Katalog podatności CVE

Nginx Proxy Manager do wersji 2.16.0 nie ogranicza pola advanced_config wyłącznie do administratorów, co pozwala użytkownikom bez uprawnień administracyjnych, ale z uprawnieniami do zarządzania, wstrzykiwać dowolne dyrektywy nginx. Atakujący mogą wstrzyknąć złośliwą konfigurację nginx, taką jak dyrektywy alias, aby udostępniać dowolne pliki lub kontrolować routing dla przypisanych im hostów.

Nginx Proxy Manager do wersji 2.16.0 nie stosuje ograniczania szybkości na punktach końcowych uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na nieograniczone zgadywanie haseł dla dowolnego konta. Atakujący mogą brute-force'ować dane logowania przez POST /api/tokens, a następnie zgadywać kody TOTP przez POST /api/tokens/2fa, aby uzyskać pełny dostęp sesyjny i kontrolę administracyjną.

Nest to framework do budowania skalowalnych aplikacji serwerowych Node.js. W wersjach przed 11.2.4 i 12.0.2 pojedyncza wiadomość z głęboko zagnieżdżonym obiektem w swoim wzorcu może zakończyć działanie mikrousługi NestJS korzystającej z transportu TCP lub RabbitMQ. Metody ServerTCP#handleMessage i ServerRMQ#handleMessage przekazują kontrolowany przez klienta wzorzec niebędący ciągiem znaków do JSON.stringify w celu wyznaczenia klucza wyszukiwania handlera; wystarczająco głębokie zagnieżdżenie powoduje wyjątek RangeError: Maximum call stack size exceeded, a nieobsłużone odrzucenie obietnicy kończy proces Node.js zgodnie z domyślnym zachowaniem. Atakujący, który może dotrzeć do portu TCP lub opublikować w konsumowanej kolejce lub wymianie RabbitMQ, może na żądanie spowodować awarię usługi; inne transporty nie są dotknięte, ponieważ ich wzorce przychodzą jako ciągi znaków. Problem został naprawiony w wersjach 11.2.4 i 12.0.2.

Wykryto lukę w zabezpieczeniach w Netcore POWER13 2.0.240730.162638. Problem dotyczy funkcji routerd.passwd_set w pliku /ubus. Manipulacja prowadzi do słabego odzyskiwania hasła. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

SiYuan w wersjach przed v3.8.4 nieprawidłowo waliduje instrukcje SQL w blokach osadzających zapytania SQL wykonywanych na siyuan.db. Atakujący mogą tworzyć złośliwe dokumenty .sy z instrukcjami SQL innymi niż tylko do odczytu, które są wykonywane automatycznie podczas indeksowania w tle, renderowania lub operacji eksportu bez uwierzytelniania.

W narzędziu wiersza poleceń 'ros2topic' systemu Robot Operating System 2 (ROS 2) odkryto lukę umożliwiającą wstrzyknięcie kodu, dotyczy ona wszystkich dystrybucji ROS 2 od Crystal Clemmys do Lyrical Luth i Rolling Ridley włącznie. Luka występuje w czasowniku 'hz', który raportuje częstotliwość publikowania tematu i akceptuje wyrażenie Python dostarczone przez użytkownika poprzez opcję --filter. Dane wejściowe są przekazywane bezpośrednio do funkcji eval() bez sanityzacji, co pozwala lokalnemu użytkownikowi na utworzenie i wykonanie dowolnego kodu.

W bibliotece proxygen (wersje od v2024.10.28.00 do v2026.09.28.00) funkcja WebTransportImpl::terminateSessionStreams (w wydaniach przed v2025.08.18.00 nazwana WebTransportImpl::destroy) nie wyrejestrowywała callbacków odczytu dla strumieni, które nie były już otwarte, przed ich zniszczeniem. W efekcie transport mógł wywołać callback odczytu, który został już zwolniony.

W bibliotece proxygen (wersje od v2026.04.06.00 do v2026.09.28.00) metoda QuicWtSession::closeSession uzyskuje dostęp do swoich pól po wywołaniu metody bazowej QuicWtSessionBase::closeSession. Metoda bazowa powiadamia obsługę sesji, która może zwolnić ostatnie odwołanie do sesji i ją zniszczyć.

Sterownik ADI MAX32 w Zephyr nie sprawdzał poprawnie rozmiaru bufora docelowego w adc_max32.c — porównywał liczbę bajtów z liczbą próbek, ignorując rozmiar uint16_t. W wyniku tego bufor o połowę za mały był akceptowany, a sterownik zapisywał dwa razy więcej danych niż przewidziano, powodując zapis poza buforem. W buildach z CONFIG_USERSPACE nieuprzywilejowany wątek w trybie użytkownika może wykorzystać tę lukę do korupcji pamięci jądra.

Sterownik NXP MCUX LPADC w Zephyr nie sprawdzał rozmiaru bufora docelowego przed zapisem próbek, mimo że API ADC wymaga od sterowników odrzucania sekwencji z za małym buforem. W wyniku tego próbki są zapisywane poza granicami bufora, co prowadzi do uszkodzenia pamięci jądra. W buildach z CONFIG_USERSPACE nieuprzywilejowany wątek w trybie użytkownika może wykorzystać tę lukę do eskalacji uprawnień lub ataku typu denial-of-service.

Podatność w weryfikatorze syscall RTIO w Zephyr RTOS (przed v4.3.0) pozwala nieuprzywilejowanemu wątkowi użytkownika zapisać wskaźnik do kontrolowanych danych pod dowolnym adresem jądra. Brakuje sprawdzenia K_SYSCALL_MEMORY_WRITE dla parametru wyjściowego handle, co umożliwia eskalację uprawnień do trybu jądra.

Biblioteka brace-expansion generuje dowolne ciągi znaków zawierające wspólny prefiks i sufiks. W wersjach przed 1.1.20, 2.1.6, 3.0.8 i 5.0.11 głęboko zagnieżdżone grupy nawiasów powodują, że expand_() rekursuje raz na poziom zagnieżdżenia w miejscach rozwinięcia elementów oddzielonych przecinkami i pojedynczych zestawów, wyczerpując natywny stos zanim limity wyjściowe mogą zostać zastosowane, potencjalnie kończąc proces Node.js. expand_ wykonuje niekontrolowaną rekurencję dla zagnieżdżonych alternatyw nawiasów i zestawów jednoczęściowych. głęboko zagnieżdżone grupy nawiasów dostarczone jako niezaufany wzorzec. expand_ jest dotknięty. expand jest dotknięty. Elementy oddzielone przecinkami są dotknięte. Pojedynczy zestaw jest dotknięty. wyczerpanie natywnego stosu podczas zagnieżdżonego podrozwinięcia. odmowa usługi kończąca proces. Problem został naprawiony w wersjach 1.1.20, 2.1.6, 3.0.8 i 5.0.11.

Biblioteka brace-expansion generuje dowolne ciągi znaków na podstawie wspólnego prefiksu i sufiksu. W wersjach przed 1.1.19, 2.1.5, 3.0.7 i 5.0.10 specjalnie spreparowane wzorce nawiasów klamrowych mogą wyczerpać natywny stos w funkcji parseCommaParts, ponieważ funkcja ta rekurencyjnie przetwarza resztę raz na każdą grupę nawiasów oraz używa push.apply do przekazania wszystkich elementów bardzo dużej tablicy jako argumentów funkcji. Może to doprowadzić do zakończenia procesu Node.js w wyniku ataku typu denial of service.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.13.0 do 2.14.0 funkcja HMACAlgorithm.prepare_key jest podatna, ponieważ ochrona klucza HMAC rozpoznaje tylko publiczne formy JWK najwyższego poziomu i pomija reprezentacje kontenerowe. Gdy aplikacja zezwala na algorytmy HMAC i asymetryczne oraz przekazuje publiczny kontener JWK jako surowy klucz, publiczny materiał klucza asymetrycznego jest akceptowany jako sekret HMAC. W rezultacie atakujący znający klucz publiczny może sfałszować token z dowolnymi uwierzytelnionymi oświadczeniami.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.13.0 do 2.14.0 funkcja HMACAlgorithm.prepare_key w jwt/algorithms.py jest podatna, ponieważ detektor surowego JWK nie normalizuje akceptowanych znaczników kolejności bajtów Unicode przed sprawdzeniem JSON. Gdy publiczny JWK jest poprzedzony BOM UTF-8 i używany w ścieżce weryfikacji mieszanej algorytmami, publiczny JWK omija wykrywanie klucza asymetrycznego i staje się sekretem HMAC. W rezultacie atakujący znający klucz publiczny może sfałszować uwierzytelnione tokeny.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.4.0 do 2.14.0 funkcja HMACAlgorithm.prepare_key jest podatna, ponieważ ochrona klucza asymetrycznego opiera się na znacznikach tekstowych nieobecnych w kodowaniu DER. Gdy aplikacja miesza algorytmy HMAC i asymetryczne oraz dostarcza publiczny klucz DER jako wspólny klucz weryfikacyjny, PyJWT używa publicznych bajtów DER jako sekretu HMAC. W rezultacie atakujący znający klucz publiczny może sfałszować uwierzytelnione tokeny HMAC.

PyJWT to implementacja standardów JSON Web Token w Pythonie. W wersjach przed 2.14.0 komponent PyJWKClient jest podatny, ponieważ miejsca docelowe przekierowań nie są ponownie weryfikowane względem granicy zaufania JWKS. Gdy skonfigurowany zaufany punkt końcowy JWKS zwraca przekierowanie pod wpływem atakującego, PyJWKClient podąża za przekierowaniem i zużywa przekierowaną odpowiedź jako materiał klucza. W rezultacie przekazywane poświadczenia mogą zostać ujawnione lub klucze weryfikacyjne mogą zostać podmienione.

PyJWT to implementacja standardów JSON Web Token w Pythonie. Od wersji 2.13.0 do 2.14.0 funkcja HMACAlgorithm.from_jwk jest podatna, ponieważ ścieżka weryfikacji PyJWK używała zdekodowanego klucza bez zastosowania walidacji prepare_key. Gdy zaufany zestaw JWK zawiera wpis oct z pustą wartością k, atakujący podpisuje token HMAC tym samym kluczem o zerowej długości akceptowanym przez PyJWT. W rezultacie sfałszowany token może przenosić dowolne uwierzytelnione oświadczenia.

@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.

InvoicePlane to samodzielnie hostowana aplikacja open source do zarządzania fakturami, klientami i płatnościami. W wersji 1.7.2 funkcja Users::form() nie wykonuje kontroli autoryzacji na poziomie obiektu dla user_id = 1. Administrator drugorzędny (user_type = 1, user_id != 1) może zmienić user_type administratora głównego na 2 (Gość / tylko do odczytu), niszcząc uprawnienia konta root i blokując legalnemu właścicielowi dostęp do instancji. W momencie publikacji nie ma publicznie dostępnych poprawek.