Katalog podatności CVE

OpenFGA, silnik autoryzacji/permission engine, zawiera lukę w wywołaniach BatchCheck. W określonych warunkach, gdy wiele sprawdzeń dotyczy tego samego obiektu, relacji i użytkownika, może dojść do nieprawidłowego egzekwowania polityk. Luka występuje w wersjach od 1.8.0 do 1.13.1.

W itsourcecode sanitize or validate this input 1.0, plik /borrowedequip.php zawiera podatność na wstrzykiwanie SQL poprzez parametr emp_id. Atakujący może zdalnie manipulować tym parametrem, co prowadzi do nieautoryzowanego dostępu do bazy danych.

W urządzeniu Totolink A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji vsetTr069Cfg w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem stun_pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Biblioteka Discount, implementacja Markdown w C, zawiera błąd obcinania długości ze znakiem, powodujący odczyt poza zakresem. Dane wejściowe większe niż INT_MAX są obcinane do int ze znakiem przed parsowaniem, co pozwala na odczyt poza buforem i awarię procesu. Podatność dotyczy wersji od 1.3.1.1 do 2.2.7.3.

Podatność w Parse Server (wersje przed 8.6.73 i 9.7.1-alpha.4) polegająca na możliwości przesłania pliku z rozszerzeniem dozwolonym (np. .txt) ale z nagłówkiem Content-Type niezgodnym z rozszerzeniem (np. text/html). Niektóre adaptery pamięci masowej (S3, GCS) serwują plik z podanym Content-Type, co może prowadzić do ataków.

Biblioteka kryptograficzna SymCrypt firmy Microsoft zawiera błąd obcinania 64-bitowej wartości liczby liści do 32-bitowego parametru w funkcji SymCryptXmssSign. Dla parametrów XMSS^MT z wysokością drzewa >= 32 powoduje to obcięcie do zera, co prowadzi do przydzielenia zbyt małego bufora i przepełnienia sterty podczas obliczania podpisu. Podatność dotyczy wersji od 103.5.0 do 103.10.0.

dye przed wersją 1.1.1 pozwala na wykonanie dowolnego kodu przez specjalnie spreparowane wyrażenia szablonów. Podatność została odkryta i naprawiona przez autora.

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym konfiguracji skórki odtwarzacza (admin/playerUpdate.json.php), ponieważ nie waliduje tokenów CSRF. Tabela wtyczek jest wyraźnie wykluczona z kontroli bezpieczeństwa opartej na domenie ORM za pomocą ignoreTableSecurityCheck(), co usuwa jedyną inną warstwę obrony. W połączeniu z ciasteczkami SameSite=None, żądanie POST z innego pochodzenia może zmodyfikować wygląd odtwarzacza wideo na całej platformie.

WWBN AVideo to otwarta platforma wideo. W wersjach 26.0 i wcześniejszych, endpoint dostosowywania strony admin/customize_settings_nativeUpdate.json.php nie waliduje tokena CSRF i zapisuje przesłane pliki logo na dysk przed sprawdzeniem bezpieczeństwa ORM. W połączeniu z polityką SameSite=None, atakujący z innej domeny może nadpisać logo platformy.

WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie SocialMediaPublisher, gdzie endpoint publishInstagram.json.php działa jako nieuwierzytelnione proxy do Facebook/Instagram Graph API. Umożliwia to każdemu nieuwierzytelnionemu użytkownikowi wykonywanie dowolnych zapytań do Graph API przez serwer, potencjalnie z użyciem skradzionych tokenów lub nadużywając własnych poświadczeń platformy.

Podatność w funkcji onHeaderDecoded w LocalImageResolver.java prowadząca do trwałej odmowy usługi przez wyczerpanie zasobów. Lokalny atak nie wymaga dodatkowych uprawnień ani interakcji użytkownika.

W funkcji importWrappedKey w pliku KMKeymasterApplet.java występuje luka umożliwiająca dostęp do kluczy, które powinny być ograniczone, z powodu nieprawidłowej walidacji danych wejściowych. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania luki nie jest wymagana interakcja użytkownika.

W itsourcecode Construction Management System 1.0, plik /borrowed_tool.php zawiera podatność na wstrzykiwanie SQL poprzez parametr emp. Atakujący może zdalnie manipulować tym parametrem, co prowadzi do nieautoryzowanego dostępu do bazy danych.

System zarządzania studentami Cyber-III zawiera podatność na atak XSS w pliku /admin/class%20schedule/delete_batch.php. Manipulacja argumentem batch prowadzi do odbicia skryptu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W Vimie, wtyczka zip.vim przed wersją 9.2.0280 zawiera obejście zabezpieczenia przed podróżą po ścieżce, umożliwiające nadpisywanie dowolnych plików podczas otwierania specjalnie spreparowanych archiwów zip. Podatność ta obchodzi wcześniejszą poprawkę dla CVE-2025-53906.

Ajenti przed wersją 2.2.15 umożliwia uwierzytelnionemu użytkownikowi (korzystającemu z wtyczki auth_users) instalację niestandardowego pakietu, nawet jeśli nie jest on superużytkownikiem. Luka została naprawiona w wersji 2.2.15.

Chyrp Lite przed wersją 2026.01 ma podatność IDOR/Mass Assignment w modelu Post. Uwierzytelnieni użytkownicy z uprawnieniami do edycji postów mogą modyfikować posty innych użytkowników, przekazując wewnętrzne właściwości klasy, takie jak id, w ładunku post_attributes.

Podatność ujawniania informacji w AZIOT 1 Node Smart Switch (16A) z oprogramowaniem w wersji 1.1.9 wynika z nieprawidłowej kontroli dostępu do interfejsu debugowania UART. Atakujący z fizycznym dostępem może podłączyć się do interfejsu UART i uzyskać poufne informacje z konsoli szeregowej bez uwierzytelnienia.

W Feehi CMS v2.1.1 wykryto podatność na trwały atak XSS w module tworzenia/edycji treści. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Content, który zostanie wykonany w przeglądarkach innych użytkowników.

Podatność DoS w vLLM od wersji 0.1.0 do 0.19.0 pozwala nieuwierzytelnionemu atakującemu na zablokowanie pętli zdarzeń asyncio i wywołanie awarii Out-Of-Memory poprzez wysłanie pojedynczego żądania HTTP z bardzo dużą wartością parametru n w modelach ChatCompletionRequest i CompletionRequest.