Katalog podatności CVE

OpenCATS w wersjach przed 0.12.0 zawiera podatność typu stored XSS, która pozwala zalogowanemu użytkownikowi o niskich uprawnieniach wstrzyknąć ładunek HTML/JavaScript poprzez pole nazwy/tytułu Kandydata, Firmy, Kontaktu, Zlecenia pracy lub Listy. Wartość jest przechowywana bez sanityzacji i później renderowana bez escapowania w panelu nawigacji 'Recent' (MRU) wyświetlanym na niemal każdej stronie przez funkcję getFormatted() w lib/MRU.php. Atakujący może wykonać dowolny JavaScript w sesji innego użytkownika, w tym administratora witryny, co umożliwia kradzież sesji/cookies i eskalację do pełnej kontroli administracyjnej.

Brak kontroli autoryzacji w KNIME Business Hub przed wersją 1.19.0 pozwala każdemu posiadającemu dostęp do "linku bez logowania" dla DataApp na listowanie i potencjalny dostęp do zadań innych użytkowników utworzonych przez ten sam link. Problem dotyczy nieprawidłowego sprawdzania uprawnień.

Nieprawidłowe kontrole autoryzacji w przetwarzaniu zapytań silnika Amazon Athena w wersji 3 mogły pozwolić uwierzytelnionemu użytkownikowi na odczyt identyfikatorów kont AWS oraz metadanych zapytań (tekstu SQL) należących do innych kont AWS. Wyniki zapytań oraz dane przechowywane w Amazon S3 lub innych źródłach danych nie były dostępne przez tę lukę. AWS naprawił problem 7 października 2026 r. i nie są wymagane żadne działania klientów.

Pylint od wersji 0.15.2 do 4.0.9 przechowuje statystyki modułów w przewidywalnych plikach w PYLINT_HOME i ładuje je za pomocą pickle.load przy kolejnym uruchomieniu. Atakujący mogący zapisać w współdzielonym lub niezaufanym katalogu pamięci podręcznej może zastąpić plik statystyk spreparowanymi danymi, powodując wykonanie dowolnego kodu z uprawnieniami użytkownika uruchamiającego Pylint.

Better Auth to biblioteka uwierzytelniania i autoryzacji dla TypeScript. Od wersji 1.4.0-beta.18 do 1.7.7 wdrożenia, które włączają Magic Link z storeToken ustawionym na plain lub z storeToken ustawionym na hashed i globalnym ustawieniem verification.storeIdentifier również ustawionym na hashed, włączają wbudowanego dostawcę społecznościowego lub Generic OAuth oraz używają account.storeStateStrategy ustawionego na database, mogą przyjąć wartość stanu logowania OAuth jako token Magic Link. Te ustawienia mogą powodować, że rekordy weryfikacji Magic Link i stan OAuth rozwiązują się do tego samego przechowywanego identyfikatora, pozwalając nieuwierzytelnionemu atakującemu rozpocząć logowanie OAuth dla znanego adresu e-mail i wykorzystać zwrócony stan poprzez Magic Link bez kontroli skrzynki pocztowej lub ukończenia callbacku dostawcy. Atakujący może uzyskać normalną sesję dla istniejącego użytkownika lub utworzyć konto błędnie oznaczone jako zweryfikowane e-mailem, gdy rejestracja jest włączona. Problem naprawiono w wersji 1.7.7.

draw.io Desktop przed wersją 31.4.4 jest podatny na ujawnienie dowolnych plików lokalnych poprzez czytające handlery IPC w procesie głównym Electron. Akcje readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists i watchFile działają na ścieżce wybranej przez renderer bez autoryzacji assertWritablePath, co pozwala na odczyt plików, do których zapis jest zabroniony.

dnspython w wersjach przed 2.9.0 zawiera podatność, w której funkcja dns.name.from_wire_parser podąża za kontrolowanymi przez atakującego łańcuchami wskaźników kompresji DNS bez limitu przeskoków. Złośliwa wiadomość w formacie wire DNS może wymusić nadmierne przechodzenie wskaźników podczas dekompresji nazw, powodując wysokie zużycie CPU, degradację aplikacji lub odmowę usługi w aplikacjach przetwarzających niezaufane wiadomości DNS. Problem naprawiono w wersji 2.9.0.

Wtyczka JetBackup dla WordPress w wersjach przed 3.1.24.10 zawiera podatność polegającą na zapisie dowolnych plików przez dowiązania symboliczne. Uwierzytelniony administrator WordPress może zapisać kontrolowaną przez atakującego treść pliku poza zamierzonym miejscem docelowym przywracania podczas importu i przywracania kopii zapasowej. Atakujący może przygotować archiwum kopii zapasowej zawierające dowiązanie symboliczne, które rozpakowanie podąża bez walidacji celów i bez wymuszania ograniczenia do katalogu docelowego, co może prowadzić do wykonania kodu po stronie serwera w zależności od zapisywalnego miejsca docelowego i konfiguracji serwera.

Next.js w wersjach od 13.0.0 do 15.5.28 oraz 16.4.1 zawiera podatność, w której spreparowane żądania skierowane do aplikacji App Router z co najmniej jedną Server Action mogą powodować nadmierne zużycie CPU i blokować przetwarzanie kolejnych żądań w tym samym procesie. Aplikacje korzystające z Pages Router oraz aplikacje App Router bez Server Actions nie są dotknięte. Problem naprawiono w wersjach 15.5.28 i 16.4.1.

W Webasyst Framework w wersji 4.0.3 i wcześniejszych występuje luka umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu. Wektorem ataku jest spreparowany adres URL autoryzacji OAuth z dowolnym parametrem redirect_uri.

Zbyt szczegółowe komunikaty błędów w funkcjonalności katalogu KNIME Business Hub przed wersją 1.18.5 mogą pozwolić uwierzytelnionemu zdalnemu atakującemu na zobaczenie nazw przepływów pracy, jeśli znane jest ich ID. Problem dotyczy wycieku informacji poprzez komunikaty błędów.

Wada w mechanizmie zapobiegania cross-site request forgery (CSRF) w KNIME Business Hub przed wersją 1.19.0 pozwala uwierzytelnionemu atakującemu na przeprowadzenie ataku CSRF przy pasywnej interakcji użytkownika. Stan zasobu może zostać zmieniony bez wiedzy użytkownika.

W lsquic w wersjach przed 4.9.0 implementacja HTTP/3 może zużywać nadmierną ilość pamięci, ponieważ liczba buforowanych zestawów nagłówków nie jest ograniczona, co pokazano na przykładzie ataku amplifikacji QPACK. Problem dotyczy pól header_out_dynamic_entry i es_max_header_list_size.

Problem nadmiernej alokacji zasobów w funkcjonalności zdalnej edycji przepływów pracy KNIME Business Hub przed wersją 1.19.0 pozwala uwierzytelnionemu atakującemu na wyczerpanie zasobów serwera. Prowadzi to do okresowej niedostępności funkcji wykonywania przepływów pracy.

W repozytoriach koszyka i listy życzeń szablonu MarcosCamara01 Ecommerce Template występuje obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639). Metody cartRepository.delete(), cartRepository.updateQuantityInternal() i wishlistRepository.delete() dopasowują wiersze wyłącznie po kluczu głównym, bez warunku właściciela, a autoryzacja opiera się na zabezpieczeniach wierszy PostgreSQL. Migracje włączają RLS i tworzą polityki, ale nie stosują FORCE ROW LEVEL SECURITY, a PostgreSQL nie stosuje polityk do roli będącej właścicielem tabeli; aplikacja łączy się jako właściciel, więc polityki jej nie dotyczą. Identyfikatory są sekwencyjne, więc można je wyliczyć, co pozwala dowolnemu uwierzytelnionemu użytkownikowi usuwać i modyfikować koszyki i listy życzeń innych użytkowników.

W przepływie koszyka i zamówienia szablonu MarcosCamara01 Ecommerce Template występuje zewnętrzna kontrola parametru uznawanego za niezmienny (CWE-472). Endpoint POST /api/user/cart przyjmuje variantId (co zapisuje zamówienie) i stripeId (co obciąża Stripe) jako niezależne pola, bez sprawdzenia, czy stripeId należy do variantId. POST /api/stripe/payment buduje pozycje Stripe Checkout z zapisanego stripeId, a webhook checkout.session.completed tworzy produkty zamówienia z variantId, więc zamówienie rejestruje produkt, za który nie zapłacono. Wszystkie stripeId są publicznie czytelne, więc nie trzeba nic zgadywać.

OpenTelemetry Python przed wersją 1.45.1 zawiera funkcję TraceState.from_header, która parsuje przychodzące nagłówki W3C tracestate za pomocą wyrażenia regularnego z nieograniczoną opcjonalną białą spacją. Złośliwy nagłówek z długim ciągiem spacji lub tabulatorów bez przecinka powoduje kwadratowe cofanie, prowadząc do nadmiernego zużycia CPU przy jednym nieuwierzytelnionym żądaniu.

W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.

W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje nieprawidłowa autoryzacja przy generowaniu tokenów Devolutions Gateway. Uwierzytelniony atakujący bez uprawnień administracyjnych może ominąć reguły dostępu sieciowego wirtualnego gatewaya i dotrzeć do zabronionych hostów poprzez dodatkowe miejsca docelowe z symbolami wieloznacznymi podpisane w tokenie gatewaya.

W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje niewystarczająca ochrona informacji wrażliwych w punkcie końcowym listy użytkowników. Uwierzytelniony atakujący z delegowanymi uprawnieniami do przeglądania użytkowników może uzyskać sekrety MFA wszystkich użytkowników poprzez odpowiedź API listy użytkowników.