Katalog podatności CVE

Niedokończona poprawka podatności path traversal w pghoard (demon kopii zapasowych PostgreSQL) pozwala atakującemu z dostępem zapisu do magazynu obiektów (S3, GCS, Azure) na zapis plików i tworzenie katalogów poza katalogiem danych PostgreSQL. Złośliwy manifest kopii zapasowej delta z sekwencjami path traversal może zapisać dowolne dane na hoście podczas operacji przywracania. Podatność naprawiono w wersji 2.7.2.

W Heimdall, gdy skonfigurowano opcję trusted_proxies, adresy IP klienta są wyodrębniane z nagłówków Forwarded i X-Forwarded-For i udostępniane jako Request.ClientIPAddresses, ale bez walidacji składniowej. Dowolne ciągi, zniekształcone adresy IP oraz niezidentyfikowane wartości RFC 7239 są akceptowane, a parser nagłówka Forwarded nie obsługuje poprawnie cudzysłowów, co może powodować błędne parsowanie. Podatność naprawiono w wersji 0.17.17.

W Heimdall w trybie proxy nagłówek Forwarded jest konstruowany przez wstawienie wartości nagłówka Host bez sanityzacji przecinków i średników. Atakujący może wstrzyknąć dodatkowe parametry do nagłówka Forwarded, potencjalnie podszywając się pod adresy IP dla usług nadrzędnych. Podatność naprawiono w wersji 0.17.17.

W PraisonAI od wersji 4.5.115 do przed 4.6.61 udokumentowany punkt wejścia CLI nadal udostępnia trasy subskrypcji i zdarzeń A2U bez uwierzytelniania. Opakowanie CLI nie udostępnia --api-key, nie instaluje oprogramowania pośredniczącego API-key i nie generuje tokenu dla A2U; jeśli zmienna A2U_AUTH_TOKEN nie jest ustawiona, uwierzytelnianie jest wyłączone. Podatność naprawiono w wersji 4.6.61.

W PraisonAI od wersji 4.5.110 do przed 4.6.61 SandlockSandbox, który ma być piaskownicą egzekwowaną przez jądro, w przypadku gdy moduł sandlock importuje się, ale zgłasza niedostępność Landlock, nie zawodzi bezpiecznie. Metody execute() i run_command() po cichu przechodzą do SubprocessSandbox, który nie egzekwuje ograniczeń systemu plików ani sieci. Podatność naprawiono w wersji 4.6.61.

W PraisonAI od wersji 4.5.87 do przed 4.6.61 polityka niebezpiecznych narzędzi sprawdza tylko narzędzia zadeklarowane w TEMPLATE.yaml requires.tools. Dla przepisów opartych na krokach workflow.yaml jest ładowany przez YAMLWorkflowParser, który rozwiązuje narzędzia na poziomie agenta i zachowuje approve: na najwyższym poziomie, co pozwala niezaufanemu przepisowi zadeklarować execute_command i samodzielnie go zatwierdzić bez allow_dangerous_tools=True. Podatność naprawiono w wersji 4.6.61.

W praisonai-platform od wersji 0.1.4 do przed 0.1.5 członek obszaru roboczego może trwale usuwać dowolne zasoby (projekty, agentów, zgłoszenia, etykiety, zależności zgłoszeń i załączniki etykiet) utworzone przez właściciela lub innych członków. Wszystkie sześć punktów końcowych DELETE sprawdza członkostwo w obszarze roboczym, ale nie sprawdza własności ani roli. Podatność naprawiono w wersji 0.1.5.

W PraisonAI w wersjach od 4.6.10 do przed 4.6.59 mostek LocalManagedAgent / SandboxedAgent konwertuje operacje na plikach (read_file, list_files, write_file) na polecenia powłoki, używając surowych argumentów ścieżek. Napastnik mogący wpłynąć na argument ścieżki może wyłamać się z cytowanej ścieżki i wykonać dowolne polecenia powłoki w środowisku obliczeniowym (host lub kontener Docker).

W PraisonAI od wersji 4.2.1 do przed 4.6.59 powierzchnia wdrożeniowa AgentOS oparta na FastAPI pozostaje nieuwierzytelniona, mimo wcześniejszej poprawki dla CVE-2026-40151. Trasa czatu bezpośrednio wywołuje agent.chat(request.message), a żądania bez uwierzytelnienia lub z błędnym tokenem bearer również uruchamiają wdrożonego agenta.

W PraisonAI w wersjach od 4.5.126 do przed 4.6.59 walidacja webhook_url w Async Jobs API nie jest powiązana z późniejszym żądaniem sieciowym. Nazwa hosta kontrolowana przez napastnika może najpierw rozwiązać się na publiczny adres IP podczas walidacji, a następnie na adres loopback/prywatny/metadanych chmury podczas dostarczania webhooka, omijając zabezpieczenie SSRF. To niepełna poprawka / obejście dla GHSA-8frj-8q3m-xhgm.

W PraisonAI w wersjach od 2.6.0 do przed 4.6.59 loader szablonów akceptuje URI GitHub z refami i zapisuje ścieżkę oraz ref bez normalizacji, łącząc je w ścieżkę cache bez sprawdzenia, czy pozostaje w katalogu cache. Spreparowany ref z sekwencjami ../ pozwala wyjść poza katalog cache, zapisać .cache_meta.json poza nim, a w pewnych warunkach usunąć katalog poza cache przez shutil.rmtree.

W XDG Desktop Portal przed wersją 1.22.1 złośliwe aplikacje w sandboxie mogą użyć metody FileTransfer.RetrieveFiles, aby przekierować do siebie dane drag-and-drop i copy-paste przeznaczone dla innych aplikacji. Tokeny dostępu były generowane za pomocą g_random_int lub g_uuid_string_random opartych na Mersenne Twister, co pozwala na odtworzenie stanu PRNG i przewidzenie kolejnych tokenów.

W XDG Desktop Portal przed wersją 1.22.1 złośliwe aplikacje w sandboxie mogą użyć metody FileChooser.SaveFiles, aby uzyskać dostęp do nieistniejących plików na hoście (ograniczony do plików, do których użytkownik ma dostęp). Nazwy plików nie są walidowane przez frontend ani przez typowe backendy, które powinny sprawdzać, czy plik jeszcze nie istnieje.

Repozytoria conda-forge w commitach 85748ad2368a i wcześniejszych zawierają dwa komponenty React renderujące zewnętrzne ciągi znaków bezpośrednio jako HTML przez dangerouslySetInnerHTML bez sanityzacji. Ciągi błędów/statusów zawierają surowe dane wyjściowe z procesów budowania (logi, patche, tracebacki), które strona renderuje dosłownie jako HTML.

Platforma Event Schedule w wersjach 1.0.0 i wcześniejszych zawiera obejście zabezpieczenia SSRF w App\Utils\UrlUtils::isUrlSafe() stosowanego do importowanych URLi. Obejście na dwa sposoby pozwala dotrzeć do usług wewnętrznych/localhost, gdy URL jest później pobierany przez ImportCuratorEvents (Http::get) i file_get_contents dla ogImage.

pghoard, demon kopii zapasowych PostgreSQL, w wersjach przed 2.7.1 loguje informacje o połączeniu do bazy, w tym nazwę użytkownika i hasło, na poziomie debugowania podczas korzystania z .pgpass. Problem został naprawiony w wersji 2.7.1.

Signal K Server od wersji 2.28.0-beta.2 przed 2.34.0 zawiera podatność SSRF w mechanizmie pobierania ikon App Store, który ufa absolutnym URLom signalk.appIcon. Atakujący publikujący pakiety npm ze słowami kluczowymi Signal K może wymusić żądania do loopback, sieci statku lub punktów metadanych chmury, a odpowiedzi obrazów są przechowywane i serwowane przez panel administracyjny.

Agentfront mcp-from-openapi od wersji 2.2.0 przed 2.9.0 zawiera podatność SSRF pozwalającą obejść denylistę ssrf.blockedHosts za pomocą nazw hostów z końcową kropką. Atakujący kontrolujący URL specyfikacji OpenAPI lub cel przekierowania może dodać kropkę końcową do zablokowanego hosta, aby pobrać treść z hostów zablokowanych przez operatora.

mcp-from-openapi od wersji 2.5.0 przed 2.9.0 zawiera podatność ujawnienia poświadczeń, ponieważ safeFetch() przekazuje nagłówki Authorization i Cookie przy przekierowaniach cross-origin. Atakujący kontrolujący host specyfikacji lub wykorzystujący otwarte przekierowanie może przekierować żądania fromURL() do własnego originu i przechwycić tokeny bearer lub ciasteczka.

hydra-ray-launcher w wersjach 1.1.0.dev1 przed 1.2.2 oraz 1.4.0.dev4 przed 1.4.0rc2 zawiera podatność dowolnego importu modułu przez resolver OmegaConf ray_pkg_version przekazujący dane do importlib.import_module(). Atakujący kontrolujący wartości konfiguracji lub nadpisania wiersza poleceń może podać interpolację ray_pkg_version, aby zaimportować dowolny zainstalowany moduł i wywołać jego efekty uboczne przy imporcie.