Katalog podatności CVE

Podatność w module 'tarfile' języka Python występuje podczas otwierania archiwum w trybie strumieniowym (mode='r|'). Moduł nieprawidłowo obsługuje koniec pliku (EOF), co powoduje wykładnicze wydłużenie czasu parsowania archiwum.

Podatność w jackson-databind dotyczy mechanizmu rozpakowywania właściwości (unwrapped properties) w konstruktorach. Metoda UnwrappedPropertyHandler.processUnwrappedCreatorProperties() nie sprawdza widoczności adnotacji @JsonView, co pozwala na ominięcie ograniczeń widoku i wstrzyknięcie danych z JSON do parametru konstruktora oznaczonego zarówno @JsonView, jak i @JsonUnwrapped, nawet gdy aktywny jest bardziej restrykcyjny widok.

W komponencie foreman-mcp-server wykryto wadę polegającą na używaniu dwóch mechanizmów logowania, które mogą ujawniać wrażliwe dane sesji i uwierzytelniania. Jeden z nich rejestruje identyfikatory sesji traktowane jako poświadczenia uwierzytelniające na poziomie informacyjnym, a drugi, przy włączonym logowaniu debugowania, niekompletnie oczyszcza nagłówki żądań HTTP, prowadząc do logowania w czystym tekście poufnych informacji, takich jak tokeny autoryzacyjne i klucze API.

Identyfikator CVE-2026-56120 został odrzucony, ponieważ jest duplikatem CVE-2026-56784.

W bibliotece jackson-databind w wersjach od 2.21.0 do 2.21.4 oraz 3.1.4 występuje podatność polegająca na pominięciu filtrowania widoku (@JsonView) dla właściwości kolekcji/map bez settera. Atakujący może dostarczyć dane JSON, które zostaną przetworzone mimo że aktywny widok powinien je wykluczać.

Podatność w jackson-databind pozwala atakującemu na ominięcie adnotacji @JsonIgnore na setterze poprzez wykorzystanie @JsonProperty na getterze. W rezultacie pole prywatne klasy staje się zapisywalne podczas deserializacji, co umożliwia bezpośredni zapis danych do obiektu.

W bibliotece jackson-databind od wersji 2.8.0 do 2.18.9, 2.21.5 i 3.1.4 występuje podatność polegająca na tym, że podczas deserializacji obiektów z adnotacją @JsonIgnoreProperties, wykluczone właściwości są usuwane z mapy BeanPropertyMap, ale późniejsze przetwarzanie z uwzględnieniem wielkości liter (ACCEPT_CASE_INSENSITIVE_PROPERTIES) odtwarza oryginalną, niefiltrowaną mapę, przywracając usunięte właściwości. W rezultacie zignorowana właściwość staje się ponownie zapisywalna.

Podatność w jackson-databind od wersji 2.0.0 do 2.18.8, 2.21.4 i 3.1.4 powoduje, że podczas deserializacji obiektu InetSocketAddress następuje natychmiastowe rozwiązywanie nazw DNS dla danych wejściowych pochodzących z niezaufanego źródła. Atakujący może wymusić wykonanie zapytania DNS na wybranym przez siebie hoście jeszcze przed jakąkolwiek walidacją aplikacyjną.

Podatność w jackson-databind pozwala na ominięcie listy dozwolonych typów (allowlist) poprzez tablice. Metoda allowIfSubTypeIsArray() w BasicPolymorphicTypeValidator zezwala na dowolny typ tablicowy bez weryfikacji typu elementu, co umożliwia deserializację niebezpiecznych obiektów.

Podatność w jackson-databind pozwala na ominięcie mechanizmu PolymorphicTypeValidator (PTV) podczas deserializacji polimorficznej. Gdy typ zawiera parametry generyczne (np. ArrayList<Gadget>), walidacja sprawdza tylko nazwę kontenera, a nie typów zagnieżdżonych, co umożliwia załadowanie niebezpiecznej klasy jako parametru generycznego.

NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na wykorzystanie punktu końcowego importu arkuszy kalkulacyjnych axiosRequestMake jako ogólnego proxy HTTP. Punkt ten był dostępny bez uwierzytelnienia, co umożliwiało nieautoryzowany dostęp.

NocoDB przed wersją 2026.05.1 miał podatność w punkcie końcowym migracji bazowej, który akceptował URL dostarczony przez wywołującego bez wymuszania protokołu lub miejsca docelowego. To umożliwiało nadużycie schematu oraz badanie wewnętrznych adresów HTTP.

NocoDB przed wersją 2026.05.1 pozwalał na przesyłanie załączników .html lub .svg, które były renderowane w przeglądarce zamiast wymuszać pobranie. Problem wynikał z niezgodności w sposobie obsługi nagłówków odpowiedzi, co prowadziło do automatycznego renderowania tych plików.

NocoDB przed wersją 2026.05.1 miał podatność, w której skradziony token odświeżania mógł być użyty do generowania nowych JWT nawet po zresetowaniu hasła przez użytkownika. Proces zapomnienia hasła nie usuwał wszystkich tokenów odświeżania, co umożliwiało atakującemu wymianę skradzionego tokena na nowy token dostępu.

NocoDB przed wersją 2026.05.1 miał podatność w punkcie końcowym spreadsheet-fetch (axiosRequestMake), który akceptował URL-e z dozwoloną rozszerzeniem w dowolnym miejscu w ciągu. Umożliwiało to dostęp do punktu końcowego cloud-metadata za pomocą spreparowanego URL-a.

NocoDB przed wersją 2026.05.1 zawierał lukę w usłudze użytkowników, gdzie funkcja revokeAllOAuthTokensByUser była pustym stubem. W wyniku tego, tokeny OAuth nie były unieważniane po zmianie, zresetowaniu lub odzyskaniu hasła przez użytkownika.

Podatność w jackson-databind od wersji 2.13.0 do 2.14.0 umożliwia atak DoS poprzez wysłanie głęboko zagnieżdżonego JSON-a (tysiące poziomów) odczytywanego jako JsonNode i zapisywanego za pomocą toString(). Nawet niewielkie żądania (1000 zagnieżdżonych tablic to 2kB) mogą znacząco obciążyć zasoby systemowe.

Podatność w NocoDB przed wersją 2026.05.1 umożliwiała posiadaczowi tokena MCP o niskich uprawnieniach, znającemu ścieżkę do załącznika, odczyt dowolnego pliku w udostępnionym magazynie, w tym załączników należących do innych baz i obszarów roboczych. Problem wynikał z braku weryfikacji własności pliku przez narzędzie readAttachment.

NocoDB przed wersją 2026.05.1 ma podatność, która pozwala użytkownikom z rolą edytora na wstrzyknięcie złośliwego kodu JavaScript poprzez pole redirect_url formularza. Po otwarciu linku udostępnionego przez uwierzytelnionego użytkownika, kod ten może zostać wykonany w kontekście NocoDB.

NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na jednoczesne wykorzystanie tego samego kodu autoryzacji OAuth do wygenerowania dwóch różnych par tokenów (access_token, refresh_token). To naruszało zasadę jednorazowego użycia, na której opiera się PKCE.