Katalog podatności CVE

Brak autoryzacji w funkcji imageDownload w Canonical LXD przed wersjami 5.0.10, 5.21.8 i 6.10 na Linuksie pozwala klientowi z ograniczeniami projektowymi na dostęp do prywatnych obrazów z innych projektów poprzez ponowne użycie lokalnego odcisku palca podczas importu obrazów lub instancji.

Podatność typu Path Traversal w funkcji eksportu i kopiowania obrazów w kliencie CLI LXD od wersji 4.0.2 przed 4.0.14, 5.0.10, 5.21.8 i 6.10 na wszystkich platformach pozwala zdalnemu złośliwemu serwerowi obrazów lub atakującemu typu man-in-the-middle na nadpisanie dowolnych plików lokalnych i wykonanie kodu na systemie klienta poprzez spreparowany nagłówek Content-Disposition z parametrem filename podczas operacji eksportu lub kopiowania obrazów do lokalnego katalogu docelowego.

Dayforce ESS Excelity jest podatny na Reflected XSS w wielu punktach końcowych. Atakujący może przygotować specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem naprawiono w wersji V4.

Podatność typu Path Traversal w ABB Protection and control IED manager (PCM600) do wersji 2.14. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień do krytycznych zasobów w ABB Protection and control IED manager (PCM600) do wersji 2.14. Może pozwolić atakującemu na nieautoryzowany dostęp do zasobów.

W oprogramowaniu Acrel Electric Unet Web Service (do wersji 20260814) wykryto podatność w nieznanym fragmencie kodu pliku /exchange/attachment/upload w komponencie Upload Endpoint. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W dbgate do wersji 7.3.1 wykryto podatność w funkcji files w pliku packages/api/src/controllers/runners.js w komponencie Files Endpoint. Manipulacja argumentem runid prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Moduł smart home mH-DEVELOPER jest podatny na atak Denial of Service z powodu niekontrolowanego zużycia zasobów. Express bodyParser jest skonfigurowany z limitem 250 MB dla ciał żądań JSON i URL-encoded, co pozwala uwierzytelnionemu atakującemu w sieci LAN wysyłać duże żądania wyczerpujące pamięć RAM i powodujące awarię procesu fh-node. Ze względu na CVE-2026-82930 wszystkie endpointy mogą być odpytywane bez uwierzytelnienia, więc każdy użytkownik LAN może przeprowadzić ten atak.

Moduł smart home mH-DEVELOPER dostarczany jest z przestarzałym, niewspieranym systemem Debian 8 i środowiskiem Node.js v17.0.1 w firmware produkcyjnym. Naraża to urządzenie na publicznie znane podatności, które nie otrzymają poprawek bezpieczeństwa. Atakujący może wykorzystać te znane luki do wykonania dowolnego kodu, dostępu do danych wrażliwych lub wywołania odmowy usługi.

Moduł smart home mH-DEVELOPER przesyła interfejs webowy i ruch API przez niezaszyfrowany HTTP. Hasła, tokeny uwierzytelniające i polecenia urządzenia są przesyłane jawnym tekstem. Atakujący w tej samej sieci może przechwycić ten ruch, ukraść poświadczenia i tokeny oraz przejąć sesje.

Moduł smart home mH-DEVELOPER nie ładuje żadnych reguł zapory sieciowej przy starcie. Pozostawia to wszystkie nasłuchujące usługi, w tym SSH, HTTP, WebSocket i Node-RED, całkowicie wystawione w sieci LAN bez kontroli dostępu. Każdy klient w tej samej sieci może uzyskać dostęp do każdej usługi.

Moduł smart home mH-DEVELOPER nie weryfikuje tokenów w oprogramowaniu pośredniczącym autoryzacji, pozostawiając wszystkie endpointy HTTP API i WebSocket dostępne bez uwierzytelnienia. Nieuwierzytelniony atakujący w sieci LAN może odpytywać te endpointy, uzyskiwać informacje o systemie i wysyłać surowe polecenia sterujące do manipulowania urządzeniami automatyki budynkowej.

Moduł smart home mH-DEVELOPER używa tych samych, zakodowanych na stałe kluczy hosta SSH w każdym urządzeniu, bez generowania kluczy dla poszczególnych urządzeń. Atakujący, który wyodrębni te klucze z firmware, może skonfigurować fałszywy serwer SSH, któremu klienci zaufają bez ostrzeżenia, umożliwiając ataki man-in-the-middle i przechwytywanie poświadczeń.

W Enocta Platform (Enocta Educational Technologies Inc.) występuje podatność typu cross-site scripting (XSS) wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność pozwala na ataki XSS wymierzone w atrybuty HTML. Problem dotyczy Enocta Platform do 2026-09-28.

Zscaler MCP Server w wersjach 0.7.0 i 0.7.1 ma problem, w którym tokeny potwierdzenia HMAC nie były powiązane z identyfikatorem zasobu docelowego, co pozwalało klientowi lub agentowi MCP na powtórzenie tokenu wygenerowanego dla jednego zasobu w celu wpłynięcia na inny zasób tego samego typu. Problem został naprawiony w wersji 0.7.2.

Router Kaon AR2140X nieprawidłowo wysyła ciasteczka sesyjne w odpowiedziach na nieuwierzytelnione żądania HTTP. Umożliwia to zdalnemu atakującemu uzyskanie ważnego identyfikatora sesji bez podawania danych uwierzytelniających, co prowadzi do obejścia uwierzytelniania. Z tym dostępem atakujący może wykonywać nieautoryzowane działania w funkcjach związanych z aktualizacją, w tym wymuszać na routerze wysyłanie żądań GET do dowolnie wybranych domen.

Błąd walidacji pochodzenia (Origin Validation Error) w oprogramowaniu pośredniczącym pakietu npm connect-xcors pozwala atakującemu obejść weryfikację pochodzenia i wykonać uwierzytelnione żądanie międzydomenowe. Może to prowadzić do nieautoryzowanego dostępu do chronionych zasobów w kontekście zalogowanego użytkownika.

W dbgate do wersji 7.3.1 wykryto podatność w funkcji exportModelSql w pliku packages/api/src/controllers/databaseConnections.js (komponent Export Handler). Manipulacja argumentem outputFile prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany.

W dbgate do wersji 7.3.1 wykryto lukę w funkcji zipJsonLinesData w pliku packages/api/src/utility/zipJsonLinesData.js (komponent Create Connection Endpoint). Manipulacja argumentem filePath prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.

W Thinkware U3000 do wersji 1.02.04 wykryto lukę w funkcji GET_STATUS komponentu TCP Service. Manipulacja argumentem wifi_info prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.