Katalog podatności CVE

Odroczone ścieżki kodu dostawcy SFTP w Apache Airflow (SFTPTrigger, SFTPHookAsync, SFTPClientPool) domyślnie wyłączają weryfikację klucza hosta SSH, chyba że połączenie jawnie ustawi no_host_key_check na false. Problem dotyczy wdrożeń uruchamiających sensory lub operatory SFTP w trybie odroczonym.

Hook SSH w Apache Airflow domyślnie wyłącza weryfikację klucza hosta SSH — jeśli parametr `host_key` nie jest skonfigurowany lub `no_host_key_check` nie jest ustawione na false, akceptowany jest dowolny klucz serwera. Dotyczy to połączeń SSH i SFTP korzystających z domyślnych ustawień. Atakujący w pozycji man-in-the-middle między workerem a serwerem SSH/SFTP może podszyć się pod serwer i przechwycić dane uwierzytelniające lub przesyłane dane.

W providerze Keycloak dla Apache Airflow funkcja wielozespołowego provisioningu (`_attach_team_permissions`) przyznawała każdej roli zespołu globalny dostęp do odczytu dzienników audytu. Wdrożenia z włączonym trybem wielozespołowym i menedżerem uwierzytelniania Keycloak są narażone — każdy uwierzytelniony członek jednego zespołu mógł odczytywać zdarzenia audytu innych zespołów przez UI lub API dziennika zdarzeń.

W ClassroomIO do wersji 1.0.0 występuje podatność nieprawidłowej autoryzacji w trasach PUT i DELETE /:lessonId, która pozwala każdemu członkowi kursu, w tym studentom, modyfikować lekcje. Uwierzytelnieni studenci mogą podawać dowolne identyfikatory lekcji, aby zmieniać tytuły i przechowywaną treść HTML lub usuwać lekcje w swoim kursie oraz w innych kursach i organizacjach.

ClassroomIO w wersji do 1.0.0 zawiera podatność typu insecure direct object reference w trasach API Hono dotyczących zgłoszeń kursowych, która pozwala tutorom lub administratorom kursu modyfikować zgłoszenia w innych kursach. Atakujący może podać własny identyfikator kursu wraz z UUID zgłoszenia z innego kursu do handlerów PUT lub DELETE, aby nadpisać odpowiedzi, oceny, opinie i status oceniania albo usunąć zgłoszenia.

BillionMail w wersji do 4.9 zawiera podatność polegającą na użyciu zakodowanego na stałe klucza kryptograficznego, co pozwala nieuwierzytelnionym atakującym sfałszować tokeny JWT do wypisywania i potwierdzania subskrypcji poprzez obliczenie klucza na podstawie dostarczonych stałych konfiguracyjnych. Atakujący może przesłać sfałszowane tokeny do /api/unsubscribe, /api/unsubscribe_new lub /api/subscribe/confirm, aby dezaktywować dowolny kontakt lub wymusić potwierdzone subskrypcje.

W cool-admin-midway do wersji 8.0.0 występuje podatność obejścia autoryzacji, która pozwala administratorom ograniczonym do działu zarządzać użytkownikami spoza ich działów poprzez podanie dowolnych identyfikatorów użytkowników. Atakujący posiadający uprawnienia sys:user:* mogą wywoływać /admin/sys/user/info, update lub delete, aby odczytywać rekordy, resetować hasła i role lub usuwać konta.

cool-admin-midway w wersji do 8.0.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala administratorom niebędącym superadministratorami odczytywać, modyfikować lub usuwać role innych administratorów poprzez podanie dowolnych identyfikatorów ról. Atakujący posiadający zwykłe uprawnienia sys:role mogą wywołać /admin/sys/role/info, update lub delete z identyfikatorem roli innego administratora, aby przepisać uprawnienia do menu i działów, zmieniając efektywny dostęp innych użytkowników.

MinDoc w wersji do 2.2-beta.2 zawiera podatność typu insecure direct object reference w DocumentController.Content, która pozwala uwierzytelnionym użytkownikom odczytywać dokumenty z nieautoryzowanych książek. Atakujący posiadający rolę inną niż obserwator w dowolnej książce może podać nazwę tej książki i iterować kolejne identyfikatory dokumentów, aby odczytać markdown i HTML z prywatnych książek.

BISHENG w wersji do 3.0.0-beta4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytywać przetworzone dokumenty innych użytkowników poprzez podanie dowolnych wartości file_id. Atakujący może wyliczać kolejne identyfikatory plików za pomocą GET /api/v1/knowledge/file_bbox, aby uzyskać tekst stron z baz wiedzy innych użytkowników i dzierżawców.

W CRMEB od wersji 5.6.1 do 6.0.0 występuje podatność niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom sklepu odczytywać i przejmować zamówienia innych użytkowników poprzez API zamówień prezentowych. Atakujący mogą enumerować sekwencyjne identyfikatory zamówień w gift_detail, aby pozyskać tożsamości kupujących i gift_key, a następnie wywołać receive_gift, aby przekierować opłacone towary na swój adres.

SendPortal sendportal-core w wersji do 4.0.1 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym członkom obszaru roboczego przypisywać subskrybentów do tagów innych obszarów roboczych poprzez podanie niezweryfikowanych identyfikatorów tagów. Atakujący może przesłać kolejne identyfikatory tagów za pomocą formularza subskrybenta lub importu CSV, aby otrzymywać treści kampanii ofiar i zniekształcać raporty ofiar.

W MacCMS v10 do wersji 2026.1000.4056 nie ograniczono liczby prób wprowadzenia sześciocyfrowego kodu odzyskiwania hasła, co pozwala nieuwierzytelnionym atakującym przejąć konta członków. Atakujący znający adres e-mail lub numer telefonu ofiary może zażądać kodu i brute-force'ować findpass_reset, aby nadpisać hasło członka.

zhontai Admin.Core w wersji do 10.1.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym użytkownikom ignorować ograniczenia DataScope działu poprzez podanie identyfikatorów rekordów spoza zakresu. Atakujący posiadający uprawnienia do modułu użytkownika lub organizacji z zakresem Dept lub Self mogą wywoływać metody by-id w UserService i OrgService, aby odczytywać, modyfikować, wyłączać i usuwać użytkowników w innych działach.

crmeb_java w wersji do 3.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom odczytywać zamówienia innych członków poprzez podanie ich numerów zamówień. Atakujący może wywołać /api/front/order/express/{orderId} lub /api/front/order/apply/refund/{orderId}, aby zobaczyć numery śledzenia, ślady logistyczne, kwoty płatności i pozycje produktowe ofiar.

Peppermint w wersji do 0.5.5 zawiera podatność polegającą na braku autoryzacji, która pozwala dowolnemu uwierzytelnionemu użytkownikowi tworzyć wpisy czasu i załączniki jako inni użytkownicy poprzez podanie identyfikatora użytkownika w treści żądania. Atakujący może wysyłać żądania POST do /api/v1/time/new lub /api/v1/storage/ticket/:id/upload/single, aby dołączać pliki i rekordy czasu do dowolnego zgłoszenia pod tożsamością innego użytkownika.

W ThinkCMF do wersji 8.0.1 występuje podatność nieprawidłowej autoryzacji w RestAdminBaseController, która pozwala ograniczonym administratorom backendu wywoływać wszystkie endpointy REST API administratora, ponieważ Auth::check() zawodzi w sposób otwarty, gdy nie istnieje reguła admin_api. Atakujący z ważnym tokenem API typu admin mogą wyświetlać e-maile i numery telefonów członków, wyłączać członków oraz wywoływać PUT admin/roles/{id}/authorize, aby przyznać sobie pełne uprawnienia administratora.

metasfresh do wersji 5.175 zawiera podatność braku autoryzacji na poziomie rekordów w BoardRestController, umożliwiającą uwierzytelnionym użytkownikom o niskich uprawnieniach obejście kontroli dostępu opartych na rolach i organizacji. Atakujący mogą wywoływać handlery getBoard, getCard, addCard, removeCard i patchCard, aby odczytywać rekordy poza swoim zakresem i modyfikować przypisania kart tablicy.

Papermark do wersji 0.22.0 zawiera podatność braku autoryzacji w API grup widzów data room, umożliwiającą uwierzytelnionym użytkownikom usuwanie grup widzów i linków udostępniania innych zespołów. Atakujący znający identyfikatory data room i grup ofiary mogą wysyłać żądania DELETE, odczytywać linki grup lub przepisywać uprawnienia do dokumentów grupowych między zespołami.

Craftplan do wersji 0.7.5 zawiera podatność braku autoryzacji w zasobie CRM Customer, umożliwiającą nieuwierzytelnionym atakującym tworzenie rekordów klientów przez JSON:API i GraphQL. Atakujący mogą wysyłać anonimowe żądania POST /api/json/customers lub mutację create_customer, aby wstawić wybrane przez siebie nazwy, dane kontaktowe i adresy do CRM operatora.