Katalog podatności CVE

Wykryto wadę w code-projects Vehicle Management System 1.0. Dotyczy ona nieznanej funkcji pliku /vehicle_management.sql w komponencie SQL Database Backup File Handler. Wykonanie manipulacji może prowadzić do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w programie Library Information and Document Automation Program firmy Yordam pozwala na fałszowanie treści (Content Spoofing). Problem dotyczy wersji od v22.1 przed v22.2.

Podatność braku autoryzacji w systemie Gastromenum Ticket and QR Menu System pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji przed 2026.08.31.

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w systemie Gastromenum Ticket and QR Menu System pozwala na trwały XSS. Problem dotyczy wersji przed 2026.08.31.

Wykryto podatność w StackStorm st2 do wersji 3.9.0 w funkcji obsługi kluczy API (API Key Handler) w pliku auth.py. Manipulacja argumentem api_key_api.user prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Podatność w StackStorm st2 do wersji 3.9.0 dotyczy funkcji assert_user_is_admin_if_user_query_param_is_provided w pliku actionexecutions.py, w komponencie NoOp RBAC. Manipulacja argumentem User prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem dotyczy domyślnej instalacji z wyłączonym RBAC i nie wymaga Jinja RBAC.

Robots::Validate dla Perla w wersjach od 0.3.2 przed 0.3.11 pozwala na nieograniczone wychodzące zapytania DNS podczas walidacji przez pętlę forward-confirmation, która nie ogranicza liczby zapytań. Atakujący może kontrolować strefę odwrotną swojego adresu, co pozwala na wygenerowanie dużej liczby zapytań DNS.

GFI Exinda AI i ClearView przed wersją 7.6.5 zawierają podatność na wstrzykiwanie argumentów w funkcji Tools Iperf Client. Funkcja web_tools_cmd() konstruuje polecenie iperf z parametrami server i options bez sanityzacji, co pozwala na wstrzyknięcie dowolnych flag iperf. Uwierzytelniony atakujący z najniższym poziomem dostępu (Unprivileged) może użyć flagi -F do odczytu dowolnego pliku z systemu i przesłania go na kontrolowany serwer.

GFI Exinda AI i ClearView przed wersją 7.6.5 zawierają podatność na przechodzenie poza katalog (path traversal) w obsłudze usuwania plików diagnostycznych. Funkcja unlink_or_email_file() przyjmuje parametry z prefiksem v_file_row_ i dodaje ich wartości bezpośrednio do ścieżki katalogu bazowego bez sanityzacji sekwencji przechodzenia. Uwierzytelniony atakujący z uprawnieniami administratora może usuwać dowolne pliki z systemu w kontekście root.

GFI Exinda AI i ClearView przed wersją 7.6.5 zawierają podatność na przechodzenie poza katalog (path traversal) w obsłudze pobierania konfiguracji konserwacji systemu. Funkcja wcf_handle_download() przyjmuje parametry z prefiksem v_del_ i dodaje ich wartości bezpośrednio do ścieżki katalogu konfiguracyjnego bez sanityzacji sekwencji przechodzenia. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać dowolne pliki z systemu w kontekście root.

OpenPanel przed wersją 2.3.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w procedurach tRPC report.getLayouts i report.resetLayout, które nie wiążą dashboardId z autoryzowanym projectId. Uwierzytelnieni atakujący mogą podać dowolny dashboardId ofiary z własnym projectId, aby odczytać układy raportów i konfiguracje lub usunąć układy dashboardów między dzierżawcami.

OpenPanel przed wersją 2.3.0 zawiera podatność na złamanie autoryzacji na poziomie obiektów między dzierżawcami w procedurach tRPC report.getLayouts i report.resetLayout, które nie ograniczają zapytań dashboardów do projektu wywołującego. Uwierzytelnieni atakujący mogą podać własny projectId z odgadnionym dashboardId ofiary, aby odczytać poufne definicje raportów lub trwale usunąć układy dashboardów między dzierżawcami.

Grav przed wersją 1.10.55 zawiera podatność na przechodzenie poza katalog (path traversal) w akcji Save As wtyczki administracyjnej, która nie waliduje parametru kodu języka. Uwierzytelniony administrator z uprawnieniem admin.pages.create może podać sekwencje przechodzenia w polu POST lang, aby zapisać dowolne pliki .md poza katalogiem stron z treścią kontrolowaną przez atakującego.

Wtyczka Grav Form (getgrav/grav-plugin-form) w wersjach od 8.0.6 do 9.1.19 wybiera wersję reCAPTCHA do walidacji wyłącznie na podstawie obecności klucza pola odpowiedzi w przesłanym żądaniu. Na stronie skonfigurowanej dla reCAPTCHA v3 anonimowy atakujący może umieścić swój token v3 pod nazwą pola v2 (g-recaptcha-response zamiast token), co powoduje użycie gałęzi v2, która nie stosuje progu oceny ani nie weryfikuje oczekiwanej akcji. Prowadzi to do całkowitego obejścia ochrony botów reCAPTCHA v3. Problem naprawiono w wersji 9.1.20.

Grav Admin przed wersją 2.0.20 nie sanityzuje danych wyjściowych z marked.parse() przed wstrzyknięciem ich do DOM przez dyrektywę {@html} w komponentach MarkdownEditor i MarkdownModal. Atakujący mogą wstrzyknąć schematy javascript: URI w dziennikach zmian wtyczek lub motywów, aby wykonać dowolny kod w sesjach uwierzytelnionych administratorów bez wymaganego dostępu do strony.

Grav Admin (getgrav/grav-plugin-admin2) w wersjach do 2.0.19 zawiera podatność na trwały XSS w funkcji tHtml(), która podstawia niezaufane parametry, takie jak nazwy użytkowników, do szablonów tłumaczeń przed parsowaniem wyniku jako markdown. Walidacja nazw użytkownika po stronie serwera nie blokuje znaków <, >, " czy ', co pozwala atakującemu zarejestrować nazwę zawierającą kod HTML. Gdy administrator przegląda interfejs renderujący nazwę przez tHtml(), kod wykonuje się w jego sesji. Naprawiono w wersji 2.0.21.

Grav w wersjach od 2.0.0 do 2.0.17 nie stosuje wykrywania XSS przy zapisie do stron modułowych, co pozwala uwierzytelnionym edytorom stron na przechowywanie złośliwych ładunków Twig. Atakujący z uprawnieniami do edycji stron mogą tworzyć strony modułowe z złośliwym kodem Twig, który wykonuje się w przeglądarkach odwiedzających, w tym w sesjach administratora.

phpMyFAQ przed wersją 4.1.8 zawiera podatność na trwały XSS w funkcji FaqHelper::convertOldInternalLinks(), która wywołuje html_entity_decode() na oczyszczonej treści FAQ, co odwraca ochronę encji. Uwierzytelnieni użytkownicy z uprawnieniami do edycji FAQ mogą wstrzyknąć kod JavaScript, który wykonuje się w przeglądarkach wszystkich użytkowników przeglądających dotknięte strony FAQ.

phpMyFAQ przed wersją 4.2.0-alpha.2 zawiera brak autoryzacji w endpointach API panelu administracyjnego 'searches' i 'content-health', które wymagają tylko uwierzytelnienia bez sprawdzania uprawnień. Każdy uwierzytelniony użytkownik może uzyskać dostęp do tych endpointów i czytać statystyki wyszukiwań oraz liczniki stanu treści niezależnie od poziomu uprawnień.

phpMyFAQ przed wersją 4.1.8 zawiera sekrety TOTP w postaci jawnego tekstu w plikach ZIP eksportu danych użytkownika. Atakujący, którzy zdobędą wyeksportowane archiwa, mogą wyodrębnić ziarno TOTP i generować ważne kody jednorazowe, aby obejść uwierzytelnianie dwuskładnikowe.