Katalog podatności CVE

W light0011 cms w funkcji sha1 pliku App/Home/Model/UserModel.class.php manipulacja argumentem Password prowadzi do generowania hashy haseł o niewystarczającym nakładzie obliczeniowym. Atak może być zainicjowany zdalnie i wymaga wysokiej złożoności, a exploit został publicznie ujawniony.

Podczas usuwania etykiety porównywano ID repozytorium z żądania z ID organizacji etykiet organizacji, a sekwencje ID nakładają się. Użytkownik z prawem zapisu do zgłoszeń repozytorium mógł usunąć etykiety organizacji o tym samym numerycznym ID co repozytorium. Etykiety są teraz usuwane wyłącznie w obrębie własnego repozytorium lub organizacji.

W Soarkey StudentManagement do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e wykryto podatność w funkcji UserDao.login w pliku code/src/service/AdminDao.java. Manipulacja argumentem Password powoduje przechowywanie danych wrażliwych w postaci jawnej. Atak wymaga lokalnego dostępu, a exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.

Gitify w wersjach przed 7.10.0 zawiera podatność typu login cross-site request forgery, która pozwala zdalnym atakującym powiązać klienta ofiary z własnym kontem, ponieważ funkcja performGitHubWebOAuth() pomija walidację stanu OAuth. Atakujący może nakłonić ofiarę do otwarcia linku gitify://oauth?code= z własnym kodem autoryzacyjnym podczas oczekującej sesji logowania, co powoduje wyświetlanie powiadomień kontrolowanych przez atakującego jako własnych ofiary.

Teable w wersjach przed 2026-10-12T12-45-53Z.3331 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym użytkownikom na zmianę nazw folderów w innych bazach poprzez podanie obcego folderId. Punkt końcowy PATCH /api/base/:baseId/node/folder/:folderId sprawdza uprawnienie base|update tylko względem baseId z adresu URL, więc atakujący mogą zmieniać nazwy folderów w bazach, do których nie należą.

W OpenCATS 0.10.0 wykryto podatność w funkcji processLogin w pliku modules/careers/CareersUI.php (komponent Career Portal). Manipulacja argumentem applyToJobSubAction powoduje niewłaściwe ograniczenie nadmiernej liczby prób uwierzytelnienia, co umożliwia zdalny atak. Złożoność ataku jest wysoka, a wykorzystanie określane jako trudne, jednak exploit został opublikowany i może być użyty.

Coder w wersjach przed 2.34.7 zawiera podatność na fałszowanie adresu IP w middleware ExtractRealIPAddress, które ufa skrajnie lewej wartości X-Forwarded-For dostarczonej przez klienta, zamiast adresowi IP dodanemu przez reverse proxy. Atakujący mogą wysyłać sfałszowane wartości X-Forwarded-For przez proxy dołączające, aby obejść limity szybkości na endpointach logowania, jednorazowych kodów dostępu i walidacji hasła, umożliwiając ataki brute-force oraz fałszowanie adresów IP w dziennikach audytu.

Coder w wersjach przed 2.29.17, 2.30.0 przed 2.32.7, 2.33.0 przed 2.33.8 oraz 2.34.0 przed 2.34.2 zawiera podatność na enumerację użytkowników, ponieważ funkcja userpassword.Compare() podstawia zastępczy hash pochodzący z ciągu "hunter2", gdy zapisany hash hasła jest pusty. Nieuwierzytelnieni atakujący mogą przesyłać loginy z hasłem "hunter2" i rozróżniać odpowiedzi HTTP 403 od 401, aby wyliczyć prawidłowe konta i ujawnić dostawcę uwierzytelniania użytkowników korzystających wyłącznie z SSO.

Coder w wersjach przed 2.29.17, 2.30.0 przed 2.32.7, 2.33.0 przed 2.33.8 oraz 2.34.0 przed 2.34.2 zawiera podatność na trwałe wstrzyknięcie HTML, ponieważ ustawienia wyglądu ApplicationName i LogoURL są renderowane do wyjścia HTML bez wystarczającego escapowania. Atakujący z rolą Owner mogą zapisać znaczniki HTML w tych ustawieniach, które renderują się w panelu Coder oraz w wiadomościach e-mail powiadomień SMTP wysyłanych do innych użytkowników wdrożenia.

Coder od wersji 2.10.0 przed 2.34.8 posiada nieuwierzytelniony serwer debugowania agenta HTTP na 127.0.0.1:2113, którego handler /debug/manifest zwraca pełny manifest agenta, w tym wartości zmiennych środowiskowych dostarczonych przez szablon. Użytkownik lub proces systemu Unix z niższymi uprawnieniami w tym samym workspace może odpytać ten endpoint, aby odczytać poświadczenia, takie jak klucze chmurowe lub tokeny rejestru.

phpMyFAQ od wersji 4.0.0 przed 4.1.9 zawiera podatność na nieprawidłową autoryzację, która pozwala delegowanym administratorom bez uprawnienia editnews modyfikować wiadomości poprzez wywołanie PUT /admin/api/news/update, które sprawdza NEWS_DELETE zamiast NEWS_EDIT. Atakujący posiadający uprawnienia addnews i delnews mogą odczytać token CSRF aktualizacji wiadomości z własnego pliku cookie i przepisać nagłówek, treść, autora, link oraz flagę aktywności dowolnej wiadomości wyświetlanej na publicznej stronie głównej.

Wtyczka WordPress Patreon w wersji przed 1.10.0 nie wykonuje sprawdzenia autoryzacji dla części swojej funkcjonalności. Umożliwia to nieuwierzytelnionym użytkownikom wyliczenie nazw terminów w dowolnej taksonomii, w tym taksonomii niepublicznych, których WordPress nie udostępnia na froncie.

Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress w wersjach do 5.7.4 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'params (customer[uuid])'. Nieuwierzytelniony atakujący może wyodrębnić imię, nazwisko, adres e-mail, numer telefonu i notatki każdego rekordu klienta w bazie danych, wyliczając prefiksy uuid poprzez nieuwierzytelniony endpoint AJAX steps__load_step. Podatność jest możliwa do wykorzystania tylko gdy wtyczka LatePoint jest skonfigurowana z ustawieniem 'Field used for authentication' ustawionym na 'Disable ability to login' (tryb gościa).

W bibliotece libarchive wykryto lukę use-after-free, która występuje gdy funkcja archive_entry_copy_mac_metadata() zwalnia wewnętrzny bufor przed zakończeniem kopiowania danych. Atakujący dostarczający dane wejściowe do aplikacji korzystającej z tej funkcji może wywołać awarię aplikacji lub odczytać niezainicjalizowane dane z pamięci.

IBM i w wersjach 7.3, 7.4, 7.5 i 7.6 może pozwolić zdalnemu atakującemu na nieautoryzowaną manipulację transakcjami rozproszonymi z powodu nieprawidłowej walidacji identyfikatorów transakcji dostarczonych przez atakującego.

Biblioteka tarteaucitron.js przed wersją 1.37.0 zawiera lukę typu ReDoS (Regular Expression Denial of Service), która pozwala atakującym blokować strony odwiedzających poprzez dostarczenie nieescapowanych nazw ciasteczek do cookie.purge. Atakujący może zasadzić ciasteczko z siostrzanej subdomeny lub wstrzyknąć element purgeBtn ze wzorcem data-cookie powodującym katastrofalne cofanie się wyrażenia regularnego.

Antiword do wersji 0.37 zawiera lukę polegającą na odczycie poza zakresem stosu w funkcjach vGet8PapInfo i vGet8ChrInfo w pliku prop8.c, ponieważ liczniki FKP i przesunięcia grpprl nie są ograniczane. Atakujący może dostarczyć spreparowany plik .doc ze złośliwymi stronami FKP, aby odczytać dane poza buforem stosu o rozmiarze 512 bajtów, powodując awarię antiword lub uszkodzenie parsowania stylów.

SiteServer SSCMS do wersji 7.4.0 zawiera lukę obejścia autoryzacji w ChannelsController, która pozwala administratorom o zasięgu witryny uzyskać dostęp do kanałów innych witryn poprzez podanie obcych identyfikatorów kanałów. Atakujący z uprawnieniami Channels w jednej witrynie może odczytywać i nadpisywać nazwy kanałów, ścieżki plików, szablony, adresy URL linków i pola niestandardowe innej witryny.

ThinkAdmin think-plugs-admin do wersji 1.0.81 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala administratorom niebędącym superadministratorami odczytywać i nadpisywać rekordy plików innych administratorów przez admin/file.edit. Atakujący posiadający węzeł admin/file.edit może wysłać żądanie z docelowym id i kolumnami takimi jak xurl, hash lub uuid, aby wyświetlić adresy URL pobierania, zmanipulować rekordy lub zmienić właściciela.

BuildAdmin do wersji 2.3.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym administratorom backendu modyfikować profile innych administratorów przez parametr id. Atakujący posiadający uprawnienie routine/adminInfo/edit może nadpisać pola avatar, nickname, email, mobile i motto, w tym adres e-mail i numer telefonu superadministratora.