Katalog podatności CVE

Drupal core w wersjach od 8.0.0 do 10.5.9, 10.6.0 do 10.6.7, 11.0.0 do 11.2.11 oraz 11.3.0 do 11.3.7 zawiera podatność na Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony.

Podatność na atak XSS w module Drupal Orejime przed wersją 2.0.16. Nieprawidłowe neutralizacja danych wejściowych podczas generowania strony umożliwia wstrzyknięcie złośliwego skryptu.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych umożliwia użytkownikowi wyświetlanie i pobieranie własnych załączników z zgłoszenia utworzonego przez innego użytkownika, nawet po tym, jak zgłoszenie stało się prywatne, co omija cofnięcie dostępu do odczytu. Ujawnienie poufności jest minimalne, ponieważ dostępne są tylko załączniki przesłane przez samego użytkownika. Problem został naprawiony w wersji 2.82.2.

Joplin w wersjach 3.5.2 i wcześniejszych zawiera błąd logiczny w API delta, który umożliwia odbiorcom udostępnionych notatek pobieranie notatek, które nie są już z nimi udostępnione. Błąd wynika z nieprawidłowego filtrowania stanu elementów oraz kompresji zmian, co prowadzi do wycieku danych.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych jest podatny na obejście autoryzacji poprzez funkcję monitorowania prywatnych zgłoszeń. Użytkownik z dostępem na poziomie projektu może dodać się jako monitor prywatnego zgłoszenia, do którego nie ma dostępu, wysyłając spreparowane żądanie POST do bug_monitor_add.php. Mimo wyświetlenia błędu Access Denied, aplikacja akceptuje żądanie i tworzy relację monitora, co skutkuje otrzymywaniem powiadomień e-mail o aktualizacjach, ujawniając metadane i treść prywatnego zgłoszenia. Problem został naprawiony w wersji 2.28.2.

Podatność w module Template::Plugin::HTML dla Perla do wersji 3.102 umożliwia wstrzykiwanie kodu HTML i JavaScript. Funkcja html_filter nie poprawnie escapuje apostrofów, co pozwala na wstrzyknięcie kodu w atrybutach HTML ujętych w apostrofy.

W Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych stwierdzono podatność na eskalację uprawnień. Użytkownicy z poziomem dostępu manage_project_threshold (domyślnie manager) mogą przyznać sobie lub innym użytkownikom dostęp administratora projektu w dowolnym projekcie, w którym mają uprawnienia managera. Podatność została naprawiona w wersji 2.28.2.

CtrlPanel (oprogramowanie billingowe open-source dla dostawców hostingu) w wersjach 1.1.1 i wcześniejszych zawiera trwałą podatność XSS w interfejsie zarządzania rolami administratora. Metoda datatable() w RoleController.php interpoluje nazwę i kolor roli bezpośrednio do kodu HTML bez sanitacji, a .rawColumns(['actions', 'name']) wyłącza automatyczne kodowanie. Administrator z uprawnieniami do tworzenia lub edycji ról może wstrzyknąć złośliwy kod, który wykona się przy każdym załadowaniu strony /admin/roles przez każdego administratora.

Urządzenia Ledger Nano X, Flex i Stax zawierają podatność na odmowę usługi w procesie aktualizacji firmware MCU z powodu braku walidacji parametru reset_handler podczas flashowania. Atakujący może podać spreparowany adres reset_handler wskazujący na nieprawidłową pamięć lub kod kontrolowany przez atakującego, powodując nieodwracalny stan błędu podczas uruchamiania i trwałą utratę funkcjonalności.

Nieprawidłowa walidacja wejścia w buforze komunikacji SMM (System Management Mode) może pozwolić uprzywilejowanemu atakującemu na odczyt lub zapis poza zakresem w ograniczonym obszarze pamięci TSEG, co może naruszyć poufność lub integralność.

Ledger Live z podatnymi wersjami ledgerhq/hw-app-eth przed 6.34.7 zawiera podatność parsowania liczb całkowitych, która pozwala atakującym manipulować wiadomościami EIP-712 poprzez wykorzystanie nieprawidłowego parsowania pól szesnastkowych, gdy wartości zawierają nieparzystą liczbę znaków. Atakujący mogą uzyskać podpisy na obciętych lub błędnie zinterpretowanych wartościach, aby autoryzować niezamierzone transakcje blockchain.

CtrlPanel, oprogramowanie billingowe open-source dla dostawców hostingu, w wersjach 1.1.1 i wcześniejszych, posiada wiele kontrolerów administracyjnych udostępniających endpointy DataTable bez kontroli autoryzacji. Każdy uwierzytelniony użytkownik może uzyskać dostęp do wrażliwych danych administracyjnych.

CtrlPanel w wersjach do 1.1.1 zawiera podatność na zdalne wykonanie kodu (RCE) w punkcie końcowym aktualizacji ustawień administratora. Podatność wynika z braku walidacji wczytywanej klasy, co pozwala uwierzytelnionemu administratorowi na dynamiczne wywołanie dowolnej klasy dostępnej w autoloaderze Composera, potencjalnie prowadząc do wykonania kodu.

W libheif przed wersją 1.22.0, podczas dekodowania obrazu HEIF w siatce z strict_decoding=false, uszkodzony kafelek cicho zawodzi, a biblioteka zwraca heif_error_Ok bez wskazania błędu, prowadząc do wycieku niezainicjalizowanej pamięci sterty. Pamięć dla Y, Cb i Cr nie jest zerowana, więc dane z sterty trafiają do pikseli.

Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.

W backendach AWS Secrets Manager i SSM Parameter Store w apache-airflow-providers-amazon przed wersją 9.28.0, logika zakresu zespołu mogła rozwiązać conn_id zawierające '/' (np. 'my_team/conn') do tej samej ścieżki co sekret innego zespołu, gdy wywołujący nie miał kontekstu zespołu. Uprzywilejowany wywołujący bez kontekstu zespołu mógł pobrać sekret innego zespołu, tworząc kolidujący conn_id. Naprawione w wersji 9.28.0 poprzez zmianę separatora zakresu zespołu na '--' i odrzucanie conn_id w kształcie zespołu, gdy brak kontekstu zespołu. Dotyczy tylko eksperymentalnej funkcji multi-tenant teams.

Biblioteka libheif w wersjach 1.21.2 i niższych zawiera podatność na atak DoS (Denial of Service) poprzez nieskończoną pętlę w funkcji Box_stts::get_sample_duration(). Specjalnie spreparowany plik HEIF o rozmiarze 800 bajtów powoduje 100% użycie CPU bez postępu, co prowadzi do odmowy usługi. Problem występuje podczas otwierania pliku, przed jakąkolwiek interakcją użytkownika.

Podatność w pluginie Kirki dla WordPressa polegająca na pominięciu autoryzacji we wszystkich wersjach do 6.0.6 włącznie. Umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym przeglądanie wszystkich formularzy Kirki i odczytywanie danych przesłanych przez odwiedzających, w tym danych kontaktowych i wiadomości.

LIVE555 przed wersją 2026.04.22 zawiera podatność na obejście autoryzacji w obsłudze poleceń sesji RTSP, która pozwala atakującym na powtórne użycie ważnych tokenów sesji z nieuwierzytelnionych połączeń. Atakujący, którzy zdobędą ważny token sesji, mogą wydawać polecenia PLAY i TEARDOWN z drugiego połączenia TCP bez uwierzytelnienia, powodując awarie serwera przez błędy wywołań funkcji wirtualnych lub zakłócanie aktywnych strumieni przez zakończenie sesji ofiary.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 zawiera podatność we wtyczce discourse-subscriptions, która pozwala użytkownikom uzyskać dostęp do grup objętych subskrypcją bez dokonania płatności.