Katalog podatności CVE

Biblioteka libIEC61850 przed wersją 1.6.2 nie waliduje długości pola RptID w ścieżce zapisu bloku kontroli raportu, akceptując wartości dłuższe niż 129 bajtów. Przy generowaniu raportu funkcja serializująca przekazuje bufor stosu rptIdBuf[130] do MmsValue_setVisibleString, którego ścieżka zmiany rozmiaru zwalnia ten bufor, powodując nieprawidłowe zwolnienie pamięci i awarię serwera.

Wtyczka Discourse Doc Categories przed poprawką źródłową odświeża indeks kategorii dokumentacji, rozwiązując tytuły powiązanych prywatnych wiadomości lub tematów z ograniczonych kategorii bez sprawdzania uprawnień przeglądającego. Użytkownik mogący edytować temat indeksu może w ten sposób poznać tytuły, do których nie ma uprawnień.

W libIEC61850 od wersji 1.6.1 do 1.6.2 udana operacja MMS ObtainFile zamyka uchwyt pliku w zadaniu, ale pozostawia nieaktualną niepustą wartość w zadaniu oznaczonym jako nieużywane. Jeśli późniejsze żądanie ObtainFile użyje tego zadania i utworzenie miejsca docelowego się nie powiedzie, procedura czyszczenia ponownie zamyka nieaktualny obiekt FILE, co pozwala zdalnie wywołać awarię serwera.

W bibliotece pupnp przed wersją 2.0.0 wiele funkcji przechodzenia po drzewie DOM ixml przetwarza głęboko zagnieżdżony XML z nieograniczoną rekurencją. Nieuwierzytelniony peer w sieci lokalnej może dostarczyć taki XML przez żądanie SOAP, wyczerpać stos wątku usługi i wywołać awarię usługi UPnP.

W Open Zaak od wersji 1.13.0 do 1.27.2, 1.28.2 i 1.29.0 funkcja _import_document_row używa kontrolowanego przez atakującego pola CSV bestandspad bez zapewnienia, że rozwiązana ścieżka pozostaje w katalogu IMPORT_DOCUMENTEN_BASE_DIR. Klient z tokenem aplikacji o pełnych uprawnieniach może podać ścieżkę absolutną lub z przejściem wstecz, aby skopiować dowolny czytelny plik do magazynu dokumentów.

W Open Zaak od wersji 1.0.0 do 1.27.2, 1.28.2 i 1.29.0 endpointy wyszukiwania POST /zaken/api/v1/zaken/_zoek oraz /documenten/api/v1/enkelvoudiginformatieobjecten/_zoek nie filtrują zbiorów wyników zgodnie z uprawnieniami powiązanymi z tokenem żądania. Wywołujący z ważnym tokenem zaken.lezen lub documenten.lezen może pobrać metadane spraw lub dokumentów spoza autoryzowanych typów lub poziomów poufności.

Odkryto problem w GStreamer gst-plugins-good przed wersją 1.28.2. Podczas parsowania pliku MP4 funkcja qtdemux_parse_uuid wtyczki isomp4 może odczytać dane poza końcem bufora alokowanego na stercie, co pozwala atakującemu na ujawnienie zawartości pamięci sterty.

W SparkyFitness przed wersją 1.6.0 pliki chatService.ts i labelScanService.ts nie walidują adresów docelowych podanych w niestandardowych ustawieniach usługi AI. Uwierzytelniony użytkownik może zapisać własny adres URL usługi AI i wywołać przepływ AI, co powoduje wychodzące żądanie z kontrolowanym nagłówkiem bearer.

Seanime w wersjach od 3.7.0 do 3.10.3 zawiera podatność na wstrzyknięcie argumentów osiągalną przez niewłaściwą autoryzację, pozwalającą nieuwierzytelnionym klientom LAN lub Tailnet obejść zabezpieczenie ustawień mediastream. Atakujący może ustawić transcodeHwAccel na custom i podać kontrolowane decodeFlags oraz encodeFlags, które są dołączane dosłownie do wektora argumentów ffmpeg.

Thermo Fisher Torrent Suite Software jest podatne na path traversal, co może pozwolić uwierzytelnionemu atakującemu na odczyt dowolnych plików na serwerze Torrent, do których ma dostęp konto usługi webowej.

W InstantForum.NET w wersji 4.1.4 (InstantASP ltd) występuje podatność Cross Site Scripting. Atakujący może wykonać dowolny kod, odzwierciedlając nieoczyszczone dane z parametrów query string bezpośrednio w odpowiedzi HTML bez prawidłowego kodowania wyjścia.

Atakujący może spowodować, że serwer odłączy urządzenie docelowe od jego obecnego właściciela i ponownie przypisze je do konta żądającego, niezależnie od tego, czy urządzenie jest obecnie przypisane do innego konta. Pozwala to atakującemu uzyskać pełny identyfikator seryjny urządzenia.

Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwały cross-site scripting (Stored XSS) poprzez treść komentarzy, wynikający z nadania roli Customer uprawnienia unfiltered_html oraz niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność dotyczy wszystkich wersji do 3.0.1 włącznie i wymaga aktywnego WooCommerce, ale ponieważ rola klienta jest dostępna w ramach swobodnej samodzielnej rejestracji, wykorzystanie jest możliwe przez każdego niezalogowanego użytkownika, który utworzy konto. Złośliwy ładunek jest zwracany bez sanityzacji przez nieuwierzytelniony endpoint REST /wp-json/wp/v2/comments oraz kanały RSS komentarzy, co naraża klientów headless, czytniki RSS i widżety firm trzecich.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.

Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.

Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.

Nieprawidłowa kontrola dostępu w haśle kontaktu zasobu w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu ogólne uprawnienie Edit, ale bez uprawnienia Edit asset, na modyfikację hasła kontaktu zasobu poprzez spreparowane bezpośrednie żądanie do endpointu partial-save.

Endpoint ujawnia obserwowalną rozbieżność odpowiedzi podczas przetwarzania wartości ID. Żądanie z nieistniejącym ID zwraca inny kod błędu niż żądanie z prawidłowym, zarejestrowanym ID, co pozwala atakującemu posiadającemu ważny token dostępu – bez dalszej autoryzacji – odróżnić prawidłowe wartości ID od całej 10-cyfrowej przestrzeni numerycznej. W połączeniu z brakiem istotnego ograniczania liczby żądań stanowi to wyrocznię enumeracji, umożliwiającą masowe odkrywanie zarejestrowanych urządzeń.

W bibliotece luksmeta wykryto błąd niewłaściwej walidacji granic slotów metadanych. Atakujący mogący dostarczyć lub zmodyfikować nagłówek dysku może przekierować operacje czyszczenia lub wczytywania poza zamierzony obszar metadanych, co prowadzi do nadpisania lub wyzerowania zaszyfrowanych danych i trwałej utraty danych.

Wtyczka YITH PayPal Express Checkout for WooCommerce zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.61.0.