Katalog podatności CVE

Ghost (pakiet npm 'ghost') w wersjach od 3.23.0 do przed 6.23.0 udostępnia klucze API użytkownikom z kontami pracowniczymi o niskich uprawnieniach. Uwierzytelniony pracownik z niskimi uprawnieniami może odczytać klucze API zwracane przez Admin API, które są przeznaczone tylko dla użytkowników z wyższymi uprawnieniami.

Ghost w wersjach od 0.8.0 do przed 6.23.0 zawiera podatność ujawniania informacji w punkcie końcowym konfiguracji: punkt końcowy odpowiada na nieuwierzytelnione żądania adresem e-mail właściciela witryny, co pozwala każdemu zdalnemu odwiedzającemu na jego uzyskanie.

Ghost w wersjach od 3.10.0 do 6.34.0 nie unieważnia w pełni wszystkich sesji po zmianie hasła. Atakujący z wykradzionym ciasteczkiem sesji może zachować dostęp do konta użytkownika nawet po zmianie hasła przez tego użytkownika.

Ghost przed wersją 6.20.0 zawiera podatność na obejście filtrowania rozszerzeń plików, która umożliwia nieuwierzytelnionym atakującym odczyt szablonów motywów i metadanych. Atakujący mogą użyć kodowania URL, aby obejść walidację rozszerzeń i uzyskać dostęp do wrażliwych plików motywów.

Ghost od wersji 5.42.2 do 6.58.0 zawiera podatność na ujawnienie informacji w punktach końcowych Admin API do zbiorczego edytowania i usuwania postów oraz stron, które akceptują filtry na ograniczonych polach, takich jak authors.password, z powodu niekompletnej poprawki dla CVE-2026-70590. Atakujący na poziomie personelu mogą wywnioskować hashe haseł innych użytkowników personelu na podstawie dopasowań filtrów i przeprowadzać ataki offline na hasła.

Ghost w wersjach od 5.3.0 do 6.58.0 nie egzekwuje prawidłowo kontroli dostępu do komentarzy w trybie prywatnym. Nieuwierzytelnieni odwiedzający mogą czytać komentarze, które powinny być ograniczone, omijając ustawienia prywatności.

Ghost w wersjach od 4.3.0 do 6.58.0 zawiera podatność na obejście uwierzytelniania, gdzie użytkownicy personelu o niższych uprawnieniach mogą używać tokenów personelu do obejścia ograniczeń edycji postów. Atakujący z danymi uwierzytelniającymi personelu mogą wykorzystać tokeny do edycji postów ponad przypisany im poziom uprawnień.

Ghost w wersjach od 5.3.0 do 6.62.0 zawiera podatność na brak autoryzacji, która umożliwia uwierzytelnionemu członkowi witryny odczyt fragmentów postów, do których nie ma dostępu (treści zablokowane).

Ghost przed wersją 6.62.0 zawiera podatność na obejście uwierzytelniania w akceptacji zaproszeń dla personelu, która umożliwia użytkownikom podanie dowolnego adresu e-mail podczas tworzenia konta. Atakujący mogą zaakceptować wyciekłe tokeny zaproszeń z adresami e-mail kontrolowanymi przez atakującego, lub prawowici odbiorcy mogą zarejestrować się z nieprzewidzianymi dostawcami e-mail.

Fleet przed wersją 4.89.0 nie filtruje prawidłowo wyników poleceń MDM według autoryzacji zespołu w punkcie końcowym commands/results. Użytkownicy z ograniczeniami zespołu mogą czytać wyniki poleceń MDM dla hostów w innych zespołach, gdy wspólny identyfikator UUID polecenia dotyczy hostów w wielu zespołach, ujawniając identyfikatory UUID hostów, ładunki poleceń i odpowiedzi urządzeń.

Tornado przed wersją 6.5.9 zawiera podatność na traversal ścieżek w StaticFileHandler, która podąża za dowiązaniami symbolicznymi wewnątrz katalogu statycznego bez potwierdzenia, że rozwiązany cel pozostaje w jego obrębie. Gdy wewnątrz katalogu statycznego istnieje dowiązanie symboliczne wskazujące poza katalog statyczny, nieuwierzytelnieni atakujący mogą je wykorzystać do odczytu plików takich jak pliki konfiguracyjne, klucze prywatne i sekrety aplikacji dostępne dla procesu użytkownika.

Tornado przed wersją 6.5.9 nie ogranicza liczby pól ciągu zapytania w HTTPServerRequest.__init__, co umożliwia zdalnym atakującym spowodowanie zablokowania pętli zdarzeń poprzez wysyłanie żądań z tysiącami parametrów zapytania. Atakujący mogą wysyłać nieuwierzytelnione żądania GET z nieograniczoną liczbą pól ciągu zapytania, aby pogorszyć czasy odpowiedzi dla wszystkich klientów korzystających z tego samego IOLoop.

Wersje n8n przed 2.39.6 oraz 2.40.0 przed 2.40.1 zawierają podatność polegającą na obejściu procesu zatwierdzania w węźle Send and Wait w trybie Approve Within Chat. Atakujący mogą wysyłać żądania wznowienia bez weryfikacji tożsamości lub uprawnień do zatwierdzania, co pozwala nieuwierzytelnionym użytkownikom na kontynuowanie oczekujących egzekucji i wyzwalanie chronionych akcji.

Wersje n8n przed 2.39.6 oraz 2.40.0 przed 2.40.1 zawierają podatność polegającą na niepoprawnym interpolowaniu parametrów w węzłach SendGrid, Freshservice i ServiceNow, co pozwala atakującym na ominięcie filtrów przez wyrwanie się z literałów zapytań. Atakujący mogą wykorzystać to, wiążąc podatne parametry węzłów z niezaufanymi danymi zewnętrznymi, aby rozszerzyć pojedyncze wyszukiwania na zapytania dopasowujące wszystko, ujawniając duże ilości danych, w tym listy kontaktów, zgłoszenia i wpisy katalogowe.

Wersje n8n przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 zawierają podatność typu path traversal w generowaniu podpisanych URL-i wznowienia dla zatwierdzeń Send-and-Wait. Atakujący z uprawnieniami do tworzenia workflow mogą tworzyć prawidłowe URL-e zatwierdzeń dla bramek w projektach, do których nie mają dostępu, wykorzystując nierozwiązane sekwencje traversal w kontrolowanych przez wywołującego identyfikatorach węzłów, co umożliwia fałszowanie zatwierdzeń między projektami.

Wersje n8n przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 nie weryfikują poprawnie podpisu HMAC x-webflow-signature w webhooku węzła Webflow Trigger. Nieuwierzytelnieni atakujący mogą wysyłać sfałszowane żądania webhook z kontrolowanymi danymi, aby wyzwalać workflow i manipulować akcjami downstream, takimi jak tworzenie rekordów czy wywołania API.

Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPress do wersji 6.4.5 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'marker' bloku Google Map. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wartości tytułu/treści markera, które są przechowywane jako JSON, a następnie dekodowane i konkatenowane bezpośrednio do surowego HTML przez frontendowy skrypt budujący InfoWindow. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

W oauth-proxy stwierdzono błąd polegający na nieprawidłowej walidacji parametru przekierowania docelowego (`rd`) podczas przekierowania po zalogowaniu. Zdalny atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia specjalnie spreparowanego linku, co skutkuje przekierowaniem użytkownika na dowolną zewnętrzną stronę po uwierzytelnieniu. To otwarte przekierowanie może być wykorzystane do ataków phishingowych lub kradzieży poświadczeń.

CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.

CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.