Katalog podatności CVE

Interfejs przyjmujący przesyłanie plików od uwierzytelnionych użytkowników rozpakowuje zawartość przesłanych archiwów bez sprawdzenia, czy wyodrębnione ścieżki plików pozostają w docelowym katalogu. Umożliwia to uwierzytelnionemu atakującemu przygotowanie archiwum, którego wpisy wychodzą poza katalog docelowy, powodując zapis plików w dowolnych lokalizacjach z uprawnieniami tego procesu.

Interfejs webowy odzwierciedla część adresu URL żądania w kontekście skryptu oraz w atrybucie hiperłącza bez odpowiedniego kodowania, a dostęp do niego nie wymaga uwierzytelnienia. Umożliwia to nieuwierzytelnionemu atakującemu sieciowemu utworzenie linku, który po odwiedzeniu przez użytkownika wykonuje dowolny skrypt w kontekście aplikacji i może przekierować przeglądarkę na dowolną zewnętrzną stronę.

ZoneMinder w wersjach przed 1.36.39, 1.38.4 i 1.39.11 pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach z gruboziarnistymi uprawnieniami Events=View i/lub Snapshots=View na bezpośrednie pobieranie mediów zdarzeń należących do monitorów, do których nie ma dostępu. Normalny interfejs ukrywa zastrzeżony monitor, ale bezpośrednie widoki mediów zdarzeń akceptują dowolny eid i strumieniują media bez egzekwowania ACL na poziomie zdarzenia/monitora.

Doco-CD to narzędzie GitOps do automatycznego wdrażania projektów Docker Compose i stosów Swarm. W wersjach przed 0.90.1 występuje błąd granicy zaufania w weryfikacji artefaktów OCI — konfiguracja wdrożenia zawarta w artefakcie (plik `.doco-cd.yml` z `oci.verify: false`) mogła wpływać na politykę weryfikacji tego samego artefaktu. Przy włączonej globalnej weryfikacji podpisów OCI (`OCI_TRUST_POLICY` z `enabled: true`) atakujący z prawem zapisu do tagu OCI mógł opublikować niepodpisany lub niepoprawnie podpisany artefakt, co prowadziło do obejścia weryfikacji podpisu i wdrożenia niezaufanej treści.

Hoverfly w wersjach przed 1.12.8 używa http.DefaultClient bez konfiguracji limitu czasu dla zdalnych akcji post-serve. Gdy zdalny punkt końcowy jest nieosiągalny lub celowo powolny, każde wywołane żądanie proxy tworzy goroutine, która blokuje się na czas nieokreślony na http.DefaultClient.Do().

Kimai w wersjach przed 2.58.0 zawiera uwierzytelnione problemy z cross-site request forgery w domyślnych skrótach tworzenia zespołów dla projektów, klientów i działań. Punkty końcowe są dostępne przez trasy GET i bezpośrednio tworzą lub ponownie wykorzystują zespół, dodają bieżącego użytkownika jako lidera zespołu i wiążą obiekt docelowy z tym zespołem.

OpenTelemetry eBPF Profiler w wersjach od 0.0.202527 do przed 0.0.202622 pozwala nieuprzywilejowanemu procesowi spowodować, że profiler otworzy nieregularny plik mapowania, taki jak FIFO, i zablokuje się na czas nieokreślony, uniemożliwiając dalszą analizę ELF i powodując odmowę usługi.

matrix-sdk-crypto w wersjach od 0.12.0 do przed 0.17.0 pomijał sprawdzenie identyfikatora użytkownika podczas odszyfrowywania zdarzenia zaszyfrowanego Olm zawierającego właściwość sender_device_keys. Może to być wykorzystane do sfałszowania zaszyfrowanego zdarzenia to-device, ale tylko jeśli atakujący współpracuje z operatorem homeservera.

Concrete CMS w wersjach poniżej 9.5.3 jest podatny na trwały XSS poprzez pole Date Format w bloku Page Attribute Display. Użytkownik z uprawnieniem edit_page_contents może zapisać złośliwy kod, który wykona się w przeglądarce każdego odwiedzającego stronę, na której blok wyświetla atrybut typu data.

Concrete CMS w wersjach poniżej 9.5.3 nie stosuje escapowania HTML dla pól opisu pliku i tagów podczas renderowania bloku Document Library. Użytkownik mogący edytować właściwości plików może zapisać złośliwy skrypt, który wykona się w przeglądarce każdego odwiedzającego stronę z włączoną kolumną opisu lub tagów, w tym niezalogowanych.

API bloków Concrete CMS w wersjach 9.2.0 do 9.5.2 nie wywoływało metody validate() kontrolera typu bloku dla przesłanych danych, co dla bloków odwołujących się do plików (np. hero_image, gallery) pozwalało na zapisanie i wyświetlenie odwołania do pliku, który normalnie zostałby odrzucony przez politykę autoryzacji menedżera plików. Ujawnia to URL i podgląd pliku edytorowi oraz odwiedzającym stronę.

Dobase w wersjach przed 2026.06.03 ma podatność typu stored DOM-based XSS w publicznej, niezalogowanej galerii obrazów udostępnionego folderu. Nazwa pliku jest w pełni kontrolowana przez atakującego i nie jest sanityzowana, co pozwala na wykonanie złośliwego kodu w przeglądarce każdego, kto ma publiczny link do udostępnienia.

Mousehole w wersjach przed 0.4.05 ma granicę zarządzania HTTP/WebSocket dostępną bez uwierzytelniania aplikacji lub sprawdzania pochodzenia przeglądarki/LAN. Usługa przechowuje ciasteczko sesji MyAnonamouse (MAM) i używa tej samej serializacji z ciasteczkiem dla stanu, odpowiedzi API i aktualizacji WebSocket, co pozwala każdemu klientowi z dostępem do portu odczytać stan, zastąpić ciasteczko lub wymusić efekty uboczne aktualizacji MAM.

Kimai w wersjach przed 2.58.0 zawiera podatność typu server-side request forgery (SSRF) w procesie podglądu i generowania faktur PDF. Jeśli atakujący kontroluje treść Markdown renderowaną do faktury PDF, np. Customer.invoiceText, serwerowy renderer PDF pobiera zdalne adresy URL obrazów osadzonych w składni Markdown, co pozwala na wysyłanie żądań do celów kontrolowanych przez atakującego lub wewnętrznych.

OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.

ArduinoCore-avr w wersjach przed 1.8.8 pozwala atakującemu wywołać przepełnienie bufora na stosie podczas łączenia wartości zmiennoprzecinkowych o dużej magnitudzie z obiektem Arduino String. Przekazanie wartości bliskich skrajnych zakresów float lub double do String::concat(float), String::concat(double), String::operator+=() lub operatora + powoduje, że dtostrf() zapisuje poza buforem stosu, prowadząc do uszkodzenia pamięci i odmowy usługi.

matrix-sdk-ui w wersjach przed 0.17.0 ma brak sprawdzenia w logice walidacji edycji wiadomości: przy zastępowaniu zaszyfrowanego zdarzenia zdarzenie zastępujące nie musi być zaszyfrowane. Umożliwia to złośliwym administratorom serwera domowego (lub podmiotom o równoważnej władzy) podszywanie się lub fałszowanie wiadomości jako wysłanych przez ofiarę.

Funkcja Kiro Powers w Amazon Kiro IDE przed wersją 0.8.135 pozwala na włączenie funkcjonalności z niezaufanej strefy kontroli. Złośliwa zawartość repozytorium może zmodyfikować plik ustawień workspace, przekierowując żądanie rejestru Kiro Powers do punktu końcowego kontrolowanego przez atakującego i wysyłając dane workspace po otwarciu panelu Powers.

Concrete CMS przed wersją 9.5.3 sprawdzał autoryzację dla zgłoszenia wpisu Express względem encji opublikowanego formularza, a nie encji zidentyfikowanej przez trasę dashboardu. Użytkownik uprawniony do dodawania wpisów w jednym obiekcie Express mógł tworzyć wpisy w innym obiekcie Express poza swoim zakresem uprawnień.

Concrete CMS poniżej wersji 9.5.3 nie wykonuje sprawdzenia autoryzacji na poziomie obiektu podczas aktualizacji typu strony. Kontroler Types::submit() ładował i zapisywał typ strony zidentyfikowany przez ptID dostarczony przez użytkownika bez wywołania canEditPageType(), umożliwiając zalogowanemu użytkownikowi dashboardu modyfikację konfiguracji typów stron poza jego granicami uprawnień.