Katalog podatności CVE

Shopper to headless panel administracyjny e-commerce. W wersji przed 2.10.1 trasa szczegółów klienta /cpanel/customers/{user}/show sprawdza uprawnienie read_customers, ale wyszukuje dowolny identyfikator użytkownika bez zastosowania zakresu roli customers używanego na liście. Uwierzytelniony personel z access_dashboard i read_customers może zmienić ID użytkownika, aby uzyskać profile administratorów lub personelu, mimo braku view_users. Luka ujawnia dane profilu i umożliwia enumerację ID użytkowników; w połączeniu z delete_customers może umożliwić destrukcyjne działania wobec kont niebędących klientami. Problem naprawiono w wersji 2.10.1.

Podatność typu stored XSS w panelu administracyjnym Shopper pozwala uwierzytelnionemu pracownikowi z uprawnieniami do przesyłania treści na zapisanie wykonywalnych plików HTML lub SVG, które są serwowane bez nagłówka Content-Disposition i CSP. Gdy administrator otworzy taki plik, złośliwy skrypt wykonuje się w jego sesji i może utworzyć nowe konto administratora z wybranym hasłem. Problem dotyczy wersji 2.0.0–2.10.0 oraz 3.0.0-beta.1 i beta.2; naprawiono w 2.10.1 i 3.0.0-beta.3.

W Shopper przed wersją 2.10.0 komponent Livewire Variants w packages/admin/src/Livewire/Components/Products/Form/Variants.php udostępnia DeleteAction i DeleteBulkAction bez autoryzacji po stronie serwera. Uwierzytelniony pracownik z uprawnieniem edit_products może uzyskać podpisany stan komponentu i trwale usuwać pojedyncze lub wiele wariantów bez uprawnienia delete_product_variants. Może to zniszczyć katalog produktów i zakłócić działanie sklepu, koszyka i finalizacji zamówień. Problem naprawiono w wersji 2.10.0.

W jack przed wersją 0.1.0 plik middleware/handle-error.ts serializuje surowe obiekty FetchError do odpowiedzi HTTP, a lib/servers/base.ts dołącza nagłówki żądań wychodzących przy błędach odpowiedzi上游 i walidacji schematu. Publiczne pole extras w lib/errors/FetchError.ts pozostaje wyliczalne i jest emitowane przez serializację JSON, ujawniając wewnętrzne klucze X-Api-Key Radarr/Sonarr oraz nagłówki łączników, takie jak CF-Access-Client-Secret. Endpointy GET /peer/items/:id, GET /servers/health i GET /torznab/download/:id mogą ujawnić te sekrety. Problem naprawiono w wersji 0.1.0.

W Dream Displays od wersji 1.5.0 do 1.8.2 dane wejściowe kontrolowane przez użytkownika mogą wpływać na argumenty przekazywane do yt-dlp w określonych warunkach. Niezamierzone opcje wiersza poleceń mogą zostać zinterpretowane przez yt-dlp, potencjalnie zmieniając jego zachowanie. Problem naprawiono w wersji 1.8.2.

W ZTNET przed wersją 0.8.0 każdy uwierzytelniony użytkownik o niskich uprawnieniach może trwale dezaktywować inne konto, w tym administratora, poprzez POST /api/auth/user/invalidateUser. Handler sprawdza tylko istnienie sesji i nie porównuje session.user.id z userId dostarczonym przez klienta, więc podanie userId ofiary i nieistniejącej pary deviceId powoduje ustawienie isActive na false i odmowę logowania. Problem naprawiono w wersji 0.8.0.

Biblioteka ESPAsyncWebServer przed wersją 3.11.2 zawiera błąd w parserze multipart, który po zwolnieniu bufora i ustawieniu go na NULL nadal zapisuje dane przez wskaźnik NULL. Występuje to, gdy bajt po granicy części pliku nie jest poprawnym zakończeniem, co prowadzi do wyjątku StoreProhibited i restartu urządzenia. Podatność wymaga obecności trasy z obsługą przesyłania plików lub OTA.

SABnzbd przed wersją 5.1.0Beta3 pozwala atakującemu z ważnym kluczem API na wywołanie operacji usuwania osieroconych zadań z parametrem ścieżki, który nie jest ograniczony do katalogu pobierania. Bezwzględna ścieżka może spowodować rekurencyjne usunięcie plików lub katalogów zapisywalnych przez proces SABnzbd. Klucz API jest przechowywany jawnie w pliku konfiguracyjnym.

libriscv przed wersją 1.18 pozwala spreparowanemu plikowi ELF na wywołanie odczytów poza granicami bufora w emulatorze hosta. Funkcje serialize_execute_segment i lookup ufają przesunięciom i rozmiarom sekcji bez weryfikacji względem rozmiaru pliku, co może prowadzić do SIGSEGV lub ujawnienia pamięci hosta. Podatność została naprawiona w wersji 1.18.

Ring przed wersją 1.15.5 zawiera podatność w middleware wrap-nested-params, które używa wyrażenia regularnego z cofaniem do dopasowywania nazw parametrów. Atakujący może spreparować nazwę parametru powodującą kwadratowe zużycie CPU (O(n^2)), prowadząc do odmowy usługi. Użytkownicy Ring-Defaults są również narażeni, ponieważ middleware jest domyślnie włączony.

MoLing w trybie SSE (uruchamiany z opcją -l) nie uwierzytelnia żądań do endpointów /sse i /message, a zależność mcp-go ustawia nagłówek Access-Control-Allow-Origin: *. Złośliwa strona może otworzyć cross-origin EventSource do /sse, odczytać sessionId i wykonać nieautoryzowane wywołania narzędzi MCP przez /message, co może prowadzić do odczytu/zapisu plików lub wykonania poleceń. Problem naprawiono w wersji 0.5.0.

Picsou to samodzielnie hostowany panel finansów osobistych. W podatnej implementacji logowania endpoint /api/auth/login ujawnia istnienie nazwy użytkownika poprzez różnicę czasową: AuthController.login() natychmiast rzuca BadCredentialsException dla nieznanej nazwy użytkownika, przed passwordEncoder.matches(...), podczas gdy istniejąca nazwa z błędnym hasłem ponosi koszt porównania bcrypt. Oba przypadki zwracają ten sam ogólny HTTP 401, ale powtarzane pomiary opóźnień ujawniają prawidłowe nazwy użytkowników bez poświadczeń. Problem naprawiono w wersji 1.0.8.

W ThingLinks przed wersją 1.4.0 endpoint /groovyScriptTest/registerScript przyjmuje treść skryptu Groovy od użytkownika i przekazuje ją do niesandboxowanego procesu kompilacji i ładowania. Uwierzytelniony atakujący może dostarczyć kod, który zostanie skompilowany i uruchomiony na serwerze, co prowadzi do zdalnego wykonania kodu po stronie serwera. Problem dotyczy przepływu testowania/rejestracji skryptów Groovy w silniku reguł i został naprawiony w wersji 1.4.0.

W ThingLinks przed wersją 1.4.0 występuje nieuwierzytelniona podatność SQL injection w API TDengine TDS. Wartości pól JSON przesyłane do /anyUser/tds/insertTableData trafiają do niebezpiecznego konstruowania zapytań SQL w mapperze TDS, co pozwala zdalnemu nieuwierzytelnionemu atakującemu modyfikować dane szeregów czasowych TDengine, w tym wstawiać niepożądane wiersze lub nadpisywać istniejące odczyty. Problem naprawiono w wersji 1.4.0.

Podatność w integracji Metalama z Visual Studio na Windows polega na deserializacji komunikatów z lokalnego nazwanego potoku bez ograniczenia typów CLR, które mogą być utworzone. Poprzez potok o przewidywalnej nazwie lokalny proces tego samego użytkownika może wysłać spreparowane komunikaty prowadzące do wykonania dowolnego kodu w procesie Visual Studio. Domyślne uprawnienia potoku ograniczają zapis do zalogowanego użytkownika, więc nie następuje eskalacja uprawnień.

Metalama przed wersjami 2025.1.18, 2026.0.25 i 2026.1.19 ładuje i wykonuje zestawy kompilacyjne z przewidywalnych katalogów tymczasowych, ufając istniejącym artefaktom na podstawie plików znacznikowych. Na Linuksie i macOS katalog tymczasowy jest zapisywalny dla wszystkich, co pozwala lokalnemu użytkownikowi na wcześniejsze utworzenie struktury katalogów i umieszczenie złośliwej biblioteki DLL. Gdy uprzywilejowany deweloper lub konto kompilacji uruchomi kompilację, Metalama wykona tę bibliotekę w procesie kompilatora, IDE lub MSBuild.

Filecoin Pin w wersjach do 1.1.0 włącznie nie egzekwuje limitów szybkości żądań ani kwot na użytkownika w punkcie końcowym POST /pins, a każde przypięcie jest przetwarzane w tle bez kolejki i limitu współbieżności. Brak limitów bajtów, bloków i czasu przechodzenia DAG pozwala uwierzytelnionemu lub anonimowemu (przy ALLOW_NO_AUTH=true) wywołującemu wyczerpać dysk, sieć, CPU, pamięć i zasoby libp2p, co może doprowadzić do degradacji usługi lub awarii hosta/procesu i pozostawić częściowe pliki CAR wymagające odzyskania.

ag-psd przed wersją 31.0.0 pozwala funkcji readPsd() na alokację buforów obrazu i warstw na podstawie deklarowanej geometrii PSD przed walidacją względem dostępnych danych. Mały plik PSD deklarujący ogromne wymiary może wymusić alokację wielu gigabajtów pamięci, prowadząc do wyczerpania pamięci i zakończenia procesu. Wersja 31.0.0 dodaje limit alokacji dla obrazu złożonego, ale pełne pokrycie ścieżki alokacji prostokątów warstw nie jest potwierdzone.

LibreDWG to darmowa biblioteka C do odczytu i zapisu plików DWG. W wersji przed 0.14 specjalnie spreparowany plik R13-R2000 DWG może wywołać wyczerpanie zasobów algorytmicznych w decode_R13_R2000 w src/decode.c. Pętla dekodowania klas wykonuje realloc w każdej iteracji bez kontroli rozsądku na num_classes; manipulacja tym polem wymusza bardzo wolną pętlę alokacji i odmowę usługi podczas parsowania pliku. Uruchamianie parsera w piaskownicy z limitami pamięci jest obejściem, a nie rozwiązaniem. Problem naprawiono w wersji 0.14.

LibreDWG to darmowa biblioteka C do odczytu i zapisu plików DWG. W wersji przed 0.14.8413 spreparowany plik pre-R13 DWG może wprowadzić decode_preR13_entities() w src/decode.c w nieskończoną pętlę alokującą nowy obiekt w każdej iteracji. decode_preR13 w src/decode_r11.c oblicza size z kontrolowanych przez plik granic entities_start i entities_end; wywoływana funkcja ogranicza end do dat->size, ale nie przelicza size. Na końcu danych bit_read_RC i bit_read_RS przestają przesuwać dat->byte, zabezpieczenie przed przepełnieniem zawodzi, a sprawdzenie braku postępu porównuje z oldpos zapisanym przed pętlą. Prowadzi to do powtarzalnej alokacji obiektów aż do wyczerpania pamięci lub zabicia procesu przez OOM. Problem naprawiono w wersji 0.14.8413.