Katalog podatności CVE

Munshi (by Petpooja) przed 2026-06-17 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym atakującym uzyskać dostęp do zapytań zakupowych innych użytkowników poprzez manipulację identyfikatorem wątku w endpoincie GET /purchase-inquiry/thread/{thread-id}. Atakujący może odczytać komunikację z dostawcami i treści ofert należące do innych użytkowników.

Munshi (by Petpooja) przed 2026-07-28 zawiera podatność typu broken object level authorization, która pozwala uwierzytelnionym podużytkownikom usuwać faktury należące do właściciela tenanta poprzez endpointy DELETE /api/invoice/{invoice_id} oraz POST /api/invoices/bulk-delete. Endpointy weryfikują jedynie przynależność do tenanta, nie egzekwując własności obiektu ani uprawnień.

Rozszerzenie Joomla DJ-Classifieds w wersji przed 3.11.3 zawiera podatność IDOR w funkcji „duplicate my ad” formularza nowego ogłoszenia. Ogłoszenie jest ładowane po surowym numerycznym ID bez sprawdzenia, czy należy do żądającego użytkownika oraz czy jest opublikowane, zablokowane lub w wersji roboczej, co pozwala każdemu zalogowanemu użytkownikowi odczytać pełną treść cudzego ogłoszenia, w tym dane kontaktowe i cenę.

W bibliotece newspaper4k do wersji 0.9.6 wykryto podatność w funkcji Article.parse w pliku newspaper/extractors/image_extractor.py (komponent Image Extractor). Manipulacja danymi prowadzi do podatności Server-Side Request Forgery (SSRF), możliwej do wykorzystania zdalnie.

Implementacja obsługi błędów nie oczyszcza ani nie waliduje poprawnie danych wejściowych użytkownika w parametrach URL w określonych warunkach. Umożliwia to użytkownikom końcowym manipulowanie komunikatami błędów wyświetlanymi przez aplikację.

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na ślepą iniekcję SQL w nieuwierzytelnionej trasie API loopback, która łączy się z MySQL jako root. Parametr 'user' jest wstawiany bezpośrednio do zapytania przeciw tabeli oauth_clients, co umożliwia czasową ślepą iniekcję SQL i wyodrębnienie dowolnych danych z bazy.

wrensec-commons zawiera podatność na odbity cross-site scripting (XSS) w powiązaniu HTTP frameworka CREST. Metoda HttpUtils.prepareResponse() używała parametru żądania _mimeType do ustawienia nagłówka Content-Type bez prawidłowej sanityzacji, co pozwalało na interpretację odpowiedzi JSON jako HTML i wykonanie dowolnego JavaScriptu w przeglądarce ofiary.

An Otter Wiki 2.20.1 przed 2.26.2 zawiera podatność na ujawnienie plików w osadzaniu DataTable. Atakujący mogący edytować strony, w tym anonimowi użytkownicy w domyślnej konfiguracji, mogą odczytywać pliki wewnętrzne repozytorium, ustawiając bezwzględny src, np. /.git/config, i renderując plik jako tabelę.

Otter Wiki w wersji przed 2.26.2 zawiera podatność typu stored XSS w metodzie OtterwikiMdRenderer.block_code. Osoby mogące edytować strony (w domyślnej konfiguracji także anonimowi użytkownicy) mogą umieścić HTML w bloku kodu matematycznego, który jest renderowany bez escapowania i wykonuje się u każdego przeglądającego stronę.

W Eclipse ThreadX w wersjach od 6.0.1 do 6.5.2.202603 usługi zarządzania wątkami Module Managera nie sprawdzają, czy wątek przekazany przez moduł w trybie użytkownika z ochroną pamięci należy do tego modułu. Każdy załadowany moduł może zawieszać, wznawiać, kończyć, resetować lub zmieniać priorytet wątków aplikacji i innych modułów oraz przerywać ich oczekiwania.

Chainlit 2.12.0 zawiera podatność typu server-side request forgery, która pozwala nieuwierzytelnionym atakującym obejść wpisy allowed_urls MCP ograniczone ścieżką, ponieważ validate_mcp_url nie odrzuca znaku średnika. Atakujący mogą wysyłać adresy URL MCP z segmentami '..;' do punktu końcowego /mcp, powodując żądania do ścieżek poza uprawnieniami operatora.

Wing FTP Server przed wersją 8.2.6 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom klienta webowego wstrzyknąć skrypt poprzez spreparowany parametr nowpath do webclient/makethumb.html. Atakujący mogą wyłamać się z sekcji CDATA katalogu w XML admin_get_lastconn.html, aby sfałszować identyfikator połączenia, który wykonuje się w przeglądarkach administratorów.

Outline przed wersją 1.12.0 zawiera podatność nieprawidłowej autoryzacji w authorizeDocumentPublish(), która pozwala uwierzytelnionym członkom publikować dokumenty w prywatnych kolekcjach bez uprawnień zapisu. Atakujący mogą odłączyć dokument podrzędny przez documents.unpublish, zachowując parentDocumentId, a następnie wywołać documents.update z UUID prywatnej kolekcji, aby wstrzyknąć treść phishingową.

LaraDashboard przed wersją 1.4.9 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom z uprawnieniami post.create lub post.edit wstrzyknąć skrypty poprzez nieoczyszczoną zawartość bloków design_json w LaraBuilder. Atakujący mogą zapisać bloki text-editor, HTML, text lub heading zawierające skrypt lub znaczniki obsługi zdarzeń, które wykonują się w sesjach administratorów.

Kvazaar do wersji 2.3.2 zawiera podatność nieskończonej pętli w read_header() w src/encmain.c, która pozwala atakującym zawiesić koder wiersza poleceń poprzez dostarczenie obciętego nagłówka Y4M. Atakujący mogą dostarczyć spreparowany plik .y4m bez kończącego znaku nowej linii, powodując niesprawdzone odczyty EOF i zawieszenie procesu przy pełnym obciążeniu rdzenia CPU.

libaec do wersji 1.1.7 zawiera podatność out-of-bounds read w m_se_decode() w src/decode.c, która pozwala atakującym obejść sprawdzenie granic ze znakiem poprzez zbyt długą sekwencję fundamentalną. Atakujący mogą dostarczyć spreparowany strumień CCSDS 121.0/SZIP z 2^31 lub więcej zerowymi bitami, aby zawiesić dekoder lub ujawnić sąsiednią pamięć w zdekodowanych próbkach.

L-SMASH do wersji 2.14.5 zawiera podatność heap out-of-bounds write w isom_read_hdlr() i isom_read_dref_entry() w core/read.c wywołaną przez zbyt duże rozmiary boxów. Atakujący mogą dostarczyć spreparowane pliki MP4 lub MOV deklarujące rozmiary boxów hdlr lub url większe niż pozostałe dane, co zatrzymuje pozycję strumienia i uszkadza pamięć sterty.

rapidyaml do wersji 0.16.0 zawiera podatność out-of-bounds write w ParseEngine::_add_annotation(), która pozwala atakującym uszkodzić pamięć poprzez dostarczenie YAML z nadmiarowymi kotwicami lub tagami. Atakujący mogą przesłać YAML z kolejnymi kotwicami lub tagami, aby przepełnić stałą dwuelementową tablicę adnotacji w buildach release, uszkadzając pamięć stosu.

The Sleuth Kit do wersji 4.15.0 zawiera podatność dereferencji wskaźnika NULL w decmpfs_decompress_lzvn_attr(), która pozwala atakującym zawiesić narzędzie poprzez dostarczenie spreparowanego obrazu HFS+. Atakujący mogą ustawić ogromny uncompressed_size w atrybucie inline com.apple.decmpfs LZVN, aby alokacja się nie powiodła, a dekoder zapisał przez NULL.

Biblioteka libgphoto2 do wersji 2.5.34 zawiera podatność polegającą na odczycie i zapisie poza granicami sterty w funkcji jl2005bcd_decompress(). Złośliwe kamery USB mogą dostarczyć małe wartości tablicy alokacji i nagłówek miniatury, powodując przekroczenie bufora o około 30 KB i wyciek zawartości sterty w obrazach podglądu.