Katalog podatności CVE

FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego spowodowaną bezskutecznym przedefiniowaniem escapeshellcmd() w CLI.php, które usuwa escapowanie metaznaków powłoki. Atakujący może wykorzystać to interaktywnie przez image_preview.php ze spreparowanym parametrem args (wymaga uprawnień superużytkownika) lub trwale, zapisując złośliwe ładunki w thumbnails_ffmpeg_args lub thumbnails_ffmpeg_ss, które wykonują się przy generowaniu miniatur wideo przez dowolnego użytkownika.

FileRun przed wersją 2026.3.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w handlerze PhotoProofSheet. Uwierzytelniony użytkownik z uprawnieniem do przesyłania plików może wykonać dowolne polecenia, przesyłając pliki z metaznakami powłoki w nazwie, takimi jak backticki, średniki lub sekwencje $(), a następnie wywołując endpoint PhotoProofSheet. Wynika to z braku sanityzacji escapeshellarg() w konstrukcji polecenia montage ImageMagick.

Anchor CMS do wersji 0.12.7 włącznie nie egzekwuje kontroli dostępu opartej na rolach w endpointach zarządzania użytkownikami w panelu administracyjnym. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może bezpośrednio wysłać żądanie POST do admin/users/add lub admin/users/edit, aby utworzyć konto administratora lub zmienić hasło istniejącego administratora.

knowns do wersji 0.33.0 włącznie bezwarunkowo zwalnia akcję project.set z kontroli uprawnień. Sesje agenta z uprawnieniami tylko do odczytu mogą obejść ograniczenia, wywołując project.set, aby wskazać serwerowi inny katalog projektu i uzyskać możliwość zapisu.

Narzędzie knowns w wersjach do 0.33.0 nieprawidłowo waliduje ścieżki docelowe szablonów w silniku generowania kodu, co pozwala na odczyt i zapis dowolnych plików poza katalogiem projektu. Atakujący może dostarczyć złośliwe szablony wykorzystujące przechodzenie katalogów (path traversal) do nadpisania profili powłoki, kradzieży poświadczeń lub trwałego wykonania kodu na systemie ofiary.

W rclone od wersji 1.64.0 do 1.75.1 sterownik FTP auth-proxy przechowuje jedno zaciemnione hasło na nazwę użytkownika w globalnej mapie userPass, zamiast wiązać poświadczenia z sesją. Jeśli dwie zaakceptowane poświadczenia mają tę samą nazwę użytkownika, ale różne backendy proxy, późniejsze logowanie nadpisuje hasło i pierwsza sesja jest ponownie autoryzowana z uprawnieniami drugiego backendu, co pozwala na nieautoryzowany dostęp do operacji na plikach.

W rclone przed wersją 1.75.1, gdy backend lokalny działa z opcją --links, źródłowy obiekt .rclonelink może utworzyć dowiązanie symboliczne w miejscu docelowym, a następnie metadane katalogu są stosowane przez tę ścieżkę. Funkcje MkdirMetadata, writeMetadataToFile i setTimes mogą ominąć ograniczenia os.Root i podążyć za dowiązaniem, co pozwala atakującemu kontrolującemu źródło na zastosowanie wybranego właściciela, uprawnień, czasów modyfikacji lub utworzenia do pliku lub katalogu poza miejscem docelowym.

Traefik to otwartoźródłowy odwrotny serwer proxy i load balancer. W wersjach przed 2.11.56 oraz od 3.0.0 do 3.7.12 nagłówek w formie z kropkami dostarczony przez klienta, taki jak X.Authenticated.User, przechodzi przez zastąpienie ForwardAuth i underscoreHeadersStrategy, ponieważ Go traktuje go jako odrębny od X-Authenticated-User, podczas gdy backendy CGI, WSGI, PHP i NGINX podatne na normalizację łączą obie nazwy. Backend może w konsekwencji użyć wartości klienta zamiast tożsamości potwierdzonej przez Traefik, umożliwiając podszywanie się pod tożsamość dla dowolnego nagłówka zarządzanego przez Traefik. Ochrona aliasHeadersStrategy jest domyślnie wyłączona i musi być skonfigurowana jako delete lub reject. Środek zaradczy jest dostępny w wersjach 2.11.56 i 3.7.12.

W Traefik przed wersjami 2.11.57 i 3.7.13 akceptowany jest bezrootowy cel żądania HTTP/1, który Go przechowuje w URL.Opaque, pozostawiając URL.Path pusty. Ścieżka rewriteRequestBuilder ocenia routing, sanityzację ścieżki, forwardAuth, encodedCharacters i logowanie dostępu na podstawie ścieżki znormalizowanej do /, ale przekazuje URL.Opaque dosłownie do backendu, co pozwala na obejście routingu między wirtualnymi hostami, obejście autoryzacji opartej na ścieżce i unikanie logów dostępu.

Zdalny, uwierzytelniony użytkownik panelu administracyjnego Craft CMS bez uprawnień administratora, posiadający jedynie uprawnienie accessCp, może wykonywać polecenia systemu operacyjnego jako proces roboczy PHP.

W NI SystemLink występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnej (cleartext). Atakujący z dostępem lokalnym może uzyskać dostęp do tych niezabezpieczonych danych. Podatność dotyczy wersji NI SystemLink i NI SystemLink Server starszych niż 2026 Q3.

Podatność nieprawidłowej kontroli dostępu w oprogramowaniu NI SystemLink, która może pozwolić uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami na dostęp do plików i katalogów systemu operacyjnego, które powinny być zastrzeżone. Problem dotyczy wersji NI SystemLink i NI SystemLink Server wcześniejszych niż 2026 Q3.

W backendzie administracyjnym gvfs wykryto lukę. Uprzywilejowany demon gvfsd-admin zmienia właściciela nowo utworzonych prywatnych gniazd D-Bus, wywołując podążającą za dowiązaniami funkcję chown() na ścieżce w katalogu kontrolowanym przez użytkownika. Lokalny atakujący może wykorzystać warunek wyścigu TOCTOU i podmienić ścieżkę gniazda na dowiązanie symboliczne wskazujące na dowolny plik należący do roota, co prowadzi do zmiany właściciela tego pliku na identyfikator atakującego i pełnej eskalacji uprawnień do roota.

W Traefik od wersji 3.2.0 do 3.7.13, mechanizmy obronne punktu wejścia aliasHeadersStrategy, underscoreHeadersStrategy i forwardedHeaders sprawdzają req.Header, ale nie req.Trailer, co pozwala nieuwierzytelnionemu klientowi na przesłanie nazwy nagłówka aliasującego lub zaufanego w trailerze HTTP/1.1 chunked lub HTTP/2. Gdy middleware retry lub buforujące odczytuje ciało przed sklonowaniem żądania przez reverse proxy, wartość trailera kontrolowana przez atakującego dociera do backendu, który scala trailery z przestrzenią nazw nagłówków, omijając udokumentowane zachowanie usuwania lub odrzucania i potencjalnie podszywając się pod tożsamość lub przekierowując dane routingu.

Wtyczka WordPress WP Fast Total Search w wersjach do 1.82.284 zawiera podatność typu Broken Access Control. Nieuwierzytelniony atakujący może obejść mechanizmy kontroli dostępu.

Wtyczka WordPress WPAdverts w wersjach do 2.3.3 zawiera podatność typu Cross Site Scripting (XSS). Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

Wtyczka WordPress WPCS w wersjach do 1.3.2 zawiera podatność typu Cross Site Scripting (XSS). Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

Wtyczka SiteSkite w wersjach do 2.1.5 zawiera podatność typu Privilege Escalation. Nieuwierzytelniony atakujący może podnieść swoje uprawnienia.

Wtyczka ZHBackup – Backup, Restore & Migration w wersjach do 2.4.2 zawiera podatność typu Sensitive Data Exposure. Nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych.

Wtyczka RepairBuddy w wersjach do 4.1224 zawiera podatność typu Remote Code Execution (RCE). Atakujący z uprawnieniami subskrybenta może zdalnie wykonać kod.