Katalog podatności CVE

W oprogramowaniu Teledyne FLIR Aware2 w wersjach do 6.9.0.2 ruch w sieci 802.11 jest przesyłany bez szyfrowania, co pozwala sąsiadującym, nieuwierzytelnionym atakującym na przechwycenie, porwanie lub modyfikację ruchu sesji przeciwko robotom Teledyne FLIR PackBot działającym na tym oprogramowaniu.

W produkcie Johnson Controls EasyIO FS32 przed wersją 3.0b63 występuje podatność polegająca na użyciu twardo zakodowanych poświadczeń (Hard-coded Credentials). Umożliwia ona wykorzystanie domyślnych lub twardo zakodowanych poświadczeń do uzyskania dostępu.

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, Assembler materializuje właściwości obiektów przez zwykłe przypisanie, więc klucz wejściowy o nazwie __proto__ wywołuje dziedziczony setter i powoduje zastąpienie prototypu przetwarzanego obiektu zamiast utworzenia własnej właściwości danych. Aplikacje, które podejmują decyzje autoryzacyjne lub funkcjonalne na podstawie dziedziczonych wartości, mogą korzystać z właściwości kontrolowanych przez atakującego, a null prototype może zakłócić działanie kodu oczekującego metod Object.prototype. Badacz traktuje parsowanie niezaufanego JSON jako część kontraktu projektu, podczas gdy opiekun stwierdza, że udokumentowane wejścia to lokalnie posiadane zrzuty, eksporty lub logi i charakteryzuje wektor ataku jako lokalny. Globalny Object.prototype nie jest zanieczyszczony. Problem został naprawiony w wersji 3.6.0.

stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, parser JSONC w stream-json/jsonc/parser.js i weryfikator w stream-json/jsonc/verifier.js wznawiają skanowanie terminatora komentarza od otwierającego ukośnika, gdy komentarz blokowy lub liniowy obejmuje wiele fragmentów wejścia, zachowując jednocześnie zgromadzony bufor komentarza. Dostarczenie dużego prawidłowego komentarza w wielu małych fragmentach powoduje kwadratową złożoność obliczeniową i może zablokować pętlę zdarzeń Node.js. Opiekun charakteryzuje wektor ataku jako lokalny, ponieważ udokumentowane wejście JSONC jest lokalnie posiadaną lub kontrolowaną przez użytkownika konfiguracją, a nie danymi przeznaczonymi dla otwartego internetu. Zakres dotyczy tylko JSONC, nie obejmuje zwykłego parsera JSON, który przetwarza i odrzuca zużyte dane łańcuchowe i liczbowe. Problem został naprawiony w wersji 3.6.0.

W bibliotece Filament (komponenty full-stack dla Laravel) w wersjach od 4.0.0 do 4.13.3 oraz do 5.8.3 akcje zarządzania uwierzytelnianiem wieloskładnikowym (MFA) opartym na aplikacji nie wymagają konsekwentnie potwierdzenia aktualnego hasła. Atakujący z dostępem do sesji zalogowanego użytkownika może włączyć MFA aplikacyjne i uzyskać kody odzyskiwania lub wyłączyć MFA i wygenerować nowe kody odzyskiwania, podając istniejący kod aplikacji lub kod odzyskiwania, bez znajomości hasła konta. MFA oparte na e-mailu nie jest podatne, a luka sama w sobie nie pozwala na logowanie bez uwierzytelnienia, ale zmiana konfiguracji MFA aplikacji może zablokować dostęp prawowitemu użytkownikowi.

Kasa EC70 v4 i EC71 v4 nie wyłączają logicznie produkcyjnego interfejsu debugowania na poziomie firmware'u ani chipu oraz nie blokują bootloadera. Mimo że ścieżki debugowania są fizycznie przecięte podczas produkcji, atakujący z dostępem fizycznym może przywrócić połączenie, przerwać proces rozruchu i manipulować parametrami rozruchu, aby wejść na niestandardową ścieżkę inicjalizacji, która ujawnia nieuwierzytelniony shell roota podczas startu. Udana eksploatacja może pozwolić atakującemu z dostępem fizycznym na uzyskanie dostępu do poleceń na poziomie roota podczas rozruchu urządzenia, co skutkuje utratą poufności, integralności i dostępności. Wykorzystanie wymaga demontażu urządzenia, przywrócenia przeciętego połączenia debugowania i manipulacji procesem rozruchu.

Komponent jednej z aplikacji systemowych Motorola został wyeksportowany bez odpowiednich uprawnień, co umożliwia odebranie uprawnień runtime innym aplikacjom. Luka pozwala na nieautoryzowaną modyfikację uprawnień innych aplikacji.

RT-Labs AB C-Open CANopen zawiera obejście ochrony zapisu w implementacji serwera SDO (Service Data Object) w pliku 'src/co_sdo_server.c', które nieprawidłowo weryfikuje uprawnienia zapisu podczas przetwarzania ramek download-segment. Nieuwierzytelniony atakujący na magistrali CAN może zainicjować upload SDO dla wpisu Object Dictionary (OD) tylko do odczytu, co ustawia wskaźnik danych na obiekt tylko do odczytu, a następnie wysłać ramki download-segment, aby zapisać do tej lokalizacji pamięci. Handler download-segment nie sprawdza, czy sesja download jest aktywna, co pozwala dowolnemu węzłowi CANopen nadpisać wpisy OD tylko do odczytu za pomocą dwóch ramek SDO. Należy zauważyć, że protokół CANopen działa w oparciu o magistralę CAN i nie zapewnia wbudowanych mechanizmów uwierzytelniania. Naprawiono w wersji 1.1.1.

RT-Labs AB C-Open CANopen zawiera dereferencję wskaźnika NULL, jeśli protokół LSS jest używany do konfiguracji urządzenia. Obiekt zdefiniowany przez aplikację użytkownika może nie mieć wszystkich wymaganych podindeksów dla obiektu 0x1018. Nieuwierzytelniony, zdalny atakujący z dostępem do magistrali CAN, na przykład przez przejęty węzeł, może zainicjować protokół LSS na urządzeniu z błędnie skonfigurowanym obiektem tożsamości i potencjalnie spowodować awarię urządzenia. Naprawiono w wersji 1.1.1.

OpenRun to open-source'owa, samodzielnie hostowana platforma GitOps do wdrażania aplikacji webowych i narzędzi wewnętrznych w Dockerze lub Kubernetesie. W wersjach przed 0.17.7 ograniczenia dotyczące adresów URL przekierowań w OpenRun mogą być obejściem przez atakujących, co prowadzi do ataków open redirect. Problem został naprawiony w wersji 0.17.7.

NetBox Device Type Library to zbiór definicji typów urządzeń tworzonych przez społeczność do importu do NetBox. Przed commitem f41fc1e workflow CI .github/workflows/validation.yml uruchamia się na pull_request i wykonuje kod dostarczony w pull request przed jakąkolwiek weryfikacją przez opiekuna. Trzy pliki edytowalne przez PR napędzają ten proces: 'requirements.txt', '.pre-commit-hooks-config.yaml' / '.pre-commit-yamlfmt-config.yaml' oraz '.gitmodules'. Współtwórca bez specjalnego dostępu do repozytorium może otworzyć pull request, który modyfikuje te pliki i spowodować uruchomienie swojego kodu na runnerze CI. Problem został naprawiony w commicie f41fc1e.

Aplikacja Joyland AI domyślnie akceptuje nieprawidłowe certyfikaty SSL w niewidocznym WebView reklamowym. Może to pozwolić na ataki man-in-the-middle i przechwycenie danych przesyłanych w tym WebView.

Aplikacja Joyland AI wyraźnie zezwala na ruch HTTP w postaci czystego tekstu w systemie Android 9+, gdzie domyślnie jest on blokowany. Może to prowadzić do przechwycenia danych przesyłanych bez szyfrowania.

Aplikacja Joyland AI nie weryfikuje nazw hostów, co pozwala złośliwemu hostowi na połączenie się lub przechwycenie wiadomości czatu. Może to prowadzić do ataków man-in-the-middle i kradzieży danych.

Aplikacja Joyland AI akceptuje dowolne certyfikaty TLS z dowolnego serwera bez ich weryfikacji. Oznacza to, że połączenia sieciowe nie są bezpieczne i mogą być podsłuchiwane lub modyfikowane przez atakującego.

Aplikacja Joyland AI zawiera zakodowane na stałe poświadczenia do usługi powiadomień push GeTui, co pozwala atakującemu na dostęp do API GeTui i wysyłanie powiadomień push z dowolną treścią do dowolnego użytkownika, grupy użytkowników lub wszystkich użytkowników aplikacji jednocześnie.

Wdrożenie Wormhole.app przed 2026-08-22 ma nieprawidłową konfigurację serwera TURN coturn i nie ogranicza właściwie peerów TCP relay, co pozwala nieuwierzytelnionemu atakującemu na dostęp do metadanych instancji lub na nawiązywanie połączeń TCP z adresu IP relay Wormhole.

Podatność w Johnson Controls Easy IO FG przed wersją 2.0b52 dotyczy niewłaściwego zarządzania uprawnieniami, co umożliwia atak brute force. Oznacza to, że atakujący może wielokrotnie próbować odgadnąć hasła lub inne poświadczenia.

Podgrab zawiera podatność braku uwierzytelnienia, w której trasa WebSocket /ws jest zarejestrowana w głównym silniku gin zamiast w grupie routerów chronionej BasicAuth, co pozwala nieuwierzytelnionym klientom sieciowym na połączenie nawet przy skonfigurowanym haśle. Atakujący mogą dołączyć do zestawu allConnections, przechwycić transmisje PlayerExists zawierające identyfikatory graczy dostarczane przez klientów i odtworzyć je w wiadomości RegisterPlayer, aby przejąć kolejki payloadów przeznaczonych dla uwierzytelnionych użytkowników, ujawniając identyfikatory odcinków, tytuły i ścieżki plików po stronie serwera, a także potencjalnie zakłócając legalne odtwarzanie.

Kamery Tapo C120 v1 i C200 V5 zawierają podatność w funkcji skanowania HTTPS onboarding z powodu braku uwierzytelnienia. Po wstępnej konfiguracji nieuwierzytelniony atakujący w tej samej sieci lokalnej może wywołać akcję skanowania i pobrać metadane pobliskich punktów dostępowych, w tym SSID, BSSID, tryby uwierzytelniania i szyfrowania oraz informacje o sile sygnału.