Katalog podatności CVE

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej, punkt końcowy `cloneServer.json.php` w wtyczce CloneSite buduje polecenia powłoki z użyciem danych wejściowych kontrolowanych przez użytkownika (`url`), co prowadzi do możliwości wstrzyknięcia poleceń.

AVideo to otwartoźródłowa platforma wideo. W wersjach do 29.0 wprowadzono niekompletną poprawkę w pliku `test.php`, która dodaje `escapeshellarg` dla wget, ale pozostawia nieoczyszczone ścieżki kodu dla `file_get_contents` i `curl`, co pozwala na akceptację złośliwych adresów URL.

OAuth2 Proxy w wersjach 7.5.0 do 7.15.1 może ufać nagłówkowi `X-Forwarded-Uri` dostarczonemu przez klienta, gdy włączona jest opcja `--reverse-proxy` i skonfigurowane są reguły `--skip-auth-regex` lub `--skip-auth-route`. Atakujący może sfałszować ten nagłówek, aby ominąć uwierzytelnianie i uzyskać dostęp do chronionych ścieżek bez ważnej sesji.

Podatność związana z niewłaściwą autoryzacją w tokenach użytkownika do serwera (ghu_) w GitHub Enterprise Server pozwala uwierzytelnionemu atakującemu na dostęp do prywatnych repozytoriów poza zamierzonym zakresem instalacji. Może to obejmować operacje zapisu, dzięki błędnemu traktowaniu usuniętej instalacji jako kontekstu globalnego.

W Oxia przed wersją 0.16.2, dostawca uwierzytelniania OIDC ustawia SkipClientIDCheck na true, co wyłącza walidację roszczenia aud. Pozwala to na akceptację tokenów wydanych dla innych usług przez tego samego dostawcę OIDC.

Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów dużych modeli językowych. Przed wersją 3.1.0, z powodu niebezpiecznej serializacji poleceń stdio w adapterze MCP, uwierzytelniony atakujący może dodać serwer MCP stdio z dowolnym poleceniem, co prowadzi do wykonania polecenia.

AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i wcześniejszych, serwer WebSocket wtyczki YPTSocket przesyła wiadomości JSON dostarczone przez atakującego do każdego podłączonego klienta bez sanitizacji pól `msg` lub `callback`. To umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście wszystkich aktualnie połączonych użytkowników.

Podatność w ElectricSQL /v1/shape API pozwala na wstrzyknięcie SQL przez parametr order_by. Uwierzytelniony użytkownik może odczytać, modyfikować i usuwać dane w bazie PostgreSQL.

W PJSIP w wersji 2.16 i wcześniejszych występuje przepełnienie bufora stosu w funkcji pjsip_auth_create_digest2() podczas używania wstępnie obliczonych poświadczeń typu digest. Funkcja kopiuje dane poświadczeń bez sprawdzenia górnej granicy długości, co może prowadzić do przepełnienia bufora ha1 o stałej wielkości (128 bajtów).

Podatność w produkcie Oracle Identity Manager Connector w Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0. Umożliwia ona nieautoryzowanemu atakującemu z dostępem do sieci przez HTTPS kompromitację Oracle Identity Manager Connector, co może prowadzić do nieautoryzowanego tworzenia, usuwania lub modyfikacji danych.

Podatność w produkcie Oracle Identity Manager Connector w Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0. Łatwo eksploatowalna podatność pozwala nieautoryzowanemu atakującemu z dostępem do sieci przez HTTPS na kompromitację Oracle Identity Manager Connector.

Podatność w produkcie Oracle Identity Manager Connector w Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0. Łatwo eksploatowalna podatność pozwala nieautoryzowanemu atakującemu z dostępem do sieci przez HTTPS na kompromitację Oracle Identity Manager Connector.

Podatność w produkcie Oracle Enterprise Manager Base Platform, dotycząca zarządzania zdarzeniami, dotyczy wersji 13.5 i 24.1. Łatwo eksploatowalna podatność pozwala atakującemu z wysokimi uprawnieniami i dostępem do sieci przez HTTP na przejęcie Oracle Enterprise Manager Base Platform.

Podatność w produkcie Oracle Advanced Inbound Telephony w ramach Oracle E-Business Suite, dotycząca wersji 12.2.3-12.2.15. Umożliwia łatwe wykorzystanie przez nieautoryzowanego atakującego z dostępem do sieci przez HTTP, co może prowadzić do przejęcia Oracle Advanced Inbound Telephony.

W Esri Portal for ArcGIS w wersjach 11.4, 11.5 i 12.0 na systemach Windows, Linux oraz Kubernetes występuje luka związana z nieprawidłową autoryzacją, która nie sprawdza poprawnie uprawnień przypisanych do poświadczeń dewelopera.

W Esri Portal for ArcGIS 11.5 na systemy Windows i Linux występuje podatność związana z nieprawidłowym przypisaniem uprawnień, która pozwala użytkownikom z wysokimi uprawnieniami na tworzenie poświadczeń dewelopera, co może skutkować przyznaniem większych uprawnień niż oczekiwano.

goshs to prosty serwer HTTP napisany w Go, który przed wersją 2.0.0-beta.6 miał podatność ArtiPACKED. Ta podatność może prowadzić do wycieku GITHUB_TOKEN przez artefakty workflow, mimo że token nie jest obecny w kodzie źródłowym repozytorium.

Vendure zawiera nieuwierzytelnioną podatność SQL injection w Shop API, gdzie parametr zapytania jest wstawiany bezpośrednio do surowego wyrażenia SQL bez parametryzacji. Dotyczy to wszystkich obsługiwanych baz danych (PostgreSQL, MySQL/MariaDB, SQLite), a Admin API również jest podatne, choć wymaga uwierzytelnienia. Podatność naprawiono w wersjach 2.3.4, 3.5.7 i 3.6.2, a dla osób niemogących natychmiast zaktualizować udostępniono hotfix walidujący languageCode.

goshs to prosty serwer HTTP napisany w Go. W wersjach przed 2.0.0-beta.6 występuje luka w autoryzacji SFTP, gdy używana jest dokumentowana składnia podstawowej autoryzacji z pustą nazwą użytkownika. Serwer uruchomiony z opcjami -b ':pass' oraz -sftp akceptuje tę konfigurację, ale nie instaluje żadnego handlera haseł SFTP.

W mailcow: dockerized przed wersją 2026-03b, logi Autodiscover w panelu administracyjnym renderują wartość EMailAddress bez escapowania HTML. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie Autodiscover z kodem HTML/JS, który zostanie wykonany podczas przeglądania logów przez administratora.