Katalog podatności CVE

MikroTik RouterOS do wersji 7.24.5 zawiera lukę umożliwiającą odtwarzanie tokenów sesji w interfejsie WebFig, co pozwala atakującym ominąć uwierzytelnianie przez ponowne użycie przechwyconych tokenów w nowych sesjach ECDH. Funkcja makeSessionKey w libucrypto.so generuje tokeny z użyciem stałych soli bez danych specyficznych dla kanału lub sesji, a usługa użytkownika waliduje tokeny bez weryfikacji kontekstu kanału, co umożliwia skradzionym tokenom trwały dostęp administracyjny do momentu jawnego wyczyszczenia magazynu tokenów.

LocalAI w wersjach od 4.6.0 do 4.11.0 zawiera podatność typu server-side request forgery w pliku core/gallery/gallery.go, gdzie walidowany jest tylko początkowy URL konfiguracji galerii. Atakujący może przesłać URL konfiguracji przez POST /models/apply, który przekierowuje do adresów wewnętrznych lub metadanych chmury, a odpowiedzi z tych adresów są zwracane jako zawartość galerii.

gin-vue-admin do wersji 2.9.2 zawiera podatność path traversal, która pozwala uwierzytelnionym administratorom na rekurencyjne usuwanie dowolnych katalogów poprzez podanie sekwencji przejścia w parametrze pluginName. Atakujący może wysłać spreparowane żądanie POST do /autoCode/removePlugin z sekwencjami '../', powodując usunięcie przez os.RemoveAll dowolnego katalogu z prawem zapisu dla procesu serwera.

pdfmake w wersji 0.3.8 przed 0.3.12 nie stosuje ograniczenia setLocalAccessPolicy() do obrazów osadzonych w zawartości SVG, co pozwala atakującemu odczytać zablokowane pliki lokalne. Atakujący dostarczający definicję dokumentu może dodać href obrazu SVG wskazujący na ścieżkę lokalną i osadzić zawartość zastrzeżonego pliku w wygenerowanym PDF.

W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku returned_book_search.php (komponent formularza wyszukiwania) nie zabezpiecza argumentów datefrom/dateto, co umożliwia wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystany do ataków.

W ProjectWorlds Advanced Library Management System 1.0 w pliku edit_member.php manipulacja argumentami firstname/middlename/lastname/address/branch/type prowadzi do wstrzyknięcia SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

W ProjectWorlds Advanced Library Management System 1.0 funkcja mysqli_query w pliku individual_report_search.php jest podatna na SQL injection poprzez manipulację argumentem roll_number. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W systemie file-management-system (commit dc9ce1bf27f94b23d906cb1e86ce374dc94ca5df) funkcja store w pliku app/Http/Controllers/FileController.php pozwala na nieograniczone przesyłanie plików poprzez manipulację argumentem File. Podatność została publicznie ujawniona i może być wykorzystana zdalnie.

Wtyczka eRoom (eroom-zoom-meetings-webinar) firmy DigitalME ma brakującą autoryzację, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.7.1 włącznie.

Framework Nuxt w wersjach od 3.13.0 do 4.6.2 zawiera podatność polegającą na tym, że renderer server-island serializuje surowe dane wejściowe useHeadSafe bez zachowania znacznika bezpiecznego wejścia, a NuxtIsland wstawia je do nagłówka strony jako zwykły wpis. Aplikacja przekazująca dane kontrolowane przez atakującego do useHeadSafe w komponencie .server.vue lub renderowanym przez NuxtIsland może wyświetlić wartości normalnie usuwane przez listę dozwolonych, w tym atrybuty obsługi zdarzeń lub wykonywalną treść skryptu, co prowadzi do przechowywanego XSS w domenie aplikacji. Problem naprawiono w wersji 4.6.2.

W Nuxt przed wersją 4.6.2 strony są domyślnie rozwiązywane bez rozróżniania wielkości liter, podczas gdy Nitro dopasowuje klucze reguł tras po stronie serwera z rozróżnianiem wielkości liter. Żądanie różniące się tylko wielkością liter może zostać wyrenderowane bez zamierzonej reguły serwera, pomijając przekierowania, nagłówki, proxy, ssr: false i noScripts. Aplikacje ustawiające router.options.sensitive: true w nuxt.config nie są dotknięte.

Nuxt, framework do tworzenia aplikacji Vue.js, w wersjach od 3.11.0 do 3.21.4 i 4.4.4 porównuje klucze reguł tras z surową ścieżką żądania, podczas gdy rozwiązywanie tras dekoduje parametry dynamiczne i catch-all. Pozwala to segmentowi zakodowanemu procentowo na rozwiązanie do chronionej strony bez dopasowania wpisu routeRules przeznaczonego dla tej ścieżki, w wyniku czego appMiddleware może zostać pominięty podczas renderowania po stronie serwera, a nieuwierzytelniony żądający może otrzymać chronioną stronę i jej dane SSR.

W frameworku Nuxt przed wersją 4.6.0 niekompletna poprawka CVE-2026-53722 pozwala aplikacji z wyłączonymi stronami renderować URL zdolny do wykonania skryptu przez NuxtLink, gdy dane kontrolowane przez atakującego przekazane do atrybutu to są poprzedzone znakiem kontrolnym ASCII C0. Router bez stron klasyfikuje wartość jako trasę wewnętrzną przed wcześniejszym sprawdzeniem protokołu i przekazuje ją do href; przeglądarki usuwają wiodący znak kontrolny i interpretują pozostały URL javascript:. Problem naprawiono w wersji 4.6.0.

W bibliotece stream-json od wersji 2.0.0 do 3.7.0 komponent FlexAssembler przy każdej operacji na kontenerze łączy pełny stos kluczy, co przy głęboko zagnieżdżonym dokumencie powoduje kwadratowe zużycie CPU. Problem występuje przed decyzją o dopasowaniu reguły, więc atakujący nie musi znać schematu; dotyczy to konsumentów używających filtrów ścieżek (string lub regex).

Astro to framework webowy dla stron opartych na treści. Przed wersją 7.3.2 pipeline renderowania JSX i MDX traktuje tekstowe dzieci elementów script i style jako zaufany HTML, nie odróżniając treści generowanej przez kompilator od dynamicznych wartości wyrażeń, co pozwala na wstrzyknięcie dowolnego HTML i JavaScript. Problem jest ograniczony do dzieci script i style renderowanych przez astro:jsx, w tym komponentów MDX, i może prowadzić do reflected lub stored XSS w obrębie domeny aplikacji.

W frameworku Astro od wersji 7.1.0 do 7.3.3 generator CSS View Transition po stronie serwera nie utrzymuje właściwości animacji tekstowych w wygenerowanych deklaracjach. Aplikacja przekazująca dane kontrolowane przez atakującego do właściwości takich jak duration, delay, easing, direction, fillMode lub nazwy animacji może pozwolić separatorom CSS zakończyć deklarację i dodać reguły wybrane przez atakującego do renderowanej strony. Wstrzyknięty CSS może ukrywać lub przemieszczać treść, dodawać wygenerowany tekst i fałszować interfejs. Problem naprawiono w wersji 7.3.3.

Storybook w wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 pozwala serwerowi deweloperskiemu na ujawnienie tokenu uwierzytelniania WebSocket klientom mogącym załadować jego strony HTML w sieci lokalnej. Atakujący z sieci LAN może uzyskać token i wywołać funkcje zapisu plików lub testowania przez WebSocket. Słaba walidacja zapisu opowieści może pozwolić na umieszczenie kodu w plikach story, a w połączeniu z dodatkiem Vitest może prowadzić do wykonania kodu z uprawnieniami dewelopera.

Storybook to frontendowe narzędzie do budowania komponentów UI w izolacji. W wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 złośliwa strona może wchodzić w interakcję z podglądem działającego serwera deweloperskiego Storybook z powodu niewystarczających ograniczeń osadzania iframe i pochodzenia wiadomości. Deweloper musi odwiedzić złośliwą stronę i wejść w interakcję z wstrzykniętym interfejsem.

W Electronie przed wersjami 42.11.6, 43.7.3, 44.4.3 i 45.0.0-alpha.9 dane ramek otrzymywane z procesu GPU przy renderowaniu offscreen na macOS nie były w pełni walidowane przez proces główny. Atakujący z kodem wykonawczym w procesie GPU mógł dostarczyć niespójną geometrię ramki i spowodować odczyt poza granicami pamięci w procesie głównym, ujawniając pamięć lub powodując awarię aplikacji.

H5P do wersji 1.17.9 zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.