Katalog podatności CVE

Uwierzytelniony administrator może obejść walidację treści stosowaną przy przesyłaniu plików administracyjnych i zapisać na urządzeniu plik zawierający niebezpieczną treść. Sama ta podatność nie prowadzi do wykonania kodu — do uruchomienia zapisanego pliku potrzebna jest osobna luka.

W środowiskach wielowęzłowych atakujący, który uzyskał już wykonanie kodu na jednym węźle urządzenia, może przesłać przez wewnętrzny interfejs klastra wartość zapisywaną do konfiguracji monitoringu na innym węźle bez wystarczającej walidacji, co potencjalnie pozwala na wykonanie poleceń systemowych na tym węźle. Wykonanie ograniczone jest do nieuprzywilejowanego konta usługi na tym węźle.

W klastrze Kiteworks Email Protection Gateway z włączoną replikacją bazy danych strona zaufana przez klaster może przesłać spreparowany obiekt serializowany, który jest deserializowany bez wystarczającej walidacji, co potencjalnie pozwala na wykonanie kodu jako konto usługi bramy. Replikacja jest domyślnie wyłączona, a wykorzystanie wymaga kontroli zaufanego węzła klastra lub dostępu administracyjnego do urządzenia.

Kiteworks Core nie stosował mechanizmów bezpieczeństwa API na poziomie bramy do każdego żądania uwierzytelnionego przez centralną usługę uwierzytelniania platformy. Uwierzytelniony użytkownik mógł uzyskać dostęp do funkcji REST API ścieżką żądania, na której te mechanizmy — w tym egzekwowanie wylogowanych i unieważnionych sesji — nie były stosowane.

Opcjonalna, licencjonowana osobno funkcja łącznika repozytorium w Kiteworks Core nie neutralizowała znaków specjalnych w ścieżce podanej przez użytkownika przed przekazaniem jej do zewnętrznego polecenia. Uwierzytelniony administrator systemu mógł wstrzyknąć dodatkowe polecenia i zapisać dowolną treść w plikach należących do konta usługi uruchamiającego łącznik, co umożliwia wykonanie kodu w kontekście tego konta; wykorzystanie wymaga dodatkowo wyjścia sieciowego z urządzenia do systemu kontrolowanego przez atakującego.

Interfejs konfiguracji urządzenia Kiteworks nie wymuszał uwierzytelniania po zakończeniu wstępnej konfiguracji urządzenia. Nieuwierzytelniony atakujący z dostępem sieciowym do urządzenia mógł odczytać i zmodyfikować ograniczony zestaw rekordów konfiguracyjnych, w tym nazwę kontaktu i adres e-mail zapisane podczas wstępnej konfiguracji.

Kiteworks nie egzekwował poprawnie, jakie role menedżer folderu współdzielonego może przypisywać. W domyślnej konfiguracji uwierzytelniony użytkownik z rolą Menedżera folderu mógł nadać rolę Właściciela sobie lub innym członkom tego folderu.

Kiteworks nie egzekwował maksymalnej dozwolonej wartości dla konfigurowalnego ustawienia zasad bezpieczeństwa. Uwierzytelniony administrator mógł ustawić tę wartość poza zamierzonym zakresem, przez co powiązana kontrola nigdy się nie aktywowała, mimo że w interfejsie administracyjnym i dzienniku audytu nadal wyglądała na włączoną, co pozwalało na ciche unieszkodliwienie mechanizmu ochronnego.

Endpoint używany podczas początkowej konfiguracji urządzenia nie wymagał uwierzytelnienia i nie egzekwował poprawnie warunku stanu, więc w oknie początkowej aktywacji nieuwierzytelniony atakujący z sieci mógł wielokrotnie wywoływać uprzywilejowany proces aktywacji. To mogło zakłócić konfigurację i pozostawić urządzenie w niekompletnie skonfigurowanym stanie. Problem jest osiągalny tylko podczas pierwszej aktywacji urządzenia, gdy nie jest jeszcze w pełni skonfigurowane.

Kiteworks Core zawiera błąd logiki biznesowej w funkcji żądania plików, który pozwalał uwierzytelnionemu użytkownikowi wysłać żądanie wyglądające na pochodzące od innego użytkownika, ponieważ serwer nie weryfikował, czy osoba żądająca jest upoważniona do działania w imieniu wskazanego konta. Można to wykorzystać do wyłudzenia plików lub informacji od odbiorcy pod zaufaną tożsamością; wykorzystanie wymaga włączenia tej funkcji w profilu atakującego i reakcji odbiorcy na żądanie.

Kiteworks Core przed wersją 9.5.1 jest podatny na wstrzykiwanie treści. Parametr URL w przeglądarce PDF był niewystarczająco walidowany, co pozwalało na załadowanie i wyświetlenie dokumentu kontrolowanego przez atakującego w zaufanej domenie aplikacji. To mogło zwiększyć wiarygodność ataków phishingowych opartych na złośliwych linkach osadzonych w wyświetlanej treści.

Nieprawidłowo przechowywane hasła w pliku konfiguracyjnym w Itron MV-90 xi 3.0 pozwalają atakującym na zdekodowanie haseł i historii haseł w celu uzyskania dostępu do aplikacji MV-90 jako dowolny użytkownik.

Słabość została zidentyfikowana w garycourt uri-js do wersji 4.4.1. Dotyczy funkcji URI.parse w pliku src/schemes/mailto.ts komponentu Mailto Header Handler. Manipulacja argumentem powoduje nieprzechwycony wyjątek. Atak może być inicjowany zdalnie. Exploit został udostępniony publicznie i może być używany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.

Mako to biblioteka szablonów napisana w Pythonie. Przed wersją 1.4.2, na Windows, TemplateLookup.get_template() w mako/lookup.py rozwiązuje URI szablonów za pomocą posixpath, podczas gdy Template.__init__() w mako/template.py waliduje je za pomocą os.path, który używa ntpath. URI zaczynający się od oznaczenia dysku powoduje, że ntpath pochłania segmenty przejścia przed sprawdzeniem wiodących kropek, podczas gdy rozwiązanie posixpath może uciec poza skonfigurowany katalog szablonów. Aplikacja, która przekazuje nazwy szablonów lub ścieżki include kontrolowane przez atakującego, może ujawnić pliki odczytywalne przez proces na tym samym woluminie, a ukierunkowany plik zawierający składnię szablonu Mako może być również sparsowany i wykonany jako szablon. Surowe ścieżki URL są zwykle normalizowane przed osiągnięciem tej formy, ale stringi zapytań, ciała formularzy lub JSON, parametry tras i dynamiczne wyrażenia include mogą ją zachować. Problem został naprawiony w wersji 1.4.2.

OpenClaw Windows Node do wersji 2026.9.4 zawiera podatność na server-side request forgery w funkcji canvas.present, która omija ocenę ryzyka URL egzekwowaną przez canvas.navigate. Atakujący z dostępem do bramy lub agenta mogą wywołać canvas.present, aby WebView węzła wysyłał żądania do localhost, prywatnych sieci lub usług tailnet z maszyny użytkownika.

OpenClaw Windows Node przed wersją 2026.7.1 zawiera podatność na alokację zasobów bez limitów w transporcie WebSocket bramy, która pozwala podłączonym bramom na wyczerpanie pamięci węzła. Atakujący mogą wysyłać niekończącą się sekwencję ramek kontynuacji WebSocket bez EndOfMessage, co powoduje nieograniczony wzrost pamięci aż do awarii procesu węzła.

OpenClaw Windows Node przed wersją 2026.7.1-3 zawiera podatność braku autoryzacji w handlerach przechwytywania NodeService. Połączone bramy lub agenci mogą wykonywać zrzuty ekranu, zdjęcia z kamery i przechwytywanie lokalizacji bez pytania użytkownika o zgodę.

Wtyczka JetEngine firmy Jetimpex Inc. (Crocoblock) zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od n/a do 3.8.15.3.

Atakujący może wywołać przepełnienie bufora sterty (heap buffer overflow), nakłaniając użytkownika do otwarcia wiadomości e-mail o rozmiarze 2 GB lub większym. Podatność została naprawiona w Thunderbird 157, Thunderbird 140.17 i Thunderbird 153.4.

yii2-starter-kit do wersji 4.2.0 nie weryfikuje statusu publikacji artykułu w punkcie końcowym pobierania załączników, co pozwala nieuwierzytelnionym atakującym pobierać pliki z wersji roboczych artykułów. Atakujący mogą enumerować sekwencyjne identyfikatory załączników, aby uzyskać dostęp do plików z niepublikowanych artykułów bez uwierzytelnienia i autoryzacji.