Katalog podatności CVE

W Keycloak wykryto podatność, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wysyłanie specjalnie spreparowanych żądań SOAP do punktu końcowego SAML ECP. Poprzez obserwację różnych komunikatów błędów w odpowiedziach, atakujący może określić typ protokołu klienta, co prowadzi do ujawnienia informacji.

W Keycloak znaleziono lukę, która pozwala na nieprawidłowe przetwarzanie niesygnowanych roszczeń w przypadku przesłania zaszyfrowanego obiektu żądania JSON Web Encryption (JWE). Może to prowadzić do obejścia skonfigurowanej polityki sygnatury i umożliwić zdalnemu atakującemu przesyłanie nieautoryzowanych roszczeń, co narusza integralność danych w procesie autoryzacji OpenID Connect (OIDC).

W Keycloak wykryto podatność w politykach klienta (Client Policies) w komponencie `org.keycloak.protocol.oidc`. Gdy używane są określone dostawcy warunków (client-type, client-roles, client-attributes, client-scopes) do egzekwowania ograniczeń bezpieczeństwa, executor `reject-ropc-grant` jest cicho pomijany. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu uzyskać tokeny poprzez grant Resource Owner Password Credentials (ROPC), nawet gdy polityka wyraźnie blokuje takie działanie.

W Keycloak wykryto podatność, która umożliwia uwierzytelnionemu użytkownikowi z członkostwem w organizacji ujawnienie metadanych organizacji w tokenach OIDC lub poprzez API konta, nawet po wyłączeniu funkcji Organizacji przez administratora. Może to prowadzić do błędnych decyzji autoryzacyjnych na serwerach zasobów.

W OpenLearnX, platformie do nauki i oceniania, zidentyfikowano krytyczną podatność na uwierzytelnianie przed wersją 2.0.4, która mogła umożliwić nieautoryzowany dostęp do kont użytkowników w określonych warunkach. Podatność ta została naprawiona w wersji 2.0.4.

Volcano to system planowania wsadowego natywny dla Kubernetes. W wersjach przed v1.14.2, v1.13.3 i v1.12.4 serwer webhook Volcano nie wymusza limitu rozmiaru dla przychodzących ciał żądań HTTP, co pozwala na wysyłanie dowolnie dużych żądań przez pod'y w klastrze.

Błędnie skonfigurowana Polityka Bezpieczeństwa Treści (CSP) w HCL BigFix Remote Control Server WebUI (wersje 10.1.0.0442 i wcześniejsze) nie definiuje dyrektyw bez zapasowych opcji, co umożliwia atakującym obejście zamierzonych ograniczeń bezpieczeństwa i ładowanie nieautoryzowanych zasobów.

Wersje Wireshark od 4.6.0 do 4.6.5 oraz od 4.4.0 do 4.4.15 zawierają błąd w analizatorze protokołu ROHC, który może prowadzić do awarii aplikacji. Wykorzystanie tej podatności może skutkować odmową usługi.

Authlib to biblioteka Pythona, która buduje serwery OAuth i OpenID Connect. W wersjach przed 1.6.12 i 1.7.1 występowała nieautoryzowana otwarta przekierowanie w punkcie autoryzacji OpenIDImplicitGrant i OpenIDHybridGrant, co pozwalało zdalnemu atakującemu na wymuszenie wydania przez serwer autoryzacji HTTP 302 do wybranego przez atakującego adresu URL.

FacturaScripts to oprogramowanie do księgowości i fakturowania typu open source. W wersjach 2025.92 i wcześniejszych występuje podatność typu Cross-Site Scripting (XSS) w modalnym oknie wyszukiwania produktów, która pozwala na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników.

Gryph, który zapewnia warstwę bezpieczeństwa dla agentów kodowania AI, przed wersją 0.7.0, implementował poziomy logowania, które określały, jakie treści są rejestrowane w lokalnej bazie danych sqlite. W rzeczywistości domyślny poziom logowania to standardowy, co prowadzi do rejestrowania potencjalnie wrażliwych treści plików.

Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi. Przed wersją 16.5.0, uwierzytelnieni pracownicy mogli uzyskać dostęp do szczegółów urlopów innych pracowników z powodu niewłaściwych kontroli autoryzacji.

go-ipld-prime to implementacja specyfikacji InterPlanetary Linked Data (IPLD), która przed wersją 0.23.0 miała problem z dekodowaniem DAG-CBOR i DAG-JSON. Dekodery te nie miały limitu głębokości rekurencji, co prowadziło do przepełnienia stosu w przypadku głęboko zagnieżdżonych kolekcji.

Klient Northern.tech Mender w wersji 5 przed 5.0.4 umożliwia obejście weryfikacji podpisu kryptograficznego. To może prowadzić do nieautoryzowanego dostępu do systemu.

Streamlink to narzędzie CLI, które przesyła strumienie wideo z różnych usług do odtwarzacza wideo. W wersjach przed 8.4.0, parsery HLS i DASH w Streamlink nie weryfikowały schematu URI segmentów i innych zasobów, co pozwalało na wczytanie lokalnych plików z nieautoryzowanych źródeł.

Free5GC to otwartoźródłowa implementacja rdzenia sieci 5G. W wersjach przed 4.2.2, AMF w Free5GC nie weryfikuje zdolności zabezpieczeń UE otrzymywanych w wiadomościach NGAP PathSwitchRequest, co pozwala złośliwemu gNB na nadpisanie tych wartości, prowadząc do odmowy usługi przenoszenia dla dotkniętych UE.

W komponencie /admin/config-module.php projektu simplephp (commit 5184cff) odkryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarkach administratorów.

W systemie OpenRapid RapidCMS w wersji 1.3.1 wykryto obejście uwierzytelnienia w komponencie /template/default/menu.php. Podatność jest wykorzystywana poprzez wstrzyknięcie spreparowanego ładunku SQL do parametru ciasteczka 'name'.

W GPAC MP4Box występuje dereferencja wskaźnika NULL podczas analizy niektórych skróconych plików MP4. Nieznany lub nieprawidłowy wpis stsd może prowadzić do brakujących pól deskryptora, co skutkuje wywołaniem strlen() na wskaźniku NULL i powoduje awarię.

Wtyczka Jenkins Job Import w wersji 143.v044a_2e819b_27 i wcześniejszych nie przeprowadza weryfikacji uprawnień w jednym z punktów końcowych HTTP, co pozwala atakującym z uprawnieniami Overall/Read na enumerację identyfikatorów poświadczeń przechowywanych w Jenkins.