Katalog podatności CVE

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie stosują limitów alokacji w ścieżkach dekodowania ciągów bajtów w dekoderze msgpack WebSocket. Uwierzytelniony zdalny atakujący może spowodować nadmierną alokację pamięci serwera za pomocą spreparowanej binarnej ramki WebSocket deklarującej długość ładunku Bin32 do 4 294 967 295 bajtów.

Mattermost w wersjach 11.7.x <= 11.7.10 nie stosuje filtrowania wychodzących połączeń wewnętrznych do żądania endpointu odkrywania OpenID. Pozwala to administratorowi systemu ustalić, czy wewnętrzne adresy i porty są osiągalne z serwera, poprzez nieuwierzytelnione żądanie logowania wywołujące pobranie danych odkrywania.

Mattermost w wersjach 11.7.x <= 11.7.10 nie weryfikuje zastrzeżonych typów postów systemowych na ścieżkach tworzenia i publikacji zaplanowanych postów. Umożliwia to uwierzytelnionemu członkowi kanału publikowanie wiadomości wyświetlanych jako zaufane zdarzenia systemowe przez endpoint zaplanowanych postów.

W Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) w wersjach 1.2.0–1.4.0 występuje podatność typu path traversal oraz brak autoryzacji w źródle cloud-storage. Nieuwierzytelniony zdalny atakujący może eksfiltrować pliki hosta do zewnętrznych bucketów Google Cloud Storage oraz nadpisać dowolne pliki lokalne poprzez spreparowane parametry wywołania narzędzia.

W Infinispan Operator dla Red Hat Data Grid wykryto błąd polegający na przekazywaniu haseł keystore i truststore jako jawnych argumentów wiersza poleceń kontenera Gossip Router, gdy włączony jest TLS cross-site (xsite). Argumenty kontenera są przechowywane w specyfikacji Pod i widoczne dla każdego podmiotu z uprawnieniem get pods w przestrzeni nazw, dla procesów na poziomie węzła przez /proc/<pid>/cmdline oraz często trafiają do logów audytowych i zdarzeń.

Podatność XXE w komponencie Apache Camel Saxon (XQueryBuilder) polega na tym, że domyślna konfiguracja Saxon nie blokuje deklaracji DOCTYPE ani zewnętrznych encji. Jeśli treść wiadomości jest już obiektem javax.xml.transform.Source (np. po convertBodyTo(Source.class)), Saxon parsuje ją bez ochrony, co pozwala na odczyt plików i wysyłanie żądań do wskazanych hostów.

Interfejs webowy boneIO Black nie posiada odpowiednich zabezpieczeń przed clickjackingiem. Zdalny atakujący może osadzić panel sterowania w iframe na złośliwej stronie i nakłonić uwierzytelnionego użytkownika w sieci wewnętrznej do klikania przycisków aktywujących przekaźniki, otwierających bramy lub sterujących roletami. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego, odwiedzając złośliwą stronę.

boneIO Black wyłącza uwierzytelnianie dla kilku punktów końcowych API. Nieuwierzytelniony zdalny atakujący w sieci lokalnej może pobrać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listę plików konfiguracyjnych oraz dokumentację API. Dane te ułatwiają rekonesans i umożliwiają ukierunkowane ataki na urządzenie.

boneIO black_debian_images przechowuje plik haseł brokera Mosquitto MQTT w /etc/mosquitto/passwd z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Każdy lokalny użytkownik może odczytać skróty haseł wszystkich kont MQTT i przeprowadzić ataki słownikowe w trybie offline.

boneIO Black zawiera warunek wyścigu TOCTOU w funkcji create_timedatectl_sudoers_file() w pliku boneio/webui/routes/timezone_sudoers.py. Funkcja zapisuje reguły sudoers do przewidywalnego pliku tymczasowego, waliduje je, a następnie instaluje z uprawnieniami roota, co pozwala lokalnemu atakującemu podmienić zawartość lub wykorzystać atak symlink. Prowadzi to do wstrzyknięcia dowolnych reguł sudoers i lokalnej eskalacji do roota. Problem naprawiono w wersji 1.6.0.

boneIO Black jest podatny na Cross-Site Request Forgery (CSRF) na wszystkich punktach końcowych API zmieniających stan, ponieważ nie posiada tokenów CSRF i nie waliduje nagłówków Origin ani Referer. Zdalny atakujący może spreparować złośliwą stronę, która po odwiedzeniu przez użytkownika w sieci wewnętrznej wysyła żądania cross-origin do urządzenia, umożliwiając ponowne uruchomienie kontrolera, przełączanie przekaźników, sterowanie bramami i roletami lub wyłączenie urządzenia. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego.

boneIO Black nie ogranicza liczby prób uwierzytelnienia w interfejsie webowym (POST /api/login) ani w usłudze SSH oraz nie wymusza złożoności haseł. Nieuwierzytelniony zdalny atakujący może wykonywać nieograniczone próby siłowe, potencjalnie przejmując konta użytkowników i uzyskując nieuprawniony dostęp do urządzenia.

Obraz boneIO black_debian_images zawiera broker Mosquitto MQTT używający tych samych domyślnych poświadczeń na wszystkich urządzeniach. Poświadczenia są publicznie udokumentowane na GitHubie, a instrukcje nie wskazują potrzeby ich zmiany. Zdalny atakujący może uzyskać pełny odczyt i zapis do brokera, kontrolować przekaźniki, rolety i bramy oraz wstrzykiwać fałszywe encje do Home Assistant. Problem naprawiono w wersji 1.6.0.

Obraz boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto boneio, może wykorzystać te uprawnienia do eskalacji do roota. Problem naprawiono w wersji 1.6.0.

boneIO Black przechowuje hasła, w tym hasło brokera MQTT i panelu webowego, w postaci jawnej. Endpoint GET /api/config zwraca pełną konfigurację z ujawnionymi hasłami usług podrzędnych, a każdy uwierzytelniony użytkownik może je odczytać. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) nieuwierzytelniony atakujący w tej samej sieci lokalnej może pobrać wszystkie hasła.

Firmware boneIO Black ma domyślnie wyłączone uwierzytelnianie. Jego zarządcze API web nasłuchuje na wszystkich interfejsach sieciowych i udostępnia wszystkie endpointy bez wymagania poświadczeń. Nieuwierzytelniony zdalny atakujący może w pełni kontrolować urządzenie, powodować odmowę usługi, modyfikować konfigurację i sterować podłączonymi obwodami fizycznymi. Problem naprawiono w wersji 1.6.0.

boneIO Black udostępnia instancję Node-RED bez uwierzytelniania pod ścieżką /nodered/ poprzez reverse proxy Caddy. Node-RED Admin API pozwala wdrażać przepływy wykonujące dowolne polecenia systemowe. Nieuwierzytelniony atakujący w sieci lokalnej może wdrożyć złośliwy przepływ, uzyskać zdalne wykonanie kodu i przejąć pełną kontrolę nad systemem automatyki domowej. Problem naprawiono w wersji 1.6.0.

Demon terminal-bridge 'wsserver' działający z uprawnieniami roota buduje polecenie powłoki z pól WebSocket dostarczonych przez klienta i przekazuje je do system() oraz popen() bez cytowania, escapowania ani walidacji zestawu znaków. Ścieżka sesji z kluczem publicznym nie wykonuje żadnego sprawdzenia sesji urządzenia.

Z powodu nieprawidłowych kontroli uprawnień w Lobster_pro atakujący mogą korzystać z endpointów, które powinny wymagać uprawnień administracyjnych. Problem dotyczy wersji 4.12.12-LTS i potencjalnie innych wersji przed 25.1.3.

Urządzenia Xovis AG APS-R-POE, APS-R-POE-PP, APS-R, APS-R-POE-USB i APS-B w wersji 2.10.1.1 i wcześniejszych zawierają podatność na wstrzyknięcie poleceń systemu operacyjnego w skrypcie /sbin/ImportParamSet.sh. Skrypt przetwarza dowiązania symboliczne z przesłanych archiwów parametrów i osadza ścieżkę docelową dowiązania w poleceniu powłoki bez cytowania ani sanityzacji. Polecenie jest wykonywane jako root przez IPC APC_SendMsg.