Katalog podatności CVE

Grupa tras `/api/v1/admin` nie egzekwowała ograniczenia `public-only` tokenów dostępu osobistego. Token public-only z zakresem administratora wydany przez administratora witryny mógł wylistować prywatne organizacje i adresy e-mail wszystkich użytkowników, tworzyć organizacje, uzyskiwać tokeny rejestracji runnerów oraz tworzyć nowe konta administratorów witryny, które pozostają aktywne po unieważnieniu tokenu.

Token `GITEA_TOKEN` zadania Gitea Actions uwierzytelnia jako użytkownik systemowy `gitea-actions`, a endpointy e-mail i kluczy GPG `/api/v1/user` akceptowały tego użytkownika, więc zadanie mogło zarejestrować adres e-mail i klucz GPG; bez wymaganego potwierdzenia e-mail adres był zapisywany jako aktywowany. Weryfikacja commitów traktuje klucz bez rzeczywistego właściciela jako klucz podpisujący instancji, więc każdy użytkownik mogący uruchomić zadanie workflow mógł sprawić, że commity podpisane jego własnym kluczem były wyświetlane jako zaufane i podpisane przez instancję.

Trasy API dla wydań, zasobów wydań, kamieni milowych i etykiet repozytorium nie odrzucały zmian w zarchiwizowanych repozytoriach. Użytkownik z prawem zapisu do zarchiwizowanego repozytorium lub posiadacz jego tokenu z zakresem zapisu mógł zastępować lub usuwać zasoby wydań zachowując ich adresy pobierania, usuwać wydania i tagi oraz tworzyć, edytować lub usuwać kamienie milowe i etykiety repozytorium, które powinno być tylko do odczytu.

Gitea nie odrzucała tokenów dostępu osobistego ograniczonych do zasobów publicznych (`public-only`) na endpoincie tokenu rejestracji runnera Actions organizacji, a runner zarejestrowany uzyskanym tokenem nie był ograniczony do publicznych repozytoriów. Posiadając tylko taki token z `write:organization` należący do właściciela publicznej organizacji, atakujący mógł zarejestrować runner na poziomie organizacji i odbierać zadania prywatnych repozytoriów organizacji z włączonym Actions, w tym treść workflow, sekrety i zmienne Actions oraz token zadania z dostępem do prywatnego repozytorium.

Endpoint `GET /api/v1/users/{username}/heatmap` obliczał mapę cieplną wkładu z uprawnieniami dostępu do repozytoriów właściciela tokenu i ignorował ograniczenie `public-only` tokenu dostępu, w przeciwieństwie do endpointów aktywności. Posiadacz tokenu public-only użytkownika mógł odczytać liczby wkładu i ich 15-minutowe przedziały czasowe pochodzące z aktywności tego użytkownika w prywatnych repozytoriach.

Starsze (v1 do v3) przesyłanie artefaktów Actions przechowywało nagłówek `Content-Encoding` żądania bez sprawdzenia w kolumnie serwowanej jako `Content-Type` artefaktu przy pobieraniu, a wartość zaczynająca się od `video/` lub `audio/` usuwała także politykę Content-Security-Policy piaskownicy. Użytkownik mogący uruchomić zadanie Actions mógł przesłać artefakt renderowany przez przeglądarkę jako HTML w domenie Gitea po otwarciu bezpośredniego adresu pobierania, a adres jest anonimowo osiągalny w publicznych repozytoriach.

Podatność w Gitea Actions polega na tym, że tokeny zadań uwierzytelniają się w API REST jako wspólny użytkownik systemowy o ujemnym ID, który nie podlega ograniczeniom właścicielskim w filtrach repozytoriów, organizacji, projektów i kluczy. Token nie miał też zakresu API ograniczającego trasy użytkownika, więc użytkownik mogący uruchomić workflow mógł użyć tokenu z `GET /api/v1/user/repos`, aby wylistować wszystkie repozytoria w instancji, w tym prywatne repozytoria innych użytkowników i organizacji, wraz z metadanymi. Zawartość repozytoriów pozostawała chroniona przez kontrolę uprawnień na poziomie repozytorium.

W systemie Typemill do wersji 2.26.0 wykryto podatność w funkcji ControllerApiImage::saveImage w pliku system/typemill/Models/SvgSanitizer.php. Manipulacja danymi może prowadzić do cross-site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; aktualizacja do wersji 2.27.0 (patch 9ca43c4a7b6764c5a6ac11a2ccc099b036ee3cef) rozwiązuje problem.

W bibliotece loguru w wersji 0.7.3 wykryto podatność w funkcji AnsiParser.feed w pliku loguru/_colorizer.py, odpowiedzialnej za parsowanie kolorów ANSI. Manipulacja danymi wejściowymi prowadzi do nieefektywnej złożoności wyrażeń regularnych (ReDoS), a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W urządzeniu WAVLINK WL-WN530BE1-A (wersja V251117) wykryto podatność w funkcji con_check_read_finish w pliku /protocol.csp. Manipulacja argumentem group_name/IP-FROM prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Wtyczka WordPress MapPress w wersji przed 2.97.15 nie ogranicza, których danych użytkowników renderuje jej handler osadzania mapy w interfejsie front-end. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie adresu e-mail i nazwy wyświetlanej dowolnego użytkownika witryny poprzez wyliczanie identyfikatorów użytkowników.

Wtyczka WordPress Media Library Assistant w wersji przed 3.44 nie escapuje jednego z atrybutów shortcode przed wyświetleniem go w atrybucie generowanych linków. Umożliwia to użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka WordPress Media Library Assistant w wersji przed 3.44 nie sprawdza, czy żądający użytkownik ma prawo do wyświetlenia wpisu, zanim ujawni przypisane do niego terminy taksonomii. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, poznanie przypisań terminów prywatnych załączników i wpisów.

Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień w handlerze testowej wiadomości e-mail, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to użytkownikowi o niskich uprawnieniach, np. subskrybentowi, wysłanie z witryny wiadomości e-mail do dowolnego odbiorcy z podrobionym adresem nadawcy.

Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień, gdy jej handler testowej wiadomości e-mail rozwiązuje i zwraca adres e-mail użytkownika, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (subskrybent i wyżej) ujawnienie adresu e-mail dowolnego zarejestrowanego użytkownika, w tym administratorów.

W urządzeniu WAVLINK WL-WN530HG4B (wersja M_V260724) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

W urządzeniu WAVLINK WN579X3-D (wersja V250402) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W urządzeniu WAVLINK WL-WN579A3-A (wersja 2026-03-10-94f93d4) wykryto podatność w funkcji set_wzdgwMesh w pliku /cgi-bin/adm.cgi, w komponencie Initial Setup Wizard. Manipulacja argumentem wlan_ssid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Wykryto podatność bezpieczeństwa w Presenton do wersji 0.9.11-beta. Dotyczy ona nieznanej części pliku /app_data w komponencie Desktop Authentication Middleware i prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

Biblioteka imagecodecs w wersjach od 2023.1.23 do 2026.10.10 zawiera przepełnienie bufora na stosie w parserze tabel Huffmana bezstratnego JPEG w funkcji decode_jpegsof3(). Złośliwy plik może spowodować przepełnienie tablic HufVal i HufSz na stosie i zawieszenie procesu wywołującego.