Katalog podatności CVE

W systemie OTRS wykryto podatność CSRF, która pozwala nieuwierzytelnionemu atakującemu wymusić na przeglądarce zalogowanego administratora wykonanie akcji administracyjnych, takich jak czyszczenie logów DBUpdate, bez odpowiedniej weryfikacji tokenu ChallengeToken. Atak może zostać przeprowadzony poprzez osadzenie spreparowanego żądania GET na złośliwej stronie internetowej. Skuteczne wykorzystanie może usunąć istniejące wpisy logów DBUpdate, ograniczając dostępność informacji diagnostycznych i historycznych używanych do rozwiązywania problemów i audytów.

Endpoint konfiguracji OTRS Agent Frontend może być dostępny bez uwierzytelnienia. Pozwala to nieuwierzytelnionym zdalnym użytkownikom na pobranie wewnętrznej konfiguracji aplikacji przeznaczonej dla uwierzytelnionego Agent Frontend. Ujawnione informacje mogą obejmować trasy frontendu i powiązane grupy autoryzacyjne, konfigurację uwierzytelniania, włączone funkcje produktu, ustawienia integracji z zewnętrznymi systemami i inne szczegóły implementacji. Podatność dotyczy wersji 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X.

Administrator OTRS może wprowadzić dowolny kod JavaScript do treści niestandardowej strony OTRS, który jest przechowywany przez aplikację i wykonywany w przeglądarce użytkowników odwiedzających tę stronę. Podatność dotyczy wersji OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X.

Uwierzytelniony administrator może zostać nakłoniony do usunięcia administracyjnych szablonów Import/Export poprzez atak CSRF. Akcja AdminImportExport::TemplateDelete nie waliduje tokenu ChallengeToken, co pozwala zdalnemu atakującemu na wykonanie złośliwego żądania z uprawnieniami aktywnej sesji administratora. Podatność dotyczy OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X, a także Community Edition 6.x i wcześniejszych.

W komponencie keycloak-services Keycloak znaleziono błąd w implementacji Client-Initiated Backchannel Authentication (CIBA). Keycloak nie weryfikuje, czy klient jest autoryzowany do korzystania z przepływu CIBA, co pozwala publicznym klientom ominąć wymagania bezpieczeństwa. Atakujący może wykorzystać tę wadę, aby nakłonić użytkownika do zatwierdzenia żądania logowania, uzyskując pełny dostęp do konta bez znajomości sekretu klienta.

Wtyczka Hotel Booking WordPress do wersji 3.8 nie weryfikuje, czy rekord rezerwacji należy do użytkownika żądającego, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subscriber, na odczytanie szczegółów rezerwacji innych klientów, w tym ich imienia, adresu e-mail, numeru telefonu i adresu pocztowego, poprzez odwołanie się do identyfikatora, którego nie posiadają.

Wtyczka Hotel Booking WordPress do wersji 3.8 nie implementuje ochrony CSRF w administracyjnym zarządzaniu zamówieniami rezerwacji, co pozwala atakującym na nakłonienie zalogowanego administratora do tworzenia, usuwania lub modyfikowania dowolnych rekordów zamówień rezerwacji za pomocą sfałszowanego żądania.

W usłudze Flock Night Shift znaleziono podatność SQL injection w masowym wyszukiwaniu tablic rejestracyjnych. Uwierzytelniony użytkownik mógł odczytać dane innych organizacji, w tym rekordy rozpoznawania tablic rejestracyjnych, poprzez spreparowaną wartość tablicy. Dane nie mogły być modyfikowane. Flock naprawił problem 2026-08-12; nie wymaga działań ze strony klienta.

Wykryto podatność w y_project RuoYi do wersji 4.8.3. Dotyczy funkcji changeStatus w pliku /system/config/add komponentu Disable API. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie. Sprzedawca został poinformowany, ale nie odpowiedział.

Wtyczka WP Comment Cleaner WordPress przed wersją 7.2 nie przeprowadza kontroli uprawnień ani nie weryfikuje nonce w jednej z procedur masowego usuwania komentarzy, co pozwala uwierzytelnionym użytkownikom z minimalnymi uprawnieniami, takim jak subskrybenci, na trwałe usunięcie wszystkich komentarzy na stronie.

W pakiecie Foreman znaleziono błąd nieprawidłowej autoryzacji w obsłudze interfejsów sieciowych. API interfejsów domeny i podsieci sprawdza tylko, czy wywołujący ma uprawnienie do hostów, ale nie stosuje ograniczenia wyszukiwania na tym uprawnieniu. Niskouprzywilejowany atakujący może odczytać interfejsy hostów, których nie ma prawa widzieć, a jeśli ma uprawnienia do edycji, może zmienić te interfejsy.

W pakiecie foreman znaleziono błąd w filtrach uprawnień. API ładuje filtr po jego identyfikatorze i nie stosuje ograniczenia wyszukiwania na uprawnieniu wywołującego. Niskouprzywilejowany atakujący, który ma uprawnienia do usuwania filtrów tylko dla jednej roli, może usunąć filtry należące do innych odblokowanych ról, co prowadzi do utraty dostępu do zasobów.

Niewystarczająca weryfikacja autentyczności danych w Smart Switch przed wersją 3.7.73 pozwala atakującym fizycznym na instalowanie dowolnych aplikacji.

Podatność typu path traversal w Smart Switch przed wersją 3.7.73 pozwala atakującym fizycznym na dostęp do plików z uprawnieniami Smart Switch.

Nieprawidłowa autoryzacja w Smart Switch przed wersją 3.7.73 pozwala atakującym fizycznym na wywołanie procesu przywracania aplikacji.

Nieprawidłowa kontrola dostępu w Samsung Internet przed wersją 30.0.5.6 pozwala lokalnym atakującym na dostęp do poufnych informacji.

Nieprawidłowe uwierzytelnianie w Samsung Flow przed wersją 4.9.22.4 pozwala atakującym z sąsiedztwa na dostęp do poufnych informacji.

Podatność typu path traversal w Samsung Flow przed wersją 4.9.22.1 pozwala lokalnym atakującym na dostęp do danych schowka.

Nieprawidłowa walidacja danych wejściowych w Samsung Internet przed wersją 30.0.5.24 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu. Do wywołania podatności wymagana jest interakcja użytkownika.

Nieprawidłowa walidacja danych wejściowych w CreditCardRetrieveActivity aplikacji Samsung Checkout przed wersją 5.1.03.1 umożliwia lokalnym atakującym uruchomienie dowolnej aktywności z uprawnieniami Samsung Checkout.