotyczy P4 Search 2026.4.2 i wcześniejszych; Perforce naprawił ją w 2026.4.3.

W serwisie Eclipse Adoptium (adoptium.net) strona po pobraniu /[locale]/download pobiera adres URL z parametru zapytania "link" i automatycznie na niego przechodzi za pomocą meta http-equiv="refresh". Adres jest weryfikowany względem listy zaufanych prefiksów przy użyciu String.startsWith() na surowym ciągu, podczas gdy przeglądarka stosuje normalizację segmentów kropkowych zgodnie z RFC 3986 przed nawigacją, więc wartość taka jak https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe przechodzi weryfikację, ale prowadzi do repozytorium kontrolowanego przez atakującego. Ofiara, która kliknie spreparowany link adoptium.net, zobaczy prawdziwą stronę "Thank you for downloading Eclipse Temurin", podczas gdy jej przeglądarka pobierze plik binarny wybrany przez atakującego.

Enterprise Architect jest podatny na wstrzyknięcie zewnętrznych encji XML (XXE) w funkcji XSLT Debugger. Gdy użytkownik wczyta spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego DTD, parser przetwarza zewnętrzne encje, umożliwiając atakującemu odczyt dowolnych plików z systemu ofiary. Z powodu nieudanych prób kontaktu z dostawcą podatność potwierdzono tylko w wersji 17.1, ale może dotyczyć również innych wersji.

Podatność w HPE NonStop SQL/MX UDR SERVER może pozwolić spreparowanej wiadomości na spowodowanie zakończenia procesu, zakłócenia usługi lub uszkodzenia pamięci, prowadząc do niezdefiniowanego zachowania.

W wersjach `api-gateway` do `1.7.3` domyślny resolver klucza limitu szybkości, `ClientIpKeyResolver`, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka żądania `X-Forwarded-For`. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem żadnej listy zaufanych proxy. Pojedynczy atakujący może więc uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na każdą unikalną wartość nagłówka — i całkowicie obejść ograniczanie szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.

W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości, ClientIpKeyResolver, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka X-Forwarded-For. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem listy zaufanych proxy. Pojedynczy atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na unikalną wartość nagłówka — i całkowicie obejść limit szybkości żądań na każdej trasie używającej domyślnej konfiguracji.

Podatność typu Cross-site Scripting (XSS) w wtyczce Social Share Buttons firmy maxfoundry (share-button) pozwala na przechowywane XSS. Podatność dotyczy Social Share Buttons w wersjach od n/a do 1.31.