Katalog podatności CVE

aider (aider-chat) automatycznie ładuje plik konfiguracyjny .aider.conf.yml z katalogu głównego repozytorium git, w którym jest uruchamiany. Złośliwe repozytorium może ustawić test-cmd (wykonywany przy starcie) lub lint-cmd (wykonywany przy pierwszej edycji pliku), które aider uruchamia przez powłokę (subprocess z shell=True) bez potwierdzenia użytkownika, interakcji z LLM lub klucza API. W rezultacie użytkownik, który klonuje i uruchamia aider w repozytorium dostarczonym przez atakującego, może wykonać dowolne polecenia na swojej maszynie.

LLaMA-Factory zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w interfejsie API zgodnym z OpenAI do obsługi adresów URL multimediów, która pozwala nieuwierzytelnionym atakującym ominąć walidację SSRF. Funkcja check_ssrf_url waliduje adresy URL tylko raz, ale requests.get podąża za przekierowaniami i ponownie rozwiązuje DNS bez ponownej walidacji, co umożliwia atakującym użycie przekierowań HTTP lub ponownego wiązania DNS do uzyskania dostępu do wewnętrznych adresów i punktów końcowych metadanych chmury.

QAnything 2.0.0 zawiera podatność na ominięcie uwierzytelniania w punktach końcowych /api/local_doc_qa/get_file_base64 i /api/local_doc_qa/get_doc, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do dowolnych przesłanych plików lub dokumentów. Atakujący mogą enumerować identyfikatory plików przez nieuwierzytelnione punkty końcowe i pobierać pliki zakodowane w base64 lub fragmenty przetworzonych dokumentów bez weryfikacji własności, ujawniając zawartość baz wiedzy między dzierżawcami.

Xinference (commit 4a94832, v3.x) zawiera nieuwierzytelnioną podatność na odczyt plików o dowolnej ścieżce w punkcie końcowym POST /v1/models/llm/auto-register, który akceptuje parametr model_path dostarczony przez wywołującego bez uwierzytelniania lub ograniczenia ścieżki. Punkt końcowy odczytuje i analizuje pliki config.json, tokenizer_config.json i chat_template.jinja pod podaną ścieżką i odzwierciedla ich zawartość z powrotem do wywołującego, co pozwala nieuwierzytelnionemu atakującemu na przeszukiwanie systemu plików serwera i wyodrębnianie zawartości plików o tych nazwach w dowolnym katalogu.

OGX (dawniej Llama Stack, commit fbe8e0f) zawiera nieuwierzytelnioną podatność na fałszerstwo żądań po stronie serwera (SSRF) w punkcie końcowym POST /v1/responses zgodnym z OpenAI. Definicje narzędzi MCP akceptują parametr server_url (wraz z nagłówkami i wartościami autoryzacji), który jest pobierany po stronie serwera bez walidacji miejsca docelowego; istniejąca funkcja validate_url_not_private() używana dla innych adresów URL nie jest stosowana do server_url. W domyślnej konfiguracji startowej, która działa bez uwierzytelniania, zdalny nieuwierzytelniony atakujący może spowodować, że serwer otworzy połączenia z dowolnymi wewnętrznymi adresami (w tym punktami końcowymi metadanych chmury, takimi jak http://169.254.169.254/) i przekazać nagłówki i tokeny bearer dostarczone przez atakującego do tych miejsc docelowych.

Chroma 1.5.9 nie sprawdza maksymalnych granic parametrów indeksu HNSW: max_neighbors, ef_construction i ef_search w żądaniach tworzenia kolekcji. Nieuwierzytelnieni atakujący mogą podać dowolnie duże wartości parametrów, aby wyczerpać pamięć serwera i spowodować odmowę usługi podczas kompakcji indeksu.

cli-mcp-server 0.2.5 zawiera podatność na ominięcie listy dozwolonych poleceń w funkcji _validate_command_with_operators, gdy włączona jest opcja ALLOW_SHELL_OPERATORS. Atakujący mogą użyć składni podstawiania poleceń powłoki, takiej jak $(...) lub backticks, aby wykonać polecenia spoza listy dozwolonych, które omijają walidację ALLOWED_COMMANDS.

Trigger.dev przed wersją 4.5.2 nie weryfikuje przynależności środowiska podczas operacji ponownego odtwarzania uruchomień, co pozwala uwierzytelnionym atakującym na wstrzykiwanie zadań do dowolnych środowisk. Atakujący mogą odtwarzać własne uruchomienia w środowiskach innych organizacji lub projektów, aby zużywać zasoby ofiary i zanieczyszczać historię uruchomień.

git-mcp-server 2.15.1 zawiera podatność na wstrzykiwanie argumentów w parametrach ref i object narzędzi git_log, git_diff i git_show, które nie walidują wiodących myślników. Atakujący mogą wstrzykiwać opcje linii poleceń gita, takie jak --output=, aby zapisywać pliki poza repozytorium w dowolnych ścieżkach dostępnych dla procesu.

sift (sift.js) 17.1.3 wylicza klucze zapytań za pomocą pętli for...in, która przechodzi po łańcuchu prototypów, i obsługuje każdy pasujący klucz operatora, w tym $where. Operacja $where kompiluje wartość string do funkcji za pomocą new Function, chyba że ustawiono CSP_ENABLED (domyślnie nie). W rezultacie, jeśli prymityw zanieczyszczenia prototypu w innym miejscu procesu ustawi Object.prototype.$where na złośliwy string, nawet nieszkodliwe wywołania filtrów, takie jak sift({}), wykonają dowolny kod JavaScript. Dodatkowo, przekazanie niezaufanego obiektu zapytania zawierającego string $where bezpośrednio do sift skutkuje wykonaniem kodu w domyślnej konfiguracji.

goose 1.37.0 wykonuje dowolne polecenia z rozszerzeń stdio przepisów i retry.checks bez kontroli bezpieczeństwa. Atakujący mogą rozpowszechniać złośliwe przepisy, które wykonują polecenia powłoki jako użytkownik uruchamiający goose, omijając skan bezpieczeństwa przepisów, który nie sprawdza rozszerzeń ani konfiguracji ponowień.

Postgres MCP Pro 0.3.0 zawiera podatność na obejście trybu ograniczonego, gdzie walidacja nazw funkcji nie jest stosowana do węzłów RangeFunction w klauzulach FROM. Atakujący mogą wykonywać funkcje odczytu plików, takie jak pg_read_file, przez składnię klauzuli FROM, aby czytać dowolne pliki pomimo ochron trybu ograniczonego.

AppFlowy-Cloud 0.9.64 nie weryfikuje, czy żądane obiekty collab należą do przestrzeni roboczej w kontrolach autoryzacji, co pozwala atakującym na dostęp do dokumentów i wierszy bazy danych w różnych przestrzeniach roboczych. Atakujący mogą podać identyfikator obiektu ofiary z własnym identyfikatorem przestrzeni roboczej, aby ominąć kontrolę dostępu i czytać, modyfikować lub usuwać dane między przestrzeniami roboczymi.

Douyin_TikTok_Download_API do wersji 4.1.2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punktach końcowych /api/download i /api/hybrid/video_data, która pozwala nieuwierzytelnionym atakującym na pobieranie dowolnych adresów URL poprzez podanie parametru url. Atakujący mogą żądać wewnętrznych usług, w tym punktów końcowych metadanych chmury, i odzyskiwać treści odpowiedzi zawierające wrażliwe dane uwierzytelniające poprzez komunikaty błędów.

Blinko 1.8.7 zawiera podatność na obejście autoryzacji (IDOR) w wielu procedurach tRPC (message.list, message.update, message.delete, message.clearAfter w server/routerTrpc/message.ts oraz conversation.clearMessages w server/routerTrpc/conversation.ts). Chociaż te procedury wymagają uwierzytelnienia, odpytywają bazę danych na podstawie identyfikatora rozmowy lub wiadomości dostarczonego przez wywołującego, bez weryfikacji, czy zasób należy do konta żądającego. Każdy uwierzytelniony użytkownik może zatem odczytać pełną historię czatu AI innego użytkownika, modyfikować treść pojedynczych wiadomości oraz usuwać lub czyścić całe rozmowy, wyliczając sekwencyjne identyfikatory całkowite.

firecrawl-mcp-server 3.20.2 zawiera podatność na dowolny odczyt plików lokalnych w narzędziu firecrawl_parse, które akceptuje nieograniczone argumenty filePath bez walidacji zawartości katalogu. Atakujący mogą podać ścieżki bezwzględne lub sekwencje przejść katalogów, aby odczytać wrażliwe pliki, takie jak poświadczenia i zmienne środowiskowe, które są następnie przesyłane i zwracane do kontekstu modelu.

Podatność na alokację zasobów bez limitów lub ograniczeń w elixir-mint mint pozwala zdalnemu serwerowi HTTP na wyczerpanie pamięci na hoście klienta i spowodowanie odmowy usługi. Dwa stany parsera odpowiedzi HTTP/1 gromadzą dane serwera bez żadnego limitu. W lib/mint/http1.ex, decode_status_line/4 przechowuje nieskonsumowane dane w conn.buffer, gdy linia statusu jest niekompletna, a decode_body/5 robi to samo dla niezakończonej linii rozszerzenia fragmentu. Oba czekają na CRLF, którego serwer nie musi wysyłać, a conn.buffer jest poprzedzany każdą kolejną wiadomością z gniazda. Budżet :max_header_list_size jest podłączony tylko do decode_headers/5 i decode_trailer_headers/4, więc żaden z tych stanów nie jest nim objęty. Złośliwy serwer lub serwer osiągnięty przez kontrolowane przez atakującego przekierowanie lub pobrany adres URL, strumieniuje bajty w nieskończoność, aż węzeł BEAM zostanie zabity przez mechanizm obsługi braku pamięci systemu operacyjnego. Wariant rozszerzenia fragmentu jest osiągany po prawidłowej linii statusu i kompletnym, prawidłowym nagłówku, więc pośrednik sprawdzający tylko nagłówki widzi zwykłą odpowiedź 200. Ten problem dotyczy mint: od 0.1.0 przed 1.10.0.

IBM App Connect Enterprise oraz IBM Integration Bus for z/OS z adapterem SAP są podatne na atak XML External Entity (XXE). Podatność dotyczy wersji 13.0.1.0 do 13.0.8.1, 12.0.1.0 do 12.0.12.28 oraz 10.1.0.0 do 10.1.0.7.

Acunetix dla Windows zawiera podatność lokalnej eskalacji uprawnień w silniku skanowania podatności WWW (wvsc.exe). Niskouprzywilejowany atakujący może wykorzystać brak twardo zakodowanej ścieżki katalogu dla plików OpenSSL, aby wykonać dowolny kod jako SYSTEM.

GastroMenum Web Panel przed wersją 31.08.2026 zawiera podatność polegającą na obserwowalnej różnicy odpowiedzi, która umożliwia footprinting konta (Account Footprinting).