Katalog podatności CVE

Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom manipulować stronami innych użytkowników, ponieważ punkty końcowe zarządzania stronami i OCR pomijają sprawdzanie has_node_perm. Atakujący znający identyfikatory UUID stron mogą je obracać, usuwać lub wyodrębniać oraz wywoływać OCR.

Swetrix Cloud w wersji przed 5.1.0 zawiera lukę braku autoryzacji w metodzie ProjectController.addProject, która pozwala uwierzytelnionym użytkownikom przejąć dowolne projekty, przenosząc je do własnej organizacji. Atakujący może utworzyć organizację i dodać projekt ofiary po jego publicznym identyfikatorze śledzenia, aby czytać analitykę, zmieniać ustawienia lub go usunąć.

SmsForwarder w wersji do 3.5.0 zawiera lukę braku uwierzytelniania w serwerze HTTP AndServer, która pozwala nieuwierzytelnionym atakującym sieciowym wywoływać API zdalnego sterowania. Atakujący mogą wywołać domyślnie włączone endpointy, aby czytać SMS-y, rejestry połączeń i kontakty, wysyłać SMS-y oraz eksportować lub nadpisywać konfigurację przez API clone.

NullHub w wersji do 2026.5.29 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do API zarządzania /api/*, ponieważ pole auth_token domyślnie ma wartość null i nigdy nie jest przypisywane. Atakujący wysyłający żądania bez nagłówków Authorization lub Origin do nasłuchów innych niż loopback mogą kontrolować instancje agentów, przepisywać konfiguracje, w tym poświadczenia dostawców, oraz zarządzać zadaniami cron i serwerami MCP.

jshERP w wersji do 3.6 zawiera lukę braku autoryzacji w endpointcie POST /user/batchSetStatus, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zmieniać status kont innych użytkowników. Atakujący mogą przesłać spreparowane identyfikatory i wartości statusu, aby wyłączyć wszystkie konta niebędące właścicielem w swoim tenancie, blokując administratorów, lub ponownie włączyć wyłączone konta.

L-SMASH w wersji do 2.14.5 zawiera lukę podwójnego zwolnienia w funkcjach hevc_setup_first_summary() i h264_setup_first_summary() w pliku importer/nalu_imp.c, które zwalniają pożyczone obiekty specyficzne dla kodeka na ścieżkach błędów. Atakujący mogą dostarczyć spreparowany strumień elementarny Annex-B bez możliwego do sparsowania SPS do lsmash_read_file() lub narzędzi boxdumper, remuxer albo muxer, powodując use-after-free, uszkodzenie sterty i awarie.

NGINX Ingress Controller zawiera lukę przy implementacji polityki externalAuth dla ingress. Kontroler może nieprawidłowo obsłużyć odpowiedź HTTP od dostawcy tożsamości OAuth i pozwolić atakującemu uzyskać nieuwierzytelniony dostęp do chronionych ścieżek przed prawidłowym uwierzytelnieniem zewnętrznym.

Angular to platforma do budowania aplikacji webowych; w wersjach przed 20.3.31, 21.2.23 i 22.1.6 parser emulacji DOM w @angular/platform-server może wejść w nieskończoną pętlę synchroniczną, gdy renderowanie po stronie serwera przetwarza kontrolowany przez atakującego HTML zawierający niekompletny DOCTYPE kończący się białym znakiem na końcu danych. W Domino lib/HTMLParser.js stan after_doctype_name_state emituje tokeny doctype i EOF bez przesuwania nextchar, przez co skaner wielokrotnie przetwarza ten sam znacznik EOF. Zdalny nieuwierzytelniony atakujący może wykorzystać ten warunek przez ścieżki parsowania HTML po stronie serwera, takie jak wiązanie innerHTML, aby zużyć pełne CPU workera SSR Node.js, zagłodzić pętlę zdarzeń i zatrzymać równoczesne oraz kolejne żądania. Problem naprawiono w wersjach 20.3.31, 21.2.23 i 22.1.6.

Kaneo w wersji przed 2.1.6 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom uzyskać dostęp do innych przestrzeni roboczych, podając identyfikatory projektów, zadań, etykiet lub przestrzeni roboczych do tras API pozbawionych kontroli członkostwa. Atakujący, którzy zdobędą identyfikatory, na przykład z udostępnionych linków do projektów, mogą czytać projekty i zadania, modyfikować lub usuwać zadania, etykiety i komentarze oraz przeszukiwać zawartość przestrzeni roboczej.

Gravitee API Management w wersji do 4.12.22 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym podszyć się pod dowolnego użytkownika poprzez sfałszowanie JWT podpisanych domyślnym, dostarczonym z produktem kluczem jwt.secret. Atakujący znający identyfikator istniejącego użytkownika może podpisać token HS256 z tym podmiotem i przedstawić go jako token bearer do Management API, podszywając się pod administratorów w celu uzyskania pełnej kontroli nad platformą.

DevIL w wersji do 1.8.0 zawiera przepełnienie bufora na stercie w funkcji iGetPalette() w pliku il_gif.cpp, które pozwala atakującym zapisywać poza buforem palety o rozmiarze 768 bajtów podczas ładowania obrazów GIF. Atakujący mogą dostarczyć spreparowany dwuklatkowy GIF, którego druga klatka używa metody disposal 1 z lokalną tabelą kolorów, zapisując do 384 kontrolowanych bajtów poza alokacją sterty i potencjalnie wykonując kod.

W jądrze Linux funkcja reset_per_cpu_data() w module drop_monitor oblicza rozmiar al, który obejmuje sizeof(struct nlattr) (4-bajtowy nagłówek atrybutu). Następnie wywołuje memset(msg, 0, al), gdzie msg wskazuje na nla_data(nla), czyli sizeof(struct nlattr) bajtów za nla, co powoduje zapis poza przydzielonym buforem o 4 bajty i uszkodzenie skb_shared_info. Poprawka sprawia, że al reprezentuje tylko długość ładunku i używa genlmsg_new(nla_total_size(al), ...).

W kliencie SMB jądra Linux funkcja parse_posix_sids() oblicza koniec bufora sidsbuf_end na podstawie wartości out_len dostarczonej przez serwer, bez walidacji względem rzeczywistej długości odebranego iov. Złośliwy serwer może podać zawyżoną wartość out_len, co pozwala na odczyty poza granicami bufora w sąsiedniej pamięci jądra.

W jądrze Linux występuje podatność w obsłudze tuneli sieciowych (iptunnel), gdzie podczas dekapulacji pakietów GSO nagłówek transportowy (transport_header) pozostaje wskazany na usunięty zewnętrzny nagłówek L4. Prowadzi to do ujemnego przesunięcia i w konsekwencji do błędu KASAN lub page fault w funkcji qdisc_pkt_len_segs_init(). Problem występuje, gdy pakiet tunelowany z metadanymi GSO jest przekazywany przez most L2 lub HSR, a nie dostarczany do lokalnego stosu IP.

Cloud Commander w wersjach 19.20.2 do 19.21.1 zawiera podatność na przechodzenie po ścieżkach w punkcie GET /api/v1/pack, gdzie handler onGET wywołuje niechronioną funkcję root() zamiast walidującego wrappera root.resolve(). Atakujący może użyć zakodowanych procentowo sekwencji przechodzenia po katalogach, aby odczytać dowolne pliki poza skonfigurowanym katalogiem --root, takie jak /etc/passwd lub klucze prywatne SSH, które są archiwizowane i przesyłane jako plik tar.gz.

Wtyczka JetEngine od Crocoblock do wersji 3.8.16 zawiera podatność na DOM-Based Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Wtyczka Polylang od WP SYNTEX do wersji 3.8.9 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).

Radar przed wersją 1.12.2 zawiera podatność na brak autoryzacji w punkcie WebSocket /api/local-terminal, która pozwala uwierzytelnionym lub nieuwierzytelnionym atakującym na uruchomienie uprzywilejowanej powłoki, opierając się tylko na sprawdzeniu trybu runtime zamiast kontroli dostępu opartej na rolach. Atakujący mogą połączyć się z punktem, aby wykonać /bin/bash -l na hoście Radar z uprawnieniami Radar, nawet gdy ustawiono flagę --disable-local-terminal.

Wtyczka JetProductTables od Crocoblock do wersji 1.2.4 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Wtyczka Paid Videochat Turnkey Site od VideoWhisper.com do wersji 7.5.12 zawiera podatność na brak autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.