Katalog podatności CVE

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie escapowała zapisanych ustawień na stronie ustawień administratora, co prowadzi do przechowywanego XSS. Atakujący mogący zmodyfikować konfigurację wtyczki może wykonać dowolny JavaScript w sesji administratora odwiedzającego zagrożoną stronę.

W bibliotece nibabel (do wersji 5.4.2) wykryto podatność w funkcji array_from_file w pliku nibabel/volumeutils.py, związanej z obsługą nagłówków. Manipulacja danymi prowadzi do niekontrolowanej alokacji pamięci. Atak można przeprowadzić zdalnie, a poprawka (pull request) oczekuje na akceptację.

W bibliotece meshio (do wersji 5.3.5) zidentyfikowano słabość w nieznanej funkcji pliku meshio/_vtk_42.py w komponencie VTK Reader. Manipulacja argumentem DIMENSIONS może prowadzić do niekontrolowanej alokacji pamięci. Atak można wykonać zdalnie, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W bibliotece feedfinder2 (do wersji 0.0.4) odkryto lukę w funkcji find_feeds w pliku feedfinder2.py. Manipulacja danymi prowadzi do podatności typu server-side request forgery (SSRF). Zdalne wykorzystanie ataku jest możliwe, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W systemie Open Object (wersje od 2.4.3 do 2.5.1, 3.6.2, 4.0.2 i 4.1.1) token z uprawnieniem do odczytu jednego ObjectType może odczytać pełny wersjonowany rekord obiektu innego ObjectType poprzez endpoint history-detail GET /api/v2/objects/{uuid}/{index}. Akcja history_detail wywołuje get_queryset() i get_object_or_404 bezpośrednio, pomijając sprawdzanie uprawnień obiektowych. Luka została naprawiona w wersjach 2.5.1, 3.6.2, 4.0.2 i 4.1.1.

W systemie Domoticz przed wersją 2026.3 handler komendy JSON udevices (Cmd_UpdateDevices w main/WebServerCmds.cpp) nie sprawdzał uprawnień session.rights przed uruchomieniem skryptu parsera Lua. Użytkownik z niskimi uprawnieniami mógł wywołać istniejący skrypt parsera z kontrolowanym wejściem przez GET /json.htm, a parametr script nie miał zabezpieczenia przed path traversal. Wykonanie ogranicza się do już zainstalowanych prawidłowych plików Lua, a luka została naprawiona w wersji 2026.3.

W aplikacji InvoicePlane przed wersją 1.7.2-beta-1 użytkownicy gościnni mogą zatwierdzać lub odrzucać oferty należące do dowolnego klienta, nie tylko przypisanych im klientów. Metody approve() i reject() w kontrolerze Guest Quotes wywołują approve_quote_by_id() i reject_quote_by_id() bez ograniczenia where_in('ip_quotes.client_id', $this->user_clients), a generate_pdf() wywołuje mark_viewed() przed sprawdzeniem zakresu klienta. Luki naprawiono w wersji 1.7.2-beta-1 i stabilnej 1.7.2.

W aplikacji MusicFreeDesktop w wersjach 0.0.6, 0.0.7 i 0.0.8 odkryto lukę w nieznanej funkcji komponentu Request Forwarder. Manipulacja prowadzi do ujawnienia informacji, a atak można przeprowadzić wyłącznie z sieci lokalnej. Exploit został publicznie ujawniony i może być wykorzystywany, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W aplikacji MusicFreeDesktop w wersjach 0.0.6, 0.0.7 i 0.0.8 zidentyfikowano lukę w nieznanej funkcji komponentu Request Forwarder. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), a zdalne wykorzystanie jest możliwe. Exploit jest publicznie dostępny i może być wykorzystywany; poprawka ma identyfikator b0d3876247a0a64fa0e430e4b21870e41f503182.

W AVideo przed wersją 8.1.0 plik view/queue.php używa pathinfo na kontrolowanym przez wywołującego parametrze fileURI i zapisuje nazwę pliku przez setTitle w encoder_queue.title bez neutralizacji. fileURI nie jest objęty filtrami objects/security.php, a uprawnienie Login::canUpload() można nadać sobie samodzielnie, co pozwala atakującemu zapisać tytuł HTML, którego obsługa zdarzeń wykona się w przeglądarce uprzywilejowanego widza (administratora lub operatora tego samego streamera).

W AVideo przed wersją 8.1.0 anonimowy interfejs logowania odzwierciedla wartości żądania w HTML i JavaScript bez kodowania wyjścia. Parametr webSiteRootURL jest zwracany bez zmian przez Streamer::getStreamerURL() i trafia do atrybutów nawigacji i formularzy oraz do ciągu JavaScript w view/index.header.php, a pola user i pass są filtrowane tylko pod kątem apostrofów, co pozwala na wyjście z atrybutów HTML. Dodatkowo view/index.header.php odzwierciedla pola POST przez json_encode bez JSON_HEX_TAG, a locale/function.php zapisuje w sesji wartość lang bez escapowania.

W Blombooru przed wersją 1.40.0 endpoint GET /proxy-image dostępny jako /api/booru-import/proxy-image przyjmuje parametr url i pobiera go po stronie serwera bez istotnej walidacji celu. Funkcja proxy_image() sprawdza jedynie, czy wartość zaczyna się od http, a następnie używa get_client_for_url lub requests.get i strumieniuje odpowiedź; adresy prywatne, loopback i link-local nie są blokowane, a automatycznie śledzone przekierowania mogą przenieść żądanie z zaufanej domeny do adresu wewnętrznego.

Wtyczka PiWeb Disable payment method / Partial payment for WooCommerce przed wersją 1.1.10.9 zawiera podatność braku autoryzacji w procedurze AJAX update_fees, która pozwala nieuwierzytelnionym atakującym modyfikować i odczytywać zamówienia innych klientów. Atakujący mogą ponownie użyć nonce ze swojej strony order-pay i podać kolejne wartości order_id, aby zmienić metody płatności, przeliczyć opłaty oraz ujawnić pozycje i sumy zamówień.

W gopass przed wersją 1.17.0 występuje podatność path traversal w backendzie przechowywania na systemie plików, która pozwala atakującym usuwać katalogi poza magazynem haseł poprzez nazwy wpisów zawierające ../ w operacjach Prune i IsDir. Współpracownicy z prawem zapisu do współdzielonego magazynu synchronizowanego przez git mogą wprowadzić spreparowane wpisy, powodując usunięcie dowolnych drzew katalogów przez rekurencyjne gopass rm -r ofiary.

Dolibarr ERP CRM przed wersją 24.0.2 zawiera podatność braku autoryzacji w htdocs/public/recruitment/view.php, która pozwala nieuwierzytelnionym atakującym przeglądać nieopublikowane wersje robocze stanowisk pracy. Atakujący mogą wyliczać kolejne tymczasowe referencje przez parametr ref, aby odczytać tytuły, opisy, budżety wynagrodzeń oraz nazwiska i adresy e-mail rekruterów.

CherryTree do wersji 1.7.2 zawiera podatność path traversal w CtStorageXmlHelper::_create_image_from_xml, która ufa niezwalidowanym atrybutom filename osadzonych plików w dokumentach XML. Atakujący mogą spreparować dokument .ctd, .ctz lub .ctx z bezwzględną lub ~/ nazwą pliku i bez danych, tak że zapis osadza pliki takie jak ~/.ssh/id_rsa w dokumencie.

W projekcie a2ui do wersji 0.12.0 wykryto podatność w funkcji Root.renderComponentTree w pliku src/0.8/ui/root.js komponentu Renderer. Manipulacja może prowadzić do dynamicznie ustalanych atrybutów obiektu, a atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.

W a2ui do wersji 0.10.4 wykryto podatność w nieznanym kodzie pliku src/v0_9/basic_catalog/components/Image.js komponentu Image Player/Video Player/Audio Player. Manipulacja argumentem url prowadzi do niewłaściwej walidacji danych wejściowych, a atak można zainicjować zdalnie; pull request z poprawką oczekuje na akceptację.

Narzędzia DB Tools polegają na implementacji TLS z biblioteki standardowej Golang, która korzysta z systemowego magazynu CA oraz wewnętrznej listy zablokowanych certyfikatów CA w pakiecie crypto/x509. Wersja Golang 1.27.3 dodaje certyfikaty eMudhra do tej listy, ale DB Tools w wersji 100.19.0 zostało skompilowane z Golang 1.26.8, która nie zawiera tej weryfikacji. Problem rozwiązano w DB Tools 100.20.0 poprzez aktualizację do Golang 1.27.3.

W langgraph-sdk od wersji 0.4.0 do 0.4.6 oraz w langgraph od 1.2.3 do 1.2.14 (gdy RemoteGraph v3 streaming używa podatnej wersji langgraph-sdk) synchroniczne i asynchroniczne funkcje pomocnicze v3 stream get_tree i _fetch_state wstawiają kontrolowane przez wywołującego wartości assistant_id i thread_id do uwierzytelnionych ścieżek żądań GET bez użycia _quote_path_param. Względne segmenty ścieżki mogą zostać znormalizowane do innej czytelnej ścieżki na skonfigurowanym serwerze przy zachowaniu nagłówków uwierzytelniania.