Katalog podatności CVE

W Parse Server, otwartym backendzie działającym na Node.js, występuje podatność na wstrzykiwanie SQL w adapterze pamięci masowej PostgreSQL. Problem ten pojawia się podczas przetwarzania operacji inkrementacji na zagnieżdżonych polach obiektów przy użyciu notacji kropkowej, co pozwala atakującemu na wstrzyknięcie dowolnych subzapytań SQL.

Jellyfin to system multimedialny typu open-source. Workflow code-quality.yml w projekcie jellyfin/jellyfin-ios jest podatny na wykonanie dowolnego kodu poprzez pull requesty z forku, co może prowadzić do przejęcia repozytorium oraz wycieku poufnych danych.

Parse Server to open source backend, który może być wdrożony na każdej infrastrukturze obsługującej Node.js. Przed wersjami 9.6.0-alpha.2 i 8.6.28, atakujący mógł wykorzystać nazwę pola w notacji kropkowej w połączeniu z parametrem sortowania, aby wstrzyknąć SQL do bazy danych PostgreSQL poprzez niewłaściwe eskapowanie wartości podpól w zapytaniach notacji kropkowej.

W wersjach Neo4j Enterprise przed 2026.02 występuje problem z implementacją SSO, który może prowadzić do nieautoryzowanego dostępu. Dotyczy to sytuacji, gdy administrator skonfiguruje wiele dostawców OIDC, z których niektórzy są tylko do uwierzytelniania, ale mogą również zapewniać autoryzację.

W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 wykryto podatność umożliwiającą ominięcie uwierzytelniania na stronach zarządzania. Wystarczy dodać określony sufiks do adresu URL oraz wysłać nagłówek Authorization z nazwą użytkownika 'admin'.

W podatności CVE-2026-30741 w platformie OpenClaw Agent v2026.2.6 występuje możliwość zdalnego wykonania kodu (RCE) poprzez atak typu injection w promptach po stronie żądania, co pozwala atakującym na wykonanie dowolnego kodu.

Argo Workflows przed wersjami 4.0.2 i 3.7.11 zawiera podatność, która umożliwia nieautoryzowanym klientom pobieranie szablonów przepływów pracy (WorkflowTemplates i ClusterWorkflowTemplates) poprzez wysłanie żądania z dowolnym tokenem w nagłówku Authorization. Może to prowadzić do ujawnienia poufnych danych, w tym osadzonych manifestów Secret.

W aplikacji Vociferous przed wersją 4.4.2 występuje podatność w pliku src/api/system.py w trasie export_file. Aplikacja akceptuje ładunek JSON zawierający nazwę pliku i treść, jednak nie weryfikuje poprawności nazwy pliku przed przetworzeniem przez logikę systemu plików.

W funkcji poczty w Zoom Workplace dla systemu Windows przed wersją 6.6.0 występuje zewnętrzna kontrola nazwy pliku lub ścieżki, co może umożliwić nieautoryzowanemu użytkownikowi eskalację uprawnień poprzez dostęp sieciowy.

IFTOP opracowany przez WellChoose ma podatność na lokalne włączenie pliku, co pozwala nieautoryzowanym zdalnym atakującym na wykonanie dowolnego kodu na serwerze.

Wtyczka Datalogics Ecommerce Delivery dla WordPressa przed wersją 2.6.60 udostępnia nieautoryzowany punkt końcowy REST, który pozwala zdalnym użytkownikom na modyfikację opcji `datalogics_token` bez weryfikacji. Token ten jest następnie używany do autoryzacji w chronionym punkcie końcowym, co umożliwia wykonywanie dowolnych operacji `update_option()` w WordPressie.

W urządzeniach MR-GM5L-S1 i MR-GM5A-L1 występuje problem z ominięciem uwierzytelniania, który może pozwolić atakującemu na ominięcie procesu logowania i zmianę konfiguracji urządzenia.

W urządzeniach MR-GM5L-S1 i MR-GM5A-L1 występuje problem z użyciem twardo zakodowanych poświadczeń, co może umożliwić atakującemu uzyskanie dostępu administracyjnego.

Netbox-docker w wersjach przed 2.5.0 posiada konto superużytkownika z domyślnymi danymi logowania. Domyślne hasło dla konta admin to 'admin', a wartość SUPERUSER_API_TOKEN to '0123456789abcdef0123456789abcdef01234567'.

Podatność w MiCode FileExplorer umożliwia ominięcie uwierzytelniania w serwerze FTP SwiFTP. Atakujący sieciowo mogą zalogować się bez ważnych poświadczeń, wysyłając dowolną nazwę użytkownika i hasło do handlera polecenia PASS, który bezwarunkowo przyznaje dostęp. Pozwala to na wyświetlanie, odczytywanie, zapisywanie i usuwanie plików udostępnionych przez serwer FTP.

Zidentyfikowano podatność w interfejsie zarządzania opartym na sieci web przełączników AOS-CX, która może pozwolić nieautoryzowanemu zdalnemu atakującemu na obejście istniejących zabezpieczeń uwierzytelniania. W niektórych przypadkach może to umożliwić zresetowanie hasła administratora.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 9.5.2-alpha.12 i 8.6.25, wewnętrzne klasy _GraphQLConfig i _Audience mogą być odczytywane, modyfikowane i usuwane za pomocą ogólnych tras API REST bez uwierzytelnienia klucza głównego.

Parse Server, otwarte oprogramowanie backendowe, przed wersjami 9.5.2-alpha.7 i 8.6.20, pozwalało na bezpośredni dostęp do wewnętrznych tabel przez REST API lub GraphQL API przy użyciu jedynie klucza aplikacji. Atakujący mógł tworzyć, odczytywać, aktualizować lub usuwać rekordy w wewnętrznych tabelach relacji.

Parse Server, otwarte źródło backendu, ma podatność w obsłudze zapytań, która pozwala atakującemu na wykradanie tokenów sesji innych użytkowników. Wymaga to, aby atakujący mógł tworzyć lub aktualizować obiekt z nowym polem relacyjnym, co zależy od uprawnień na poziomie klasy.