Katalog podatności CVE

W bibliotece p11-kit odkryto podatność polegającą na braku ograniczenia głębokości rekurencji w funkcjach przetwarzania atrybutów wiadomości RPC. Atakujący z lokalnym dostępem do gniazda domeny Unix może wysłać specjalnie spreparowane żądanie z głęboko zagnieżdżonymi atrybutami szablonów, co prowadzi do wyczerpania stosu i awarii serwera p11-kit oraz zależnych od niego usług.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia nieautoryzowany dostęp do list uczestników poprzez publiczne endpointy list kontrolnych. Wykorzystując jedynie identyfikator short_id, atakujący może odczytać pełne dane uczestników, w tym adresy e-mail i informacje osobiste, a także tworzyć lub usuwać rekordy kontrolne bez uwierzytelnienia.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia wielokrotne użycie ograniczonych kodów promocyjnych. Walidacja kodu sprawdza licznik użyć przed jego asynchronicznym zwiększeniem przez zadanie UpdateEventStatisticsJob, co pozwala atakującym na sekwencyjne rezerwowanie wielu zamówień z tym samym kodem, każde z licznikiem użyć równym 0, a następnie realizację wszystkich po obniżonej cenie.

Mixpost do wersji 2.6.0 zawiera odbitą podatność na skrypty między witrynami (XSS), która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach uwierzytelnionych użytkowników poprzez spreparowanie złośliwych adresów URL zwrotnych OAuth z niesanitowanymi parametrami błędu.

Podatność w Papermark do wersji 0.22.0 wynika z błędnej konfiguracji CORS, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonywanie uwierzytelnionych żądań międzyoriginowych. Atakujący mogą wykorzystać endpoint przesyłania plików oparty na TUS, który odzwierciedla dowolne Origins z nagłówkiem Access-Control-Allow-Credentials ustawionym na true.

Podatność w SigNoz przed wersją 0.133.0 umożliwia uwierzytelnionym użytkownikom dostęp do reguł alertów innych organizacji poprzez podanie docelowego UUID reguły. Brak filtrowania po identyfikatorze organizacji w magazynie reguł alertów powoduje obejście kontroli dostępu.

Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).

Podatność w bibliotece Elide do wersji 7.1.17 nie wymusza @ReadPermission na wyrażeniach sortowania dostarczanych przez klienta w metodzie SortingImpl.getValidSortingRules, co pozwala atakującym sortować kolekcje po zabronionych polach. Atakujący mogą wywnioskować ukryte wartości pól poprzez analizę kolejności wierszy, ujawniając względne uporządkowanie pól we wszystkich wierszach zarówno przez JSON:API, jak i GraphQL.

Podatność w Mythic przed wersją 3.4.0.60 umożliwia uwierzytelnionym użytkownikom z rolą widza (spectator) ominięcie autoryzacji i wykonanie nieautoryzowanych operacji zapisu. Atakujący mogą wykorzystać punkt końcowy eventing_import_automatic_webhook, który jest błędnie skonfigurowany jako dostępny dla roli widza, do tworzenia i usuwania przepływów pracy automatyzacji.

Mythic przed wersją 3.4.0.60 zawiera podatność na obejście autoryzacji w czterech punktach końcowych REST (c2profile_config_check_webhook, c2profile_redirect_rules_webhook, c2profile_get_ioc_webhook, c2profile_sample_message_webhook), które nie weryfikują własności ładunku. Operator w jednej operacji może wywołać te punkty końcowe ze znanym UUID ładunku z innej operacji, aby uzyskać dostęp do konfiguracji profilu C2 tej operacji, w tym kluczy szyfrowania i parametrów wywołania zwrotnego.

Podatność w Mythic przed wersją 3.4.0.60 wynika z uszkodzonego filtra uprawnień Hasura na tabeli payload_build_step, który zawiera zawsze spełniony warunek _or, omijający kontrolę dostępu opartą na operacjach. Uwierzytelnieni operatorzy i widzowie mogą odczytywać dane z payload_build_step, w tym step_stdout, step_stderr, step_name i step_description, dla wszystkich operacji na serwerze.

Podatność w ruoyi-vue-pro do wersji 2026.05 (załatana w commicie 5d1fd70) polega na błędnym egzekwowaniu przestrzeni nazw uprawnień w kontrolerze ErpSaleOrderController. Atakujący z uprawnieniami erp:sale-out mogą uzyskać nieautoryzowany dostęp do operacji na zamówieniach sprzedaży, wykonując nieuprawnione tworzenie, aktualizację, usuwanie i odczyt wrażliwych finansowo zamówień.

Podatność w module CRM systemu ruoyi-vue-pro (do wersji 2026.05, naprawiona w commicie c779a47) polega na braku autoryzacji w punkcie końcowym GET /admin-api/crm/follow-up-record/get. Uwierzytelniony użytkownik może odczytać dowolny rekord follow-up, iterując sekwencyjne identyfikatory numeryczne.

Podatność w Pinpoint do wersji 3.1.0 wynika z niebezpiecznego zarządzania sesją, gdzie ciasteczko pinpointJwt nie ma atrybutów HttpOnly i Secure. Umożliwia to atakującym odczytanie ciasteczka przez JavaScript (document.cookie) oraz przesyłanie go w postaci jawnego tekstu przez HTTP.

Podatność SSRF w Pinpoint do wersji 3.1.0 włącznie, występująca w punkcie końcowym rejestracji webhooka, pozwala uwierzytelnionym użytkownikom na rejestrację wewnętrznych adresów URL z powodu braku ochrony przed fałszowaniem żądań po stronie serwera. Atakujący mogą wywołać przekroczenie progów alarmowych, zmuszając serwer do wysyłania żądań POST do wewnętrznych hostów i punktów końcowych metadanych, co umożliwia nieautoryzowany dostęp do wewnętrznych zasobów sieciowych.

Podatność w Invidious przed wersją 2.20260626.0 umożliwia nieuwierzytelnionym atakującym odczytanie zawartości prywatnych playlist poprzez dostęp do punktu końcowego RSS feed playlist. Atakujący może podać identyfikator playlisty, aby uzyskać pełną zawartość playlisty, adres e-mail właściciela oraz powiązane wpisy wideo bez żadnego uwierzytelnienia.

Podatność w PhotoPrism przed wersją 260601-a7d098548 umożliwia uwierzytelnionym użytkownikom niebędącym administratorami modyfikację profili innych użytkowników. Brak walidacji identyfikatora sesji w punkcie końcowym PUT users API pozwala na nadpisanie danych profilu bez autoryzacji.

Podatność w LibrePhotos przed wersją 1.0.0 w punkcie końcowym SetPhotosShared umożliwia uwierzytelnionym użytkownikom ominięcie walidacji własności i przyznanie sobie dostępu do prywatnych zdjęć innych użytkowników. Atakujący mogą manipulować relacjami shared_to bez odpowiednich kontroli właściciela, aby odczytać dowolne prywatne zdjęcia.

LibreTranslate do wersji 1.9.7 zawiera podatność na fałszowanie adresów IP w funkcji get_remote_address(). Nieuwierzytelniony atakujący może wstrzyknąć dowolną wartość do nagłówka X-Forwarded-For, co pozwala na ominięcie ograniczeń IP i blokad.

Podatność w Parseable przed wersją 2.9.2 ujawnia tokeny webhook i dane uwierzytelniające basic-auth w postaci jawnego tekstu w odpowiedziach API endpointów powiadomień. Funkcja maskowania sekretów została zakomentowana, co pozwala każdemu uwierzytelnionemu użytkownikowi z akcją GetAlert, w tym rolom o niskich uprawnieniach, na odzyskanie tych danych.