Katalog podatności CVE

Nezha to narzędzie do monitorowania serwerów i stron internetowych. W wersjach >= 2.2.11 i < 2.3.1, worker sentinel usługi (service/singleton/servicesentinel.go) zawiera niekompletną poprawkę wcześniej zgłoszonej podatności na wyłuskanie nil (denial of service) (GHSA-qjpp-gffx-2wm9). Poprawka z 2026-07-21 ponownie walidowała cykl życia usługi pod serviceResponseDataStoreLock, ale używała już przechwyconego, nieaktualnego wskaźnika reportera i nigdy nie ponownie walidowała serwera, a ten lock nie chroni ServerShared. Uwierzytelniony użytkownik z rolą członka, który posiada agenta, może wydać równoczesne usunięcie serwera (POST /api/v1/batch-delete/server) dla własnego serwera, aby wygrać wyścig, powodując wyłuskanie brakującego wpisu w migawce listy serwerów przez worker. Ponieważ workery sentinel i serwer gRPC nie mają interceptora recover()/recovery, wynikający panic jest nieodzyskany i powoduje awarię całej instancji. Poprawione w wersji 2.3.1.

Nezha w wersjach 2.0.10 do 2.3.2 używa ograniczonego klienta HTTP do walidacji konfigurowalnych przez użytkownika adresów URL webhooków powiadomień i DDNS, ale lista zablokowanych nie obejmowała zakresów przejściowych IPv6 — konkretnie prefiksu 6to4 2002::/16 oraz prefiksu translacji lokalnej IPv4/IPv6 64:ff9b:1::/48. Ponieważ takie adresy spełniają sprawdzenie netip.Addr.IsGlobalUnicast w Go, walidator URL je akceptował. Uwierzytelniony użytkownik mogący skonfigurować webhook może spowodować, że dashboard wyśle żądania do w inny sposób ograniczonego punktu końcowego IPv6, ale tylko tam, gdzie sieć dashboardu zapewnia nietypowe lub niezgodne ze standardami routowanie dla tych zakresów przejściowych; nie wykazano bezpośredniej ścieżki do żądania HTTP do metadanych IPv4, pętli zwrotnej lub sieci prywatnej. Problem jest naprawiony w wersji 2.3.3 (commit d1fcde8e), która blokuje oba prefiksy.

Nezha Dashboard w wersjach przed 2.3.5 nie ogranicza typów zadań monitorów usług do obsługiwanych typów sond. Uwierzytelniony użytkownik z uprawnieniem nezha:service:write może przesłać uprzywilejowane typy zadań przez API usługi, wykorzystując współdzieloną przestrzeń nazw protobuf Task.Type.

Nezha przed 2.3.8 nie waliduje typu reguły alertu ani zakresu czasu trwania, co pozwala uwierzytelnionym użytkownikom niebędącym administratorami tworzyć błędne reguły wywołujące nieodwracalne paniki w goroutine ewaluatora alertów. Atakujący może przesłać spreparowaną regułę przez POST /api/v1/alert-rule, powodując awarię procesu dashboardu.

Obot w wersjach przed v0.23.0 nie wymusza uwierzytelniania na endpointach MCP Registry pod /v0.1/*, gdy uwierzytelnianie rejestru jest włączone. Nieuwierzytelniony atakujący może odczytać metadane rejestru, w tym nazwy serwerów, opisy, adresy URL repozytoriów i adresy URL połączeń, wysyłając żądania GET do /v0.1/servers.

W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji checkRoleAllowed w pliku SysRoleServiceImpl.java komponentu dataScope Endpoint. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.

W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji SysUser.isAdmin w pliku edu-common/src/main/java/com/edu/common/core/domain/entity/SysUser.java komponentu authRole Endpoint. Manipulacja argumentami userId/roleIds prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.

W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcjonalności pliku registrationform.php. Manipulacja argumentami FName/LName/Addrs prowadzi do cross site scripting, a atak można przeprowadzić zdalnie.

Złośliwy rejestr OCI może utworzyć twarde dowiązania do dowolnych plików hosta w katalogu ekstrakcji, gdy użytkownik instaluje lub aktualizuje aplikację Flatpak ze zdalnego rejestru OCI. Pozwala to na ujawnienie zawartości dowolnych plików hosta.

W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcji pliku loginlinkstudent.php. Manipulacja argumentem umail prowadzi do braku uwierzytelniania, a atak można przeprowadzić zdalnie.

W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcji. Manipulacja prowadzi do cross-site request forgery, a atak można przeprowadzić zdalnie.

utcp-gql przed 1.1.1 i utcp-websocket przed 1.1.1 zawierają luki server-side request forgery wynikające z niepełnego zastosowania poprawek CVE-2026-44661. Wtyczka GraphQL używa podatnego sprawdzania prefiksu, pozwalającego obejść adresy URL, takie jak http://127.0.0.1.attacker.example, a wtyczka WebSocket nie wykonuje żadnej walidacji adresów URL.

python-utcp (pakiet pip utcp-http) przed wersją 1.1.12 nie weryfikuje, czy adresy URL narzędzi zadeklarowane w ręcznie napisanym podręczniku UTCP wskazują na interfejs pętli zwrotnej agenta, gdy podręcznik jest pobierany ze zdalnego źródła. Atakujący może dostarczyć podręcznik, który ofiara zarejestruje, i spowodować wysyłanie żądań do usług nasłuchujących tylko na 127.0.0.1 na hoście ofiary, a odpowiedzi są zwracane atakującemu (SSRF).

Cloudreve przed wersją 4.16.1 nie ponownie weryfikuje dostępu do udostępnionych zasobów podczas przywracania zapisanego stanu nawigacji z UUID context_hint. Atakujący, którzy wcześniej mieli ważny dostęp do udostępnienia, mogą odtworzyć zapisany hint i generować podpisane adresy URL plików przez maksymalnie 300 sekund po usunięciu udostępnienia, wygaśnięciu lub osiągnięciu limitu pobrań.

Cloudreve przed wersją 4.17.0 rejestruje punkty testowe węzłów administracyjnych (POST /api/v4/admin/node/test i POST /api/v4/admin/node/test/downloader) bez wymagania zakresu OAuth Admin.Write, w przeciwieństwie do tras tworzenia/aktualizacji/usuwania węzłów. Klient OAuth autoryzowany przez administratora tylko z zakresem Admin.Read może przesyłać definicje węzłów kontrolowane przez atakującego i powodować wysyłanie przez serwer Cloudreve żądań wychodzących do dowolnych adresów URL, umożliwiając ślepe SSRF, sondowanie wewnętrznych usług i dostarczanie podpisanych żądań typu slave do wybranych przez atakującego punktów końcowych.

Fleet przed wersją 4.87.0 nie chroni dwóch punktów końcowych serwujących pakiety iOS in-house oraz manifesty (tylko wersja enterprise) za pomocą zamierzonego, losowego i ograniczonego czasowo tokena URL. Ponieważ polecenie MDM Apple InstallEnterpriseApplication wymaga, aby te adresy URL były osiągalne bez sesji Fleet, nie mogą one polegać na uwierzytelnianiu sesyjnym, a brak tokena umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym do serwera Fleet pobranie binariów IPA in-house i ich metadanych (identyfikator pakietu, wersja i nazwa) poprzez zgadywanie sekwencyjnych identyfikatorów tytułów. Wpływ ogranicza się do odczytu; nie ma eskalacji uprawnień ani dostępu do zapisu, a darmowa wersja nie jest dotknięta.

Heym przed wersją 0.0.53 nie weryfikuje nagłówka X-Telegram-Bot-Api-Secret-Token na punktach końcowych webhooków Telegrama, gdy credential_id jest nieobecne lub secret_token jest pusty. Zdalni nieuwierzytelnieni atakujący mogą wysyłać sfałszowane aktualizacje Telegrama, aby wyzwalać przepływy pracy z skonfigurowanymi poświadczeniami właściciela i wykonywać akcje na danych dostarczonych przez atakującego.

Heym przed wersją 0.0.53 nie weryfikuje podpisów żądań Slacka, gdy węzły wyzwalające nie mają identyfikatorów poświadczeń lub mają puste sekrety podpisywania. Zdalni nieuwierzytelnieni atakujący mogą wysyłać sfałszowane zdarzenia Slacka na znane adresy URL webhooków, aby wyzwalać przepływy pracy z poświadczeniami właściciela.

Parse Server w wersjach >= 9.0.0 < 9.10.1-alpha.10 i >= 8.0.2 < 8.6.91 nie weryfikuje kodu autoryzacyjnego u dostawcy zewnętrznego podczas logowania z nazwą użytkownika i hasłem, gdy używane są adaptery uwierzytelniania oparte na kodzie (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo). Umożliwia to uwierzytelnionemu użytkownikowi o niskich uprawnieniach dołączenie dowolnej, niezweryfikowanej tożsamości dostawcy do swojego konta, a także przejęcie konta ofiary, która później zaloguje się przez tego dostawcę. Problem został naprawiony w wersjach 9.10.1-alpha.10 i 8.6.91.

Funkcjonalność odzyskiwania konta (reset hasła) w aplikacji vulnerability-lookup zawiera wyścig TOCTOU w konsumpcji jednorazowych tokenów odzyskiwania. Dwa równoczesne żądania HTTP z tym samym ważnym tokenem mogą przejść weryfikację przed zatwierdzeniem transakcji, co pozwala obu ustawić własne hasło na koncie docelowym. Dodatkowo, w tym samym punkcie końcowym (confirm_account) ważny link odzyskiwania może być użyty do ustawienia pustego lub bardzo krótkiego hasła (np. trzy znaki), ponieważ walidacja formularza nie jest wywoływana.