Katalog podatności CVE

Podatność na wstrzykiwanie poleceń systemu operacyjnego w potoku budowania obrazów Docker dla funkcji Node.js w bibliotece AWS aws-cdk-lib. Atakujący kontrolujący ciągi wersji zależności w pliku package.json może wykonać dowolne polecenia na hoście z narzędziami CDK poprzez wstrzyknięcie metaznaków powłoki w pomocniku OsCommand.

W systemach HashiCorp Vault i Vault Enterprise przed wersją 2.0.1, logika walidacji urządzeń audytu nie stosowała konsekwentnie ochrony katalogów wtyczek, gdy używano starszej opcji ścieżki pliku audytu. Luka ta została załatana w wersjach 2.0.1, 1.21.6, 1.20.11 oraz 1.19.17.

W rozszerzeniu Cargo dla MediaWiki wykryto podatność na wstrzykiwanie SQL spowodowaną nieprawidłową neutralizacją specjalnych elementów w zapytaniach SQL. Luka dotyczy wersji przed 1.43.9, 1.44.6 oraz 1.45.4.

Podatność polegająca na przekierowaniu URL do niezaufanej witryny (open redirect) w rozszerzeniu UrlShortener dla MediaWiki umożliwia ataki Cross-Site Flashing. Problem dotyczy wersji przed 1.43.9, 1.44.6 i 1.45.4.

Wtyczka Shortcodes and extra features dla motywu Phlox zawiera podatność na ataki XSS oparte na DOM. Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.

Podatność w HubSpot umożliwia wstawienie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji HubSpot od n/a do 11.3.51.

Podatność CSRF w VikBooking Hotel Booking Engine & PMS umożliwia atakującemu wykonanie operacji prowadzących do przejścia ścieżki (Path Traversal). Luka występuje we wszystkich wersjach do 1.8.12 włącznie.

Wtyczka Enable Media Replace dla WordPressa zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 4.2.1 włącznie.

Podatność w dekoderze HPACK HTTP/2 w Apache HttpComponents Core (wersje 5.4.2 i wcześniejsze, 5.5-beta1 i wcześniejsze) pozwala zdalnemu atakującemu na wyczerpanie pamięci poprzez wysłanie nadmiernie dużych skompresowanych bloków nagłówków przed potwierdzeniem ustawień HTTP/2, co prowadzi do odmowy usługi (DoS).

Podatność SQL Injection w GoAdminGroup GoAdmin (ostatnie wydanie v1.2.26) umożliwia zdalnemu atakującemu wykonanie dowolnego kodu i uzyskanie wrażliwych informacji poprzez parametr URL __sort_type na wszystkich endpointach /admin/info/{table}.

Podatność CWE-117 w Kibanie umożliwia wstrzykiwanie niesanitowanych danych do logów. Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które bez odpowiedniej neutralizacji trafiają do plików logów. Po wyświetleniu logów w terminalu interpretującym sekwencje sterujące, wstrzyknięta treść może zmienić wyświetlane dane.

Podatność CVE-2026-49090 w Elasticsearch umożliwia atak typu odmowa usługi (DoS) poprzez niekontrolowane zużycie zasobów. Uwierzytelniony użytkownik może wysłać spreparowane żądanie zbiorcze (bulk request), które powoduje długotrwałe wysokie obciążenie procesora, uniemożliwiając węzłowi przetwarzanie innych zapytań.

W containerd przed wersjami 1.7.32, 2.0.9, 2.2.4 i 2.3.1, kontenery z dyrektywą User ustawioną na wartość liczbową, która nie może być sparsowana jako 32-bitowa liczba całkowita, są błędnie traktowane jako nazwa użytkownika. Umożliwia to ominięcie ograniczenia runAsNonRoot w Kubernetes, jeśli spreparowany obraz zawiera wpis w /etc/passwd mapujący tę dużą liczbę na roota, co powoduje uruchomienie kontenera jako root (UID 0).

Kamery IP Wi-Fi JAIOTlink C492A-W6 z firmware 4.8.30.57701411 zawierają podatność zdalnego wykonania kodu. Uwierzytelniony atakujący może zapisać złośliwy skrypt w trwałej pamięci JFFS2 i wywołać jego wykonanie przez endpoint HTTP, co prowadzi do trwałego przejęcia kontroli nad urządzeniem.

Kamery IP Wi-Fi JAIOTlink C492A-W6 z oprogramowaniem 4.8.30.57701411 zawierają zakodowane na stałe poświadczenia, umożliwiające atakującym z sąsiedztwa sieciowego nieautoryzowany dostęp poprzez użycie domyślnej nazwy użytkownika admin z pustym hasłem akceptowanym przez usługę HTTP anyka_ipc na porcie 80. Atakujący mogą uwierzytelnić się tymi poświadczeniami, aby uzyskać dostęp do migawek z kamery, strumieni wideo, konfiguracji sieci oraz punktów końcowych API na poziomie fabrycznym, w tym powierzchni do wstrzykiwania poleceń SetMAC.

W kamerach IP Wi-Fi JAIOTlink C492A-W6 z oprogramowaniem 4.8.30.57701411 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Uwierzytelniony atakujący może zdalnie wykonać kod, dostarczając złośliwy parametr Wireless do punktu końcowego HTTP PUT NetSDK/Factory SetMAC.

Wtyczka ApplyOnline dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji od n/a do 2.6.7.6.

Wtyczka ThumbPress dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wszystkich wersji od n/a do 6.3.2 włącznie.

Ray przed wersją 2.56.0 zawiera podatność na niebezpieczną deserializację w czytniku WebDataset. Atakujący może zdalnie wykonać kod, dostarczając złośliwe archiwum tar do funkcji read_webdataset(), która bezwarunkowo wywołuje pickle.loads() na wpisach .pkl/.pickle oraz torch.load() z weights_only=False na .pt/.pth, co prowadzi do wykonania kodu na każdym zdalnym workerze przetwarzającym archiwum.

Podatność CVE-2026-56152 w Elastic Defend wynika z nieprawidłowej autoryzacji (CWE-863). Umożliwia ona niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi dostęp do danych akcji odpowiedzi, do których nie ma uprawnień, co prowadzi do nieautoryzowanego ujawnienia informacji.