Katalog podatności CVE

Podatność w CVAT przed wersją 2.69.0 w klasie QualityReportViewSet.get_queryset umożliwia uwierzytelnionym atakującym enumerację identyfikatorów raportów jakości należących do innych organizacji. Brak wywołania check_object_permissions na parametrze parent_id w API raportów jakości pozwala na rozróżnienie istniejących i nieistniejących raportów poprzez odpowiedzi HTTP 500 i 404.

Woodpecker przed wersją 3.15.0 udostępnia endpoint /api/orgs/lookup/*org_full_name bez uwierzytelniania, a procedura obsługi wywołuje pusty wskaźnik (NULL pointer dereference) dla nieuwierzytelnionych żądań. Każde takie żądanie powoduje panic, który jest przechwytywany przez middleware gin, ale generuje wieloliniowy stack trace w logach błędów.

W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od przypisanej roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.

Podatność w Hermes WebUI przed wersją 0.51.521 pozwala na ominięcie izolacji profili. Podczas importowania sesji weryfikowany jest obszar roboczy aktywnego profilu, ale obiekt sesji jest tworzony bez ustawienia profilu, co skutkuje zapisaniem sesji z pustym profilem. Pusty profil jest traktowany jako domyślny, co umożliwia użytkownikowi na profilu domyślnym wyeksportowanie transkryptu sesji i odczytanie plików z obszaru roboczego nazwanego profilu.

Podatność typu path traversal w Vibe-Trading przed wersją 0.1.10 pozwala atakującym na zapisywanie plików poza zamierzonym katalogiem głównym pamięci poprzez dostarczenie złośliwej wartości memory_type zawierającej sekwencje nawigacji po ścieżkach. Atakujący mogą manipulować parametrem memory_type w trwałym magazynie pamięci, co powoduje zapis dowolnych plików Markdown w nieprzeznaczonych lokalizacjach w systemie plików.

Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na odczyt i nadpisanie plików run.json poza katalogiem runs. Atakujący może wykorzystać spreparowany identyfikator uruchomienia przekazany przez narzędzia MCP swarm, co prowadzi do naruszenia poufności i integralności danych.

Podatność w Nightingale (n9e) przed wersją 9.0.0-beta.2 umożliwia każdemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami (rola Standard) odczyt pełnych konfiguracji źródeł danych, w tym haseł baz danych, tokenów HTTP Bearer, haseł HTTP Basic Auth oraz kluczy klienckich mTLS. Dzieje się tak przez endpoint POST /api/n9e/datasource/list, który nie wymaga autoryzacji administratora, a filtr DatasourceFilter nie usuwa pól zawierających sekrety.

W Zephyr OS wykryto podatność w asynchronicznym kliencie SNTP (sntp_close_async), gdzie zamknięcie gniazda UDP następowało bez synchronizacji z wątkiem pollingu, co prowadziło do użycia po zwolnieniu (use-after-free) struktury net_context. Atakujący może wywołać tę sytuację poprzez opóźnianie lub blokowanie odpowiedzi SNTP, powodując crash wątku sieciowego (odmowa usługi) i potencjalne uszkodzenie pamięci.

W bibliotece net_buf systemu Zephyr stwierdzono podatność polegającą na nieatomowych operacjach na licznikach referencji buforów. W warunkach współbieżności (SMP lub wywłaszczanie jednego rdzenia) może dojść do podwójnego zwolnienia pamięci (double-free) lub uszkodzenia listy wolnych buforów, co prowadzi do naruszenia integralności danych i potencjalnego wykonania dowolnego kodu.

Podatność typu Path Traversal w ColdFusion w wersjach 2025.9, 2023.20 i wcześniejszych umożliwia ominięcie zabezpieczeń ścieżek. Atakujący może uzyskać ograniczony dostęp do odczytu i zapisu do nieautoryzowanych plików lub katalogów poza zamierzonymi ograniczeniami. Eksploatacja nie wymaga interakcji użytkownika.

Podatność polegająca na przechodzeniu poza dozwolony katalog (path traversal) w podsystemie ImageScan narzędzia Rancher Fleet. Wersje od 0.12.0 do 0.12.16, od 0.13.0 do 0.13.12, od 0.14.0 do 0.14.7 oraz od 0.15.0 do 0.15.3 umożliwiają atakującemu wyjście poza zamierzony katalog, co prowadzi do odmowy usługi (DoS).

Podatność w PostgreSQL Anonymizer pozwala nieuprzywilejowanym użytkownikom na wielokrotne wywoływanie funkcji anon.hash() i zbieranie par (seed, hash_output) w celu przeprowadzenia ataku brute-force offline i odgadnięcia soli.

Podatność w Mendix Studio Pro polega na braku odpowiedniej walidacji i sanityzacji plików projektów przetwarzanych podczas budowania. Atakujący może nakłonić użytkownika do otwarcia i uruchomienia specjalnie spreparowanego złośliwego projektu, co prowadzi do wykonania dowolnego kodu w kontekście tego użytkownika.

Brak czyszczenia w legacy reconcilerze Project Role Template Binding (PRTB) w Rancher w wersjach 2.13.0 do 2.13.7 oraz 2.14.0 do 2.14.3 umożliwiał użytkownikom zachowanie nieautoryzowanych uprawnień Pod Security Admission (PSA) po usunięciu tych uprawnień z szablonu roli przez administratora.

Coolify przed wersją 4.0.0-beta.464 zawiera podatność w endpointcie `GET /api/v1/servers/{server_uuid}/domains?uuid={app_uuid}`, która omija ograniczenia zespołów (team scoping) przy podaniu opcjonalnego parametru `uuid`. Każdy uwierzytelniony użytkownik API może wyliczyć nazwy domen (FQDN) aplikacji należących do innych zespołów.

Coolify przed wersją 4.0.0-beta.464 zawiera podatność polegającą na braku odpowiedniego escapowania apostrofów w funkcji executeInDocker(). Pola docker_compose_custom_build_command i docker_compose_custom_start_command są interpolowane bezpośrednio, co umożliwia atakującemu wstrzyknięcie kodu bash i wykonanie poleceń na hoście zarządzanym przez Coolify.

Coolify przed wersją 4.0.0-beta.464 zawiera podatność w endpointcie GET /api/v1/deployments/{uuid}, która pozwala uwierzytelnionemu użytkownikowi na dostęp do szczegółów wdrożeń dowolnego zespołu, z pominięciem autoryzacji opartej na zespole. Problem wynika z braku wykorzystania $teamId z tokena uwierzytelniającego do ograniczenia zapytania do bazy danych.

Coolify przed wersją 4.0.0-beta.461 używa niebezpiecznego operatora porównania ciągów (!==) do walidacji sekretnego tokena webhooka GitLab. Pozwala to atakującemu na stopniowe odgadnięcie tokena poprzez pomiar różnic w czasie odpowiedzi (atak timingowy).

Coolify przed wersją 4.0.0-beta.464 zawiera podatność w endpointcie `GET /api/v1/deployments/{uuid}`, który nie sprawdza, czy wdrożenie należy do zespołu uwierzytelnionego użytkownika. Każdy zalogowany użytkownik API może odczytać szczegóły wdrożeń z innych zespołów, znając poprawny UUID wdrożenia.

System e-BOK firmy KTM nie implementuje żadnego limitu ani limitu czasowego na kolejne próby logowania, co pozwala atakującemu na przeprowadzanie nieograniczonych żądań uwierzytelnienia. Brak ograniczania szybkości żądań umożliwia skuteczne ataki brute-force na konta użytkowników. W połączeniu z podatnością CVE-2026-35097, gdzie hasła są ograniczone do sześciocyfrowego formatu numerycznego, staje się to krytycznym problemem, ponieważ takie hasła mogą zostać złamane w stosunkowo krótkim czasie.