Katalog podatności CVE

GLPI (oprogramowanie do zarządzania IT i aktywami) w wersjach od 11.0.0 do 11.0.6 zawiera podatność, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do odczytu formularzy na eksport struktury nieautoryzowanych formularzy.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 przechowuje nieaktualne podsumowania AI, które mogą ujawniać usunięte treści anonimowym i nieuprzywilejowanym użytkownikom.

FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.

BigBlueButton przed wersją 3.0.19 nie sanityzuje danych wejściowych użytkownika w publicznym czacie podczas odtwarzania nagrań. Pozwala to złośliwemu aktorowi na przeprowadzenie ataku XSS, który aktywuje się u każdego odtwarzającego nagranie. Problem został naprawiony w wersji 3.0.19.

Podatność w Claude HUD do wersji 0.0.12 (załatana w commicie 234d9aa) pozwala na wstrzyknięcie dowolnych kodów ANSI do sesji terminala poprzez nieprawidłowe konstruowanie sekwencji ucieczki OSC 8 dla hiperłączy. Atakujący może umieścić złośliwe sekwencje ESC+backslash w bieżącym katalogu roboczym lub adresie URL gałęzi, co prowadzi do wykonania niebezpiecznych kodów ANSI, takich jak zmiana koloru tekstu, fałszywe monity, zapis do schowka przez OSC 52 lub wywołanie żądań HTTP do zdalnych serwerów po kliknięciu hiperłącza.

Podatność w Summarize przed wersją 0.15.1 dotyczy niebezpiecznych uprawnień plików podczas przepisywania konfiguracji w ścieżce odświeżania bez przeładowania. Powoduje to, że plik konfiguracyjny zawierający klucze API i dane uwierzytelniające dostawcy jest tworzony z domyślnymi uprawnieniami maski procesu, zamiast zachowywać oryginalne uprawnienia, co umożliwia lokalnym użytkownikom odczyt wrażliwych danych.

Wtyczka Summarize przed wersją 0.15.1 zawiera brak autoryzacji, umożliwiający atakującym wykonywanie automatyzacji przeglądarki bez zgody użytkownika na każde wywołanie, gdy funkcja automatyzacji rozszerzenia jest włączona. Atakujący mogą wpływać na agenta poprzez złośliwą stronę lub treść podsumowania, aby wywołać włączone narzędzia automatyzacji rozszerzenia, takie jak nawigacja lub akcje oparte na debuggerze, omijając końcowy krok zatwierdzenia przez użytkownika podczas interakcji z treścią kontrolowaną przez atakującego.

Podatność w Summarize przed wersją 0.15.1 wynika z braku autoryzacji w moście window.postMessage skryptu treści, co pozwala złośliwym stronom na nieautoryzowane operacje na artefaktach automatyzacji. Atakujący mogą symulować wiadomości runtime ze sfałszowanymi identyfikatorami nadawcy, aby wyświetlić, odczytać, utworzyć, nadpisać lub usunąć artefakty automatyzacji przypisane do danej karty bez odpowiednich kontroli autoryzacji.

DumbAssets do wersji 1.0.11 zawiera podatność na trwałe ataki XSS w polach zasobów (nazwa, opis, modelNumber, serialNumber, tagi). Wartości są przechowywane bez sanityzacji po stronie serwera i renderowane przez innerHTML bez escapowania po stronie klienta. Atakujący mogą tworzyć lub aktualizować zasoby z ładunkami HTML/JavaScript przez API, co pozwala na wykonanie dowolnego skryptu w przeglądarkach użytkowników przeglądających listę zasobów.

W systemie NetBSD przed commit ec8451e wykryto podatność na przepełnienie liczby całkowitej ze znakiem w funkcji cryptodev_op() w pliku sys/opencrypto/cryptodev.c. Zmienna lokalna iov_len jest zadeklarowana jako typ signed int, ale przypisywana z niepodpisanej wartości cop->dst_len, co prowadzi do niezdefiniowanego zachowania, gdy cop->dst_len przekracza INT_MAX.

W systemie NetBSD przed commit-em ec8451e wykryto podatność na wyścig w funkcji cryptodev_op() w podsystemie opencrypto. Lokalny atakujący może równocześnie wysyłać operacje CIOCCRYPT na tym samym identyfikatorze sesji na maszynach SMP, co prowadzi do podwójnego zwolnienia pamięci (double-free).

Podatność umożliwia atakującemu w uprzywilejowanej pozycji sieciowej wyciek wrażliwych informacji. Problem związany z obsługą ścieżek został rozwiązany poprzez poprawioną walidację.

Dify przed wersją 1.14.2 zawiera lukę w autoryzacji w punkcie końcowym podglądu plików, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczytanie do 3,000 znaków z dowolnego przesłanego dokumentu, używając jedynie UUID pliku. Atakujący mogą uzyskać dostęp do końcowego punktu /console/api/files/{file_id}/preview, aby wydobyć wrażliwe treści z dokumentów bez weryfikacji własności lub uprawnień do przestrzeni roboczej.

Aplikacje Mattermost Desktop w wersjach <=6.1, 6.0.1 oraz 5.4.13.0 nie zapobiegają ładowaniu nieprawidłowego URL w oknie pop-up, co pozwala złośliwemu właścicielowi serwera na wielokrotne awarie aplikacji poprzez wywołanie {{window.open('javascript:alert()');}}.

Wtyczki Mattermost w wersjach <=11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nieprawidłowo sprawdzają uprawnienia podczas przetwarzania poleceń w wtyczce Gitlab. To pozwala zwykłym użytkownikom na odinstalowanie instancji lub skonfigurowanie połączeń webhook za pomocą poleceń {{gitlab instance {option}}} lub {{/gitlab webhook {option}}}.

Wersje wtyczek Mattermost do 11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nie sprawdzają poprawnie ważnych przestrzeni nazw, co pozwala użytkownikom wtyczek na tworzenie subskrypcji do grup, które nie zostały zatwierdzone, poprzez tworzenie grup o tym samym prefiksie co grupa zatwierdzona.

Wersje wtyczek Mattermost do 11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nie mają odpowiednich kontroli na poziomie API dotyczących grup, do których użytkownik może tworzyć zgłoszenia lub dodawać komentarze. Umożliwia to użytkownikowi, będącemu członkiem wielu grup, tworzenie zgłoszeń w zablokowanej grupie za pomocą bezpośrednich żądań API.

Wersje Net::Statsd::Lite przed 0.9.0 dla Perla umożliwiały wstrzykiwanie metryk. Nazwy metryk nie były sprawdzane pod kątem nowych linii, dwukropków ani rur, co pozwalało na wstrzykiwanie dodatkowych metryk z niezaufanych źródeł.

Cockpit CMS do wersji 2.14.0 zawiera podatność na trwałe XSS w polu typu Set, w opcji szablonu wyświetlania. Ciąg szablonu jest przetwarzany przez funkcję $interpolate za pomocą new Function() i renderowany przez Vue v-html bez sanityzacji, co pozwala atakującemu z uprawnieniami content/:models/manage na wstrzyknięcie dowolnego kodu JavaScript.

Biblioteka WebSocket 'ws' dla Node.js przed wersją 8.20.1 ma podatność na ujawnienie niezainicjalizowanej pamięci przy zamykaniu połączenia z TypedArray jako argumentem reason.