Katalog podatności CVE

Podatność typu Cross Site Scripting (XSS) w za-internet GmbH C-MOR Video Surveillance <= V6.0104 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr 'size' w komponencie ptzpreset.pml oraz w komponencie showmovies.pml. Podatność może być wykorzystana do wstrzyknięcia złośliwego skryptu.

Netmaker tworzy sieci z WireGuard. W wersjach przed 1.5.0 funkcja sqliteDeleteRecord w warstwie bazy danych konstruuje instrukcje SQL DELETE przy użyciu bezpośredniej konkatenacji ciągów z danymi wejściowymi użytkownika. Umożliwia to uwierzytelnionemu atakującemu przeprowadzenie boolowskiej iniekcji SQL.

Concrete CMS przed wersją 9.5.3 nie egzekwował autoryzacji po stronie docelowej i nie walidował tokena CSRF w akcji przypisywania stron wielojęzycznych (Backend\Page\Multilingual::assign). Uwierzytelniony użytkownik z uprawnieniem Edit Page Multilingual Settings na jednej stronie mógł przypisać dowolną stronę w innym języku jako tłumaczenie strony źródłowej oraz usuwać prawidłowe pary tłumaczeń, zmieniając publiczne routowanie językowe w całej witrynie.

Podatność typu Server-Side Request Forgery (SSRF) w funkcji synchronizacji VMware w Devolutions Server 2026.2.16 i wcześniejszych pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na uzyskanie poświadczeń innych użytkowników oraz dostęp do wewnętrznych lub chmurowych punktów końcowych metadanych poprzez spreparowaną definicję połączenia przesłaną do odkrywania centrum danych. Podatność może być wykorzystana do eskalacji uprawnień i ruchu bocznego.

Nieprawidłowa kontrola dostępu w funkcji listowania wpisów sejfu w Devolutions Server 2026.2.16 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi bez uprawnienia view-password na uzyskanie haseł w postaci jawnej poprzez żądanie do punktu końcowego listowania wpisów z parametrami ujawniania haseł. Podatność narusza poufność przechowywanych poświadczeń.

Nieprawidłowa walidacja certyfikatów we wspólnym kliencie HTTP używanym przez funkcje synchronizacji i integracji w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu w sieci na przechwycenie i modyfikację wychodzących połączeń TLS za pomocą sfałszowanego lub samopodpisanego certyfikatu.

Rozszerzenie Joomla JoomGallery w wersjach przed 4.4.2 zawiera nieuwierzytelnioną możliwość dowolnego przesyłania plików poprzez endpoint TUS. Endpoint TUS pozwala na dowolne przesyłanie plików, jednak nazwa pliku ani rozszerzenie nie są kontrolowane przez atakującego, a wykonanie kodu wymaga niestandardowej konfiguracji serwera.

Rozszerzenie Joomla J2Store w wersjach 1.0.0-3.3.2, 4.0.0-4.0.22, 4.1.0-4.1.7 odzwierciedla nieescapowane dane żądania w przekierowaniu PayPal notify. Spreparowany link do endpointu paypal notify, jeśli zostanie otwarty przez przeglądarkę ofiary, powoduje, że przekierowanie do kontrolera checkout com_j2store przenosi parametry wybrane przez atakującego.

Rozszerzenie Joomla J2Store w wersjach 1.0.0-3.3.2, 4.0.0-4.0.22, 4.1.0-4.1.7 używa przewidywalnego/możliwego do podrobienia tokenu dostępu do zamówienia. Każdy, kto zna sekret Joomla, może obliczyć ważny token dostępu dla dowolnego zamówienia bez jego składania, uzyskując dostęp gościa do szczegółów zamówienia i cyfrowych pobrań.

Concrete CMS przed wersją 9.5.3 jest podatny na Cross-Site Request Forgery (CSRF) w funkcji aktywacji szablonów stron motywu. Akcja activate_files() w kontrolerze Dashboard theme Inspect tworzyła rekordy PageTemplate z wartości pageTemplates[] dostarczonych przez atakującego bez walidacji tokena anty-CSRF. Zdalny atakujący mógł umieścić stronę, która automatycznie wysyłała sfałszowane żądanie POST; gdy zalogowany administrator ją odwiedził, żądanie wykonywało się w sesji administratora, zmieniając konfigurację witryny bez jego zgody.

Concrete CMS 8.5.3 do 9.5.2 umożliwiał grant odświeżania tokena OAuth 2.0 przy użyciu niezmodyfikowanego grantu League, który wydawał nowe tokeny dostępu z ważnego tokena odświeżania bez ponownego sprawdzania statusu aktywnego konta. Użytkownik, który uzyskał token odświeżania, gdy był aktywny, mógł kontynuować generowanie ważnych tokenów dostępu po dezaktywacji lub zawieszeniu (uIsActive=0), więc dezaktywacja konta nie odwoływała jego dostępu API.

Concrete CMS w wersjach poniżej 9.5.3 zawiera podatność Cross-Site Request Forgery w akcji reset() na stronie SEO Excluded Words w panelu administracyjnym. Akcja czyściła listę zastrzeżonych słów skonfigurowaną przez administratora, nie weryfikując tokenu anty-CSRF ani nie ograniczając żądania do metody POST. Atakujący mógł nakłonić uwierzytelnionego użytkownika z dostępem do SEO do odwiedzenia spreparowanej strony, co przywracało domyślną listę słów i po cichu zmieniało przyszłe generowanie slugów URL.

Concrete CMS w wersjach poniżej 9.5.3 nie weryfikuje tokenu anty-CSRF na endpointcie backendowym służącym do aranżacji bloków (akcja arrange() w Concrete\Controller\Backend\Page\ArrangeBlocks). Akcja wymuszała uprawnienia do edycji strony, ale nie sprawdzała tokenu, a jej trasa akceptowała dowolną metodę HTTP. Atakujący mógł nakłonić zalogowanego edytora treści do załadowania spreparowanej strony, która automatycznie wysyłała żądanie cross-site i zmieniała kolejność lub przenosiła bloki w wersji roboczej strony.

Problem w Webkul Bagisto 2.4.9 pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez API add-to-cart oraz komponenty realizacji pobierania.

W systemie Arista EOS, w pewnych okolicznościach, hasła współdzielone (shared secrets) dla skonfigurowanych serwerów TACACS+ mogą być przechowywane lub ujawniane w postaci jawnej. Problem dotyczy platform z tym systemem.

W systemie Arista EOS, w pewnych okolicznościach, hasła użytkowników mogą być zapisywane w postaci jawnej w plikach logów, gdy specjalistyczne, niestandardowe poziomy śledzenia debugowania są wyraźnie włączone. Wykorzystanie wymaga już posiadania uwierzytelnionego lokalnego dostępu administracyjnego do powłoki urządzenia.

W systemie Arista EOS, w pewnych okolicznościach, prywatne klucze mogą być zapisywane w postaci jawnej w plikach logów, gdy specjalistyczne, niestandardowe poziomy śledzenia debugowania są wyraźnie włączone. Wykorzystanie wymaga już posiadania uwierzytelnionego lokalnego dostępu administracyjnego do powłoki urządzenia.

W systemie Arista EOS na platformach z podwójnymi kartami przełącznika i skonfigurowanymi przychodzącymi listami ACL Security na przełączanych interfejsach wirtualnych (SVI) w trybie współdzielonym, restart agenta przekazywania pomocniczej karty przełącznika lub włożenie pomocniczej karty przełącznika może spowodować, że listy ACL Security na współdzielonych SVI przestaną działać. Może to skutkować nieprawidłowym zachowaniem zezwalania/odrzucania pakietów.

Http4s to interfejs Scala dla usług HTTP. W wersjach przed 0.23.35 i 1.0.0-M47 dekoder fragmentów (chunk decoder) w Ember przycina token rozmiaru fragmentu i akceptuje wiodące znaki plus lub minus zamiast wymagać co najmniej jednej cyfry szesnastkowej zakończonej wymaganym CRLF. Gdy pośrednik przekazuje dane fragmentaryczne bez ponownego kodowania i interpretuje nieprawidłowe granice fragmentów inaczej, nieuwierzytelniony atakujący może przeprowadzić przemyt żądań TE.TE, omijając kontrolę pośrednika, zatruwając pamięci podręczne lub przejmując kolejkę żądań.

Http4s to interfejs Scala dla usług HTTP. W wersjach przed 0.23.35 i 1.0.0-M47 oprogramowanie pośredniczące klienta CookieJar przechowuje atrybut Domain pliku cookie odpowiedzi bez sprawdzenia, czy pasuje on do hosta, który dostarczył plik cookie, ani bez odrzucania sufiksów publicznych. Złośliwy lub przejęty serwer kontaktowany przez ten sam CookieJar może zasadzić plik cookie dla innej domeny, a następnie jar wysyła ten plik cookie do domeny ofiary, umożliwiając utrwalenie sesji lub nadpisanie wrażliwych plików cookie.