Katalog podatności CVE

W MCP Atlassian przed wersją 0.22.0 ustawienia ENABLED_TOOLS i TOOLSETS są stosowane przy wyświetlaniu narzędzi, ale nie są ponownie sprawdzane przy wysyłaniu żądania tools/call. Klient znający nazwę ukrytego narzędzia może bezpośrednio wywołać wykluczone narzędzia odczytu, zapisu lub usuwania, mimo skonfigurowanych ograniczeń najmniejszych uprawnień.

W MCP Atlassian przed wersją 0.22.0 funkcja validate_url_for_ssrf sprawdza rozwiązane adresy hosta, ale Requests i urllib3 ponownie rozwiązują nazwę hosta podczas łączenia. Wywołujący może użyć krótkotrwałej odpowiedzi DNS, która jest publiczna podczas walidacji, a prywatna podczas połączenia, zachowując nieuwierzytelniony dostęp do wewnętrznych lub metadanych punktów końcowych mimo wcześniejszej poprawki CVE-2026-27826.

Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę obejścia autoryzacji w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym modyfikować saldo dowolnego najemcy poprzez dostarczenie spreparowanych parametrów act i from_billing_module do dyspozytora panelu administracyjnego. Atakujący mogą wysłać żądanie POST z dowolnymi wartościami uid i balance w polu billing_data, aby wywołać nieuwierzytelnioną parametryzowaną aktualizację tabeli użytkowników, umożliwiając manipulację saldem konta i potencjalne automatyczne zawieszenie usług dla wybranych kont.

Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę wstrzyknięcia obiektu PHP w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym dostarczyć dowolne serializowane obiekty PHP do deserializacji poprzez ustawienie parametru act na login z obecnym parametrem from_billing_module. Atakujący mogą przekazać złośliwe serializowane dane przez pole POST billing_data do funkcji unserialize() bez ograniczeń allowed_classes, umożliwiając wykorzystanie dostępnych łańcuchów POP do osiągnięcia zdalnego wykonania kodu jako root.

Luka typu przepełnienie liczb całkowitych lub zawijanie oraz nieprawidłowa kontrola dostępu w RTI Connext Professional (Core Libraries) pozwala na manipulację współdzielonymi zasobami. Problem dotyczy Connext Professional od wersji 7.4.0 przed 7.7.0.1, od 7.0.0 przed 7.3.1.6 oraz od 6.1.0 przed 6.1.*.

Luka nieprawidłowego obliczenia w RTI Connext Professional (Core Libraries) pozwala na nadużycie istniejącej funkcjonalności. Problem dotyczy Connext Professional od wersji 7.4.0 przed 7.7.0.1, od 7.0.0 przed 7.3.1.6, od 6.1.0 przed 6.1.*, od 6.0.0 przed 6.0.*, od 5.3.0 przed 5.3.*, od 5.2.0 przed 5.2.* oraz od 4.1x przed 5.1.*.

Luka przepełnienia bufora na stercie w RTI Connext Professional (Core Libraries) pozwala na przepełnienie buforów. Problem dotyczy Connext Professional od wersji 7.4.0 przed 7.7.0.1, od 7.0.0 przed 7.3.1.6, od 6.1.0 przed 6.1.*, od 6.0.0 przed 6.0.*, od 5.3.0 przed 5.3.* oraz od 5.2.3 przed 5.2.*.

Punkt końcowy HTTP przeznaczony do aprowizacji organizacji enterprise i resellerów jest dostępny bez sesji. Brak autoryzacji umożliwia stworzenie nowej organizacji z najwyższym poziomem subskrypcji, a zwrócony klucz API jest natychmiast ważny.

LightRAG przed wersją 1.5.5 zawiera podatność w parserze Markdown, która umożliwia pobieranie zasobów z wewnętrznych adresów IPv4 przy użyciu translatorów NAT64, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów.

Sentry od wersji 23.11.0 do 26.7.0 z włączoną funkcją relokacji niebezpiecznie deserializuje pole bazy danych podczas importowania archiwum relokacji. Uwierzytelniony użytkownik może przygotować archiwum powodujące wykonanie dowolnego kodu w procesie pracownika importu.

Netdata przed wersją 2.10.4 zawiera podatność w narzędziu ndsudo, które uruchamiane z uprawnieniami roota akceptuje ścieżkę gniazda od niskouprzywilejowanego konta netdata, umożliwiając wykonanie kodu jako root na systemach z zainstalowanym fail2ban-client.

Netdata przed wersją 2.11.0 zawiera podatność w serwerze WebSocket, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie małych, wysoko skompresowanych ramek, prowadząc do dużych alokacji pamięci i wyczerpania zasobów.

Netdata w wersjach od 2.0.0 do 2.10.4 zawiera podatność podczas naprawy MSI, gdzie powershell.exe uruchamiany jako SYSTEM ładuje profil PowerShell z katalogu użytkownika, pozwalając na wykonanie poleceń z uprawnieniami SYSTEM.

MISP rejestruje w PHP wrapper strumienia phar zarówno w punkcie wejścia web, jak i konsoli. Powoduje to, że operacje na ścieżkach zależnych od użytkownika mogą wywołać niejawne unserialize() (sink deserializacji), a przeniesiony katalog główny aplikacji może prowadzić do wykonania kodu z przesłanego pliku phar jako użytkownik web.

Aureus ERP przed wersją 1.5.0 nie ogranicza wyszukiwania wiadomości do bieżącego rekordu w ChatterPanel, umożliwiając uwierzytelnionym użytkownikom dostęp do dowolnych wiadomości. Atakujący mogą podawać kolejne identyfikatory wiadomości, aby czytać, edytować, usuwać lub przypinać wiadomości z innych działów lub firm oraz wyliczać wszystkie notatki w systemie.

Databasement przed wersją 1.7.14 weryfikuje tokeny zaproszeń tylko przy ładowaniu strony akceptacji, buforując decyzję autoryzacyjną bez ponownego sprawdzania ważności tokenu podczas akceptacji. Atakujący z wyciekłym lub przekazanym linkiem zaproszenia może załadować stronę, gdy zaproszenie jest oczekujące, a następnie zaakceptować je po zaakceptowaniu przez prawowitego użytkownika, aby nadpisać hasło konta i uzyskać dostęp do zarządzanych poświadczeń i sekretów bazy danych.

Concrete CMS Community Store przed wersją 2.7.8 generuje tokeny pobierania produktów cyfrowych na podstawie znaczników czasu utworzenia zamówienia zamiast losowych wartości, co czyni je przewidywalnymi. Nieuwierzytelnieni atakujący mogą wyliczać kolejne identyfikatory zamówień i plików, aby obliczyć ważne tokeny pobierania i uzyskać dostęp do dóbr cyfrowych zakupionych przez innych klientów.

W rpcbind wykryto lukę, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie dużej liczby unikalnych żądań. Usługa rpcbind zapisuje wcześniej niewidziane statystyki RPC w nieograniczonych listach w pamięci, co prowadzi do stałego wzrostu zużycia pamięci i zwiększonego użycia CPU.

Twenty to otwarta platforma CRM. Przed wersją 2.22.0 uprawnienia do odczytu na poziomie pola są egzekwowane dla wybranych pól wyjściowych, ale nie dla predykatów filtrów GraphQL lub REST. Członek przestrzeni roboczej lub klucz API z uprawnieniem do odczytu obiektu, ale bez dostępu do konkretnego pola, może odwołać się do tego pola w filtrach bezpośrednich, relacyjnych lub zapisanych, a wynikowe totalCount i obecność wierszy ujawniają, czy zgadywane wartości pasują do rzeczywistej kolumny, tworząc wyrocznię boolean/count.