Katalog podatności CVE

Podatność polegająca na przechodzeniu poza katalog (path traversal) w Flatpak podczas obsługi katalogu files/etc podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na wyczyszczenie lub zastąpienie niektórych plików systemowych (takich jak passwd, group, machine-id lub resolv.conf) symlinkiem podczas instalacji lub aktualizacji. W instalacjach systemowych zapis jest wykonywany jako root.

Funkcja `quote()` w shell-quote emituje token `{ comment }` jako `#` z tekstem, co komentuje resztę linii powłoki, w tym otwierający cudzysłów późniejszego tokenu string. Znak końca linii (\n, \r, U+2028, U+2029) w tym późniejszym stringu kończy komentarz, a reszta stringu jest parsowana jako wejście powłoki. Funkcja `parse()` emituje token komentarza dla `#` w środku słowa, więc wywołania łączące wynik `parse()` z innym niezaufanym stringiem są podatne. Poprawka w wersji 1.11.0: `quote()` rzuca `TypeError`, gdy string po tokenie `{ comment }` zawiera znak końca linii.

W produkcie REBUILD do wersji 4.4.11 odkryto podatność w nieznanym kodzie pliku /commons/file-editor-save. Manipulacja argumentem url/fileKey prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W produkcie Rebuild do wersji 4.4.7/4.5.0-beta5 znaleziono podatność w nieznanej części pliku /user/login komponentu Login Endpoint. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W produkcie MODSetter SurfSense do wersji 2.0.3 znaleziono podatność w nieznanej funkcji pliku surfsense_backend/app/routes/circleback_webhook_route.py komponentu circleback Endpoint. Wykonanie manipulacji prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W LimeSurvey Community Edition 7.3.0 uwierzytelniony użytkownik z uprawnieniem do tworzenia ankiet może użyć własnej ankiety jako autoryzowanego kontekstu, podając identyfikatory pytań lub odpowiedzi należące do ankiety innego użytkownika. Endpoint REST sprawdza uprawnienia względem ID ankiety z URL, ale operacje zapisu rozwiązują obiekt docelowy po globalnym qid lub aid bez weryfikacji przynależności do autoryzowanej ankiety.

W MODSetter SurfSense do wersji 2.0.3 wykryto podatność w nieznanym przetwarzaniu pliku /api/search-source/connectors/mcp/test w komponencie MCP Connector Integration. Manipulacja prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

Wtyczka HT Contact Form – Drag & Drop Form Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole Rich Text Editor we wszystkich wersjach do 2.10.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Bitwarden Server w wersji od 2025.6.0 do 2026.5.0 deklaruje parametr @ExternalId procedury User_ReadBySsoUserOrganizationIdExternalId jako NVARCHAR(50), podczas gdy kolumna, którą odczytuje, przechowuje NVARCHAR(300), co po cichu obcina identyfikator logowania SSO w wdrożeniach SQL Server. Umożliwia to użytkownikowi, którego identyfikator dostawcy tożsamości zaczyna się od pełnego 50-znakowego identyfikatora innego członka organizacji, uwierzytelnienie się jako ten członek i uzyskanie tokenu dostępu w zakresie ofiary.

W RaspAP raspap-webgui do wersji 3.5.5 wykryto podatność w funkcji PluginInstaller::addSudoers w pliku src/RaspAP/Plugins/PluginInstaller.php w komponencie konfiguracji sudo. Manipulacja prowadzi do niewłaściwego zarządzania uprawnieniami, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

W Trusted Domain Project OpenDMARC do wersji 1.4.2 wykryto wadę w funkcji opendmarc_sp2_find_mailfrom_domain w pliku libopendmarc/opendmarc_spf.c w komponencie SPF Macro Handler. Manipulacja powoduje niewłaściwe uwierzytelnianie, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; dostępna jest poprawka o nazwie c48a74c758677fc5272a73eff15ffdbf8afda1a6.

W Trusted Domain Project OpenDMARC do wersji 1.4.2 wykryto podatność w funkcji opendmarc_policy_query_dmarc w komponencie Multi-Record Set Handler. Manipulacja prowadzi do obejścia uwierzytelniania poprzez podszywanie się, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

Nginx Proxy Manager do wersji 2.16.0 nie ogranicza pola advanced_config wyłącznie do administratorów, co pozwala użytkownikom bez uprawnień administracyjnych, ale z uprawnieniami do zarządzania, wstrzykiwać dowolne dyrektywy nginx. Atakujący mogą wstrzyknąć złośliwą konfigurację nginx, taką jak dyrektywy alias, aby udostępniać dowolne pliki lub kontrolować routing dla przypisanych im hostów.

Nginx Proxy Manager do wersji 2.16.0 nie stosuje ograniczania szybkości na punktach końcowych uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na nieograniczone zgadywanie haseł dla dowolnego konta. Atakujący mogą brute-force'ować dane logowania przez POST /api/tokens, a następnie zgadywać kody TOTP przez POST /api/tokens/2fa, aby uzyskać pełny dostęp sesyjny i kontrolę administracyjną.

Nest to framework do budowania skalowalnych aplikacji serwerowych Node.js. W wersjach przed 11.2.4 i 12.0.2 pojedyncza wiadomość z głęboko zagnieżdżonym obiektem w swoim wzorcu może zakończyć działanie mikrousługi NestJS korzystającej z transportu TCP lub RabbitMQ. Metody ServerTCP#handleMessage i ServerRMQ#handleMessage przekazują kontrolowany przez klienta wzorzec niebędący ciągiem znaków do JSON.stringify w celu wyznaczenia klucza wyszukiwania handlera; wystarczająco głębokie zagnieżdżenie powoduje wyjątek RangeError: Maximum call stack size exceeded, a nieobsłużone odrzucenie obietnicy kończy proces Node.js zgodnie z domyślnym zachowaniem. Atakujący, który może dotrzeć do portu TCP lub opublikować w konsumowanej kolejce lub wymianie RabbitMQ, może na żądanie spowodować awarię usługi; inne transporty nie są dotknięte, ponieważ ich wzorce przychodzą jako ciągi znaków. Problem został naprawiony w wersjach 11.2.4 i 12.0.2.

Wykryto lukę w zabezpieczeniach w Netcore POWER13 2.0.240730.162638. Problem dotyczy funkcji routerd.passwd_set w pliku /ubus. Manipulacja prowadzi do słabego odzyskiwania hasła. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

SiYuan w wersjach przed v3.8.4 nieprawidłowo waliduje instrukcje SQL w blokach osadzających zapytania SQL wykonywanych na siyuan.db. Atakujący mogą tworzyć złośliwe dokumenty .sy z instrukcjami SQL innymi niż tylko do odczytu, które są wykonywane automatycznie podczas indeksowania w tle, renderowania lub operacji eksportu bez uwierzytelniania.

W narzędziu wiersza poleceń 'ros2topic' systemu Robot Operating System 2 (ROS 2) odkryto lukę umożliwiającą wstrzyknięcie kodu, dotyczy ona wszystkich dystrybucji ROS 2 od Crystal Clemmys do Lyrical Luth i Rolling Ridley włącznie. Luka występuje w czasowniku 'hz', który raportuje częstotliwość publikowania tematu i akceptuje wyrażenie Python dostarczone przez użytkownika poprzez opcję --filter. Dane wejściowe są przekazywane bezpośrednio do funkcji eval() bez sanityzacji, co pozwala lokalnemu użytkownikowi na utworzenie i wykonanie dowolnego kodu.

W bibliotece proxygen (wersje od v2024.10.28.00 do v2026.09.28.00) funkcja WebTransportImpl::terminateSessionStreams (w wydaniach przed v2025.08.18.00 nazwana WebTransportImpl::destroy) nie wyrejestrowywała callbacków odczytu dla strumieni, które nie były już otwarte, przed ich zniszczeniem. W efekcie transport mógł wywołać callback odczytu, który został już zwolniony.

W bibliotece proxygen (wersje od v2026.04.06.00 do v2026.09.28.00) metoda QuicWtSession::closeSession uzyskuje dostęp do swoich pól po wywołaniu metody bazowej QuicWtSessionBase::closeSession. Metoda bazowa powiadamia obsługę sesji, która może zwolnić ostatnie odwołanie do sesji i ją zniszczyć.