Katalog podatności CVE

Nagios XI przed wersją 2024R1.1.3 nie unieważniał wszystkich innych aktywnych sesji użytkownika po zmianie jego hasła. W rezultacie istniejące wcześniej sesje (w tym potencjalnie kontrolowane przez atakującego) pozostawały ważne po aktualizacji poświadczeń. Niewystarczające wygasanie sesji może umożliwić dalszy nieautoryzowany dostęp do danych i działań użytkownika nawet po zmianie hasła.

Nagios XI przed wersją 2024R1.1.2 ma brak kontroli autoryzacji, gdy włączona jest opcja 'Allow Insecure Logins'. W tej konfiguracji każdy użytkownik może tworzyć poprawne dane logowania dla innych użytkowników bez odpowiedniej autoryzacji.

System Anheng Mingyu Operation and Maintenance Audit and Risk Control System w wersjach do 2023-08-10 zawiera podatność server-side request forgery (SSRF) w obsłudze xmlrpc.sock. Produkt przyjmuje spreparowane żądania XML-RPC, które mogą nakłonić serwer do połączenia się z wewnętrznymi unix socket RPC i wykonania uprzywilejowanych metod XML-RPC.

Nagios XI w wersjach przed 2012R1.3 zawiera podatność SQL injection w interfejsie Core Configuration Manager (CCM). Uwierzytelniony użytkownik może manipulować zapytaniami SQL, dostarczając spreparowane dane wejściowe do określonych parametrów CCM, co może pozwolić na dostęp do danych konfiguracyjnych w bazie aplikacji.

JumpServer w wersjach przed v3.10.20-lts i v4.10.11-lts pozwala uwierzytelnionemu, nieuprzywilejowanemu użytkownikowi pobrać tokeny połączeń innych użytkowników przez endpoint API super-connection. Endpoint zwraca tokeny utworzone przez wszystkich użytkowników zamiast ograniczać wyniki do tokenów należących do żądającego. Problem naprawiono w wersjach v3.10.20-lts i v4.10.11-lts.

W produktach BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 występuje brak prawidłowej obsługi błędów, co skutkuje odpowiedziami HTTP 5xx. Problem dotyczy wersji do 1.19.5 włącznie.

W produktach BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 występują systemowe wewnętrzne błędy serwera skutkujące odpowiedziami HTTP 500. Problem dotyczy wersji do 1.19.5 włącznie.

Zidentyfikowano krytyczną podatność w roli ALPR Manager w systemie Security Center, która może umożliwić atakującym uzyskanie dostępu administracyjnego do systemu Genetec Security Center. Problem został odkryty wewnętrznie przez zespół inżynieryjny Genetec.

Omni-tools w wersji 0.4.0 jest podatny na zdalne wykonanie kodu z powodu niebezpiecznej deserializacji JSON. Atakujący może wykorzystać tę podatność do uruchomienia dowolnego kodu na zdalnym systemie.

Podatność typu Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) pozwala atakującym na uruchomienie dowolnego kodu JavaScript poprzez odbity XSS w polach wyszukiwania. Problem dotyczy Container suse/manager/5.0/x86_64/server:latest w wersjach przed 5.0.28-150600.3.36.8 oraz SUSE Manager Server LTS 4.3 w wersjach przed 4.3.88-150400.3.113.5.

Zidentyfikowano podatność w NeuVector, gdzie egzekutor używał zmiennych środowiskowych CLUSTER_RPC_PORT i CLUSTER_LAN_PORT do generowania polecenia wykonywanego za pomocą popen, bez wcześniejszej walidacji ich wartości. To może umożliwić złośliwemu użytkownikowi wstrzyknięcie złośliwych poleceń przez te zmienne w kontenerze egzekutora.

W jądrze Linux w module CIFS funkcja parse_dfs_referrals nie sprawdza poprawności odpowiedzi z serwera SMB. Złośliwy serwer może wysłać odpowiedź mniejszą niż oczekiwana lub z nieprawidłową liczbą odnośników, co prowadzi do odczytu poza zakresem pamięci (out-of-bounds).

Podatność CVE-2025-11202 dotyczy win-cli-mcp-server i pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji ciągu dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

W MLflow Tracking Server występuje podatność typu directory traversal przy tworzeniu modeli, umożliwiająca zdalne wykonanie kodu. Atakujący nie musi się uwierzytelniać; problem wynika z braku walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Atakujący może wykorzystać tę lukę do wykonania kodu w kontekście konta usługi.

W MLflow występuje podatność polegająca na słabych wymaganiach dotyczących haseł, umożliwiająca obejście uwierzytelniania. Atakujący nie musi się uwierzytelniać; problem wynika ze słabych wymagań dotyczących haseł i może zostać wykorzystany do obejścia uwierzytelniania w systemie.

W wersjach Zitadel od 2.53.6, 2.54.3 i 2.55.0 wymagane było uwierzytelnianie wieloskładnikowe tylko wtedy, gdy polityka logowania miała włączone requireMFA lub requireMFAForLocalUsers. Jeśli użytkownik skonfigurował MFA bez tego wymogu, Zitadel uznawał sesje z pojedynczym składnikiem za ważne i nie wymagał wielu składników. Pominięcie drugiego składnika osłabia MFA i umożliwia atakującemu obejście bezpieczniejszego składnika, np. atak na sam kod TOTP (sześć cyfr) z pominięciem weryfikacji hasła. Podatność naprawiono w wersjach 4.6.0, 3.4.3 i 2.71.18.

Zitadel przed wersjami 4.6.0, 3.4.3 i 2.71.18 pozwala atakującemu na przeprowadzenie ataku brute-force online na OTP, TOTP i hasła. Mechanizm blokady konta, który może temu zapobiec, nie jest domyślnie włączony i może powodować odmowę usługi dla danego użytkownika, jeśli zostanie włączony. Ponadto strategie mitygacji nie zostały w pełni wdrożone w nowszych API opartych na zasobach.

Urządzenia BLU-IC2 i BLU-IC4 do wersji 1.19.5 mają niezgodną konfigurację TLS. Może to osłabić bezpieczeństwo komunikacji.

Urządzenia BLU-IC2 i BLU-IC4 ujawniają informacje o wersji serwera. Problem dotyczy wersji do 1.19.5 włącznie.

W urządzeniach BLU-IC2 i BLU-IC4 występuje zasób pozbawiony uwierzytelniania (AuthN). Problem dotyczy wersji do 1.19.5 włącznie.