Katalog podatności CVE

Podatność w bibliotece hex pozwala niezaufanemu mirrorowi pakietów na wyczerpanie pamięci lub miejsca na dysku maszyny podczas wykonywania poleceń mix deps.get, mix deps.update, mix hex.package fetch lub mix hex.docs fetch. Problem wynika z braku limitów rozmiaru odpowiedzi HTTP, dekompresji gzip oraz rozpakowywania tarballi przed weryfikacją sum kontrolnych.

Podatność w Hex pozwala złośliwemu wydawcy pakietu lub wrogiemu serwerowi repozytorium na wstrzyknięcie sekwencji sterujących terminala do danych wyjściowych zadań Mix. Hex wypisuje dane z repozytorium i usługi wyszukiwania dokumentacji bez neutralizacji znaków kontrolnych.

W Quay uwierzytelniony atakujący może uzyskać dostęp do konfiguracji automatycznego czyszczenia (auto-prune) repozytoriów z innych przestrzeni nazw, co prowadzi do nieautoryzowanego ujawnienia informacji. Problem wynika z braku odpowiedniego egzekwowania zakresu przestrzeni nazw podczas pobierania szczegółów polityki.

Podatność w Shenzhen HCC Technology MPOS M6 PLUS 1.31-N dotyczy nieznanej funkcjonalności komponentu Display QR Code Rendering. Manipulacja argumentem alignment prowadzi do nieprawidłowego ograniczenia warstw UI. Atak możliwy tylko z sieci lokalnej.

Podatność w Netis WF2409E 3.3.42541 dotyczy nieznanej funkcji komponentu Wireless Settings. Manipulacja argumentem SSID prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.

W Thelia v2.6.0 zarówno endpoint logowania administracyjnego, jak i zapomnianego hasła zwracają różne odpowiedzi dla nieprawidłowych nazw użytkownika i błędnych haseł, co pozwala nieuwierzytelnionym atakującym na enumerację kont administratorów. Brak ograniczeń tempa żądań ułatwia skalowanie ataku.

ImageMagick przed 6.9.13-58 i 7.x przed 7.1.2-33 nie uwzględnia poprawnie dowiązań symbolicznych w sprawdzeniu polityki bezpieczeństwa IsRightsAuthorizedByName, co pozwala na obejście skonfigurowanych ograniczeń polityki. Lokalny atakujący może utworzyć dowiązanie symboliczne wskazujące na ścieżkę objętą polityką.

W idcCMS 1.70 znaleziono podatność w nieznanej funkcji pliku admin/member_deal.php. Manipulacja prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Eleveo Call Recording Software do wersji 10.3.0 zidentyfikowano podatność w nieznanym przetwarzaniu pliku /auth/realms/default/protocol/openid-connect/logout. Manipulacja prowadzi do wygaśnięcia sesji. Atak zdalny jest możliwy. Exploit jest publicznie dostępny i może być wykorzystany. Sprzedawca nie odpowiedział na zgłoszenie.

Podatność w Eleveo Call Recording Software do wersji 10.3.0 dotyczy nieznanego kodu w pliku /auth/realms/default/protocol/openid-connect/logout komponentu JWT Token Handler. Manipulacja argumentem id_token_hint może prowadzić do użycia metody GET z wrażliwymi parametrami w zapytaniu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.

Podatność w y_project RuoYi do wersji 4.8.3 dotyczy funkcji renderDrawer w pliku /system/dict/data/add komponentu Dictionary Data Drawer Preview. Manipulacja argumentem cssClass może prowadzić do ataku typu cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

Wtyczka HireZoot WordPress przed wersją 4.0.0 nie sanityzuje i nie escapuje jednego z ustawień specyfikacji pracy przed odzwierciedleniem go na stronie ustawień w panelu administracyjnym, co pozwala użytkownikom z uprawnieniami zarządzania (domyślnie Administrator) na przechowywanie ładunku, który jest wykonywany w przeglądarce każdego administratora, który później otworzy tę stronę. Ponieważ uprawnienie unfiltered_html nie jest dostępne dla administratorów w multisite (lub gdy ustawiono DISALLOW_UNFILTERED_HTML), prowadzi to do Stored Cross-Site Scripting.

Nieprawidłowe domyślne uprawnienia w Samsung Flow przed wersją 4.9.22.4 pozwalają lokalnym atakującym na uruchomienie dowolnej aktywności z uprawnieniami Samsung Flow na podłączonym urządzeniu.

ngx_cache_purge przed wersją 3.0.4 może pozwolić na usunięcie plików przez atak symlink w pewnych sytuacjach, gdy nginx i serwowana aplikacja (np. WordPress) działają na tym samym koncie użytkownika. Atakujący musi być w stanie utworzyć symlink w ścieżce cache. Wersja 3.0.4 naprawia to dla przypadku symlinka utworzonego wcześniej, ale nie rozwiązuje wyścigu TOCTOU.

W podsystemie Zephyr zbus, w backendzie IPC agenta proxy (subsys/zbus/proxy_agent/zbus_proxy_agent_ipc.c), nazwa kanału odrzuconej ramki między domenami była logowana ze specyfikatorem %s bez zapewnienia zakończenia bufora znakiem NUL. Ramka struct zbus_proxy_msg zawiera tablicę channel_name[] o stałym rozmiarze jako ostatni element, a jedyny kod weryfikujący jej zakończenie odrzuca właśnie takie ramki — więc ostrzeżenie wypisywało niezakończony bufor dokładnie na ścieżkach błędów. Każdy peer domain mogący wysłać ramkę o rozmiarze sizeof(struct zbus_proxy_msg) na endpoint ipc_service może to wywołać.

Hugging Face Text Embeddings Inference do wersji 1.9.4 zawiera podatność logowania w postaci jawnego tekstu, która ujawnia skonfigurowany klucz api_key, ponieważ struktura Args routera nie ma atrybutu redact dla tego klucza. Atakujący z dostępem do logów routera, wyjścia kontenera lub telemetrii OTLP mogą odzyskać token Bearer i wywołać chronione punkty końcowe embedding i rerank.

phpMyFAQ do wersji 4.1.10 zawiera podatność braku autoryzacji w narzędziu faq_search serwera MCP, która pozwala klientom MCP na odczyt ograniczonych FAQ, ponieważ Search::searchDatabase() nigdy nie stosuje sprawdzeń uprawnień użytkownika lub grupy. Atakujący podłączeni do serwera phpmyfaq:mcp:server mogą wysyłać zapytania, aby uzyskać pełny tekst pytań i odpowiedzi aktywnych FAQ ograniczonych do określonych użytkowników lub grup.

GPT-Load do wersji 1.4.11 zawiera podatność logowania w postaci jawnego tekstu, która ujawnia klucze proxy klienta, ponieważ middleware Gin Logger rejestruje surowy ciąg zapytania przed tym, jak extractAuthKey usuwa parametr klucza. Atakujący z dostępem do logów konsoli lub pliku ./data/logs/app.log mogą odzyskać klucze proxy z żądań w stylu Gemini i użyć ich przeciwko odpowiedniej grupie.

CloudBeaver do wersji 25.3.5 zawiera podatność polegającą na braku autoryzacji w WebSQLResultServlet, która pozwala każdemu posiadaczowi sesji webowej na odczyt plików eksportu LOB innych użytkowników ze wspólnego folderu. Atakujący mogą zgadywać nazwy tabel i kolumn oraz enumerować znaczniki czasowe z rozdzielczością sekund, aby pobrać wartości LOB ofiar, w tym dane z połączeń, do których nie mają dostępu.

Shepherd (shepherd-ai) do wersji 0.3.1 zawiera podatność polegającą na obejściu zabezpieczeń przed SSRF w dodatku citation-checker, ponieważ guard public_url weryfikuje rozwiązany adres, ale fetch ponownie rozwiązuje nazwę hosta w momencie połączenia. Atakujący, którzy umieszczą spreparowany adres URL w sprawdzanym dokumencie i kontrolują jego DNS, mogą przekierować go na adresy wewnętrzne, wysyłając żądania GET do wewnętrznych usług HTTP(S) i przechwytując odpowiedzi w plikach dowodowych.