Katalog podatności CVE

EFAK do wersji 5.1.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zarządzać kontami, ponieważ endpointy /api/users nie mają kontroli roli administratora. Atakujący może wysyłać żądania POST, PUT lub DELETE do UserController, aby przyznać sobie ROLE_ADMIN, tworzyć administratorów lub usuwać użytkowników, przejmując kontrolę nad zarządzanymi klastrami Kafka.

APIPark do wersji 1.9.7-beta zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym menedżerom zespołów na dostęp do usług i aplikacji innych zespołów poprzez podanie własnego identyfikatora zespołu w parametrze zapytania team. Atakujący może wskazać identyfikatory usług lub aplikacji ujawnione przez /api/v1/simple/services i /api/v1/simple/apps, aby czytać, modyfikować lub usuwać usługi i aplikacje innych zespołów poprzez endpointy /api/v1/service/info i /api/v1/app.

Ekko Studio do wersji 0.7.36 zawiera lukę braku autoryzacji, która pozwala dowolnemu uwierzytelnionemu użytkownikowi niebędącemu super_adminem wyświetlać i czyścić blokady logowania na całym serwerze poprzez /api/auth/locked-ips. Atakujący mogą wysyłać żądania DELETE bez parametru ip, aby wywołać unlockAll(), wyłączając ogranicznik szybkości logowania podczas zgadywania hasła do kont super_admin.

Antiword do wersji 0.37 zawiera lukę polegającą na odczycie poza zakresem stosu w funkcjach vGet8PapInfo i vGet8ChrInfo w pliku prop8.c, ponieważ liczniki FKP i przesunięcia grpprl nie są ograniczane. Atakujący może dostarczyć spreparowany plik .doc ze złośliwymi stronami FKP, aby odczytać dane poza buforem stosu o rozmiarze 512 bajtów, powodując awarię antiword lub uszkodzenie parsowania stylów.

Antiword do wersji 0.37 zawiera lukę odczytu poza granicami sterty w vGet8LstInfo w prop8.c, spowodowaną odwróconym sprawdzeniem granic na liczbie rekordów PlcfLst. Atakujący mogą dostarczyć spreparowany plik Word 8 .doc, który deklaruje do 0xffff rekordów LSTF w małym buforze, powodując odczyty poza alokacją sterty, które crashują proces.

Faveo Helpdesk do wersji 2.0.3 zawiera podatność typu broken access control, która pozwala uwierzytelnionym agentom odczytywać zgłoszenia z innych działów poprzez handler getTooltip. Atakujący może enumerować kolejne wartości ticketid w żądaniu GET /ticket/tooltip, aby czytać konwersacje zgłoszeń, w tym dane osobowe klientów i wewnętrzne notatki agentów.

Course-tencent-cloud do wersji 2.0.1 zawiera lukę niewłaściwego ograniczenia prób uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na brute force 6-cyfrowych kodów weryfikacyjnych SMS/e-mail, które nigdy nie są unieważniane ani ograniczane liczbą prób. Atakujący znający telefon lub e-mail ofiary może wygenerować kod i rotować adresy IP przeciwko endpointom resetowania hasła i weryfikacji logowania, aby przejąć konta.

Tbed do wersji 20240319 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi zmieniać nazwy obrazów innych użytkowników poprzez endpoint /admin/setImgFileName. Atakujący może podać imgname ofiary, ujawnione w publicznych URL-ach obrazów i listingach albumów, aby nadpisać nazwy wyświetlane wybranym przez siebie tekstem przypisanym ofierze.

IceCMS do wersji 4.1.5 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym modyfikować, usuwać lub wyłączać dowolne konta, ponieważ ścieżka /User/** jest wykluczona z filtra Shiro jwt. Atakujący może wysłać żądanie PUT do /User/updateUser, aby ustawić nowe hasło i rolę dla dowolnego userId, w tym administratorów, co umożliwia pełne przejęcie konta.

Cube-studio do wersji 2026.09.01 zawiera podatność braku autoryzacji w myapp/views/view_pipeline.py, która pozwala uwierzytelnionym użytkownikom przeglądać lub kopiować pipeline'y innych grup projektowych po identyfikatorze. Atakujący może enumerować kolejne identyfikatory pipeline'ów przez endpointy web, log, monitoring, pod i copy_pipeline, ujawniając DAG-i, nazwy klastrów, przestrzenie nazw, identyfikatory workflow Argo i nazwy podów, albo klonować pipeline'y.

Cube-studio do wersji 2026.09.01 zawiera podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionym użytkownikom zatrzymywać, resetować, czyścić lub ponownie wdrażać notebooki i usługi innych użytkowników, podając ich identyfikatory. Atakujący mogą przekazywać sekwencyjne identyfikatory do endpointów cyklu życia w plikach view_notebook.py, view_inferenceserving.py i view_serving.py, aby usuwać pody i wyłączać produkcyjne endpointy wnioskowania.

ClickVisual do wersji 1.1.2 zawiera podatność braku autoryzacji w handlerach /api/v2/reports, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach uzyskać dostęp do instancji ClickHouse, do których nie zostali upoważnieni. Atakujący może iterować parametr instance-id w ReportSourceDatabases, ReportSourceTables, ReportTableColumns i WhereCheckRun, aby enumerować schematy i wnioskować o liczbie wierszy w zastrzeżonych tabelach.

ZR.Admin.NET do wersji 3.8.2 zawiera podatność SQL injection, która pozwala uwierzytelnionym atakującym manipulować klauzulą ORDER BY poprzez dostarczenie spreparowanego parametru PagerInfo.Sort do wspólnego helpera stronicowania ToPage. Atakujący posiadający uprawnienie system:user:list może wstrzykiwać podzapytania lub wyrażenia CASE przez GET /system/user/list, aby metodami ślepymi wyodrębnić zawartość bazy danych, taką jak przechowywane poświadczenia.

AIHelms do wersji 0.1.25 zawiera podatność braku autoryzacji w apps/api/v1/efficiency.py, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach obejść kontrole uprawnień efficiency:read i efficiency:write. Atakujący może odpytywać trasy takie jak /cost/detail, /top-users i /budget, aby odczytać wydatki AI całej organizacji, a także modyfikować statusy sugestii lub generować raporty.

REBUILD do wersji 4.5.0 zawiera podatność braku autoryzacji w TaskCommentController.commentList, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach czytać komentarze do zadań bez sprawdzania przynależności do projektu. Atakujący może podać identyfikator zadania z prywatnego projektu do endpointu /project/comments/list, aby uzyskać treść komentarzy i odwołania do załączników.

Steedos Platform do wersji 3.0.15-beta.51 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać definicje raportów innych najemców poprzez odpytywanie obiektu reports. Ponieważ callAdapter w objectql pomija filtrowanie przestrzeni dla obiektów enable_space_global przy find/findOne, atakujący może wywołać GET /api/v1/reports, aby ujawnić nazwy raportów, opisy oraz nazwy API obiektów i pól.

Piranha CMS do wersji 12.2 zawiera podatność braku autoryzacji w Piranha.Manager LanguageApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi menedżera wyświetlać, tworzyć, edytować i usuwać języki witryny bez szczegółowych uprawnień Language, LanguageAdd, LanguageEdit lub LanguageDelete. Atakujący może bezpośrednio wywoływać akcje Get, Save i Delete w manager/api/language, aby usuwać języki i przypisywać witryny do domyślnego, wpływając na zlokalizowaną treść w całej instancji.

Safing Portmaster przed wersją 2.2.5 zawiera podatność braku autoryzacji, która pozwala nieuprzywilejowanym procesom lokalnym wymuszać aktualizacje poprzez wywołanie endpointu POST /api/v1/updates/from-url zarejestrowanego z api.PermitAnyone. Atakujący może podać kontrolowany przez siebie URL indeksu, który omija sprawdzanie wersji i ustawienia automatycznego stosowania, instalując starsze wydania podpisane przez Safing zawierające wcześniej naprawione podatności.

Chaskiq do wersji 2.0.3 zawiera podatność typu Server-Side Request Forgery (SSRF), która pozwala nieuwierzytelnionym atakującym pobierać dowolne adresy URL poprzez mutację GraphQL createUrlUpload. Atakujący mogą przesyłać wewnętrzne adresy URL, w tym endpointy metadanych instancji chmurowych, przez POST /graphql i odczytać pełną odpowiedź za pośrednictwem zwróconego adresu URL obiektu ActiveStorage.

Chaskiq do wersji 2.0.3 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym zmusić serwer do pobierania dowolnych adresów URL poprzez parametr url w punkcie końcowym /oembed. Atakujący mogą kierować żądania do adresów loopback, prywatnych lub metadanych chmurowych przez FetchLinkCardService, który podąża za przekierowaniami i pomija weryfikację TLS, aby odczytać tytuły i opisy wewnętrznych stron.