Katalog podatności CVE

VentureDrake Laravel CRM przed wersją 2.4.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom obejść uprawnienia ról Spatie poprzez metody akcji Livewire. Użytkownicy z uprawnieniami tylko do odczytu mogą wywoływać metody delete, won, lost lub reopen na komponentach takich jak DealIndex lub używać niechronionych tras Activities i Products, aby modyfikować transakcje, oferty, zamówienia i faktury.

Kan w wersjach od 0.5.5 do 0.6.0 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w trasie /api/download/attatchment. Gdy S3_ENDPOINT nie jest ustawiony, atakujący mogą przekazywać dowolne parametry url do fetch(), aby uzyskać dostęp do usług wewnętrznych, portów localhost i metadanych instancji w chmurze.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/index.php, która pozwala atakującym wstrzyknąć HTML poprzez parametr val w mode=add_todo. Atakujący mogą zwabić zalogowanego administratora do przesłania formularza POST cross-site bez ochrony CSRF, wykonując skrypt w kontekście panelu administracyjnego.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/language_settings.php poprzez niekodowany parametr GET edit_language. Atakujący mogą wysłać administratorom z uprawnieniami basic_settings spreparowany link, którego ładunek jest odzwierciedlany w ukrytym polu input, wykonując skrypt w kontekście panelu administracyjnego.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/flagged_item.php poprzez niekodowany parametr GET type. Atakujący mogą wysłać spreparowane linki flagged_item.php?type= do zalogowanych administratorów lub moderatorów, aby wykonać wstrzyknięty skrypt w kontekście panelu administracyjnego.

Papermerge Core do wersji 3.5.3 zawiera podatność braku autoryzacji umożliwiającą uwierzytelnionym użytkownikom listowanie tagów i typów dokumentów innych grup poprzez podanie parametru group_id. Atakujący znający UUID grupy może odpytać GET /tags/all lub GET /document-types/all, które pomijają sprawdzenie user_belongs_to, ujawniając metadane grup, do których nie należy.

Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji w API współdzielonych węzłów. Uwierzytelnieni użytkownicy mogą udostępniać dokumenty innych użytkowników, podając dowolne identyfikatory UUID węzłów, a następnie je czytać, modyfikować lub usuwać.

Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom manipulować stronami innych użytkowników, ponieważ punkty końcowe zarządzania stronami i OCR pomijają sprawdzanie has_node_perm. Atakujący znający identyfikatory UUID stron mogą je obracać, usuwać lub wyodrębniać oraz wywoływać OCR.

Swetrix Cloud w wersji przed 5.1.0 zawiera lukę braku autoryzacji w metodzie ProjectController.addProject, która pozwala uwierzytelnionym użytkownikom przejąć dowolne projekty, przenosząc je do własnej organizacji. Atakujący może utworzyć organizację i dodać projekt ofiary po jego publicznym identyfikatorze śledzenia, aby czytać analitykę, zmieniać ustawienia lub go usunąć.

Formbricks przed wersją 4.9.0 zawiera podatność obejścia autoryzacji w akcjach serwera, takich jak resetSurveyAction i updateSegmentAction, które nie weryfikują własności zasobu względem dostarczonego organizationId. Uwierzytelnieni właściciele lub menedżerowie dowolnej organizacji mogą połączyć własny identyfikator organizacji z identyfikatorami zasobów ofiary, aby usuwać odpowiedzi na ankiety, modyfikować segmenty i limity lub zmieniać oczekujące zaproszenia.

frp w wersjach od 0.41.0 do 0.71.1 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na dostęp do punktów końcowych debugowania pprof, ponieważ handlery są zarejestrowane na głównym muxie poza Basic Authentication. Atakujący mogą odpytywać punkty końcowe /debug/pprof/ na dashboardzie frps lub listenerach administracyjnych frpc, aby uzyskać cmdline, stosy goroutine, profile sterty i wywołać profilowanie CPU.

SmsForwarder w wersji do 3.5.0 zawiera lukę braku uwierzytelniania w serwerze HTTP AndServer, która pozwala nieuwierzytelnionym atakującym sieciowym wywoływać API zdalnego sterowania. Atakujący mogą wywołać domyślnie włączone endpointy, aby czytać SMS-y, rejestry połączeń i kontakty, wysyłać SMS-y oraz eksportować lub nadpisywać konfigurację przez API clone.

we-mp-rss do wersji 1.5.3 zawiera podatność braku autoryzacji w punkcie końcowym /api/v1/wx/tools/export/download, która pozwala nieuwierzytelnionym atakującym na pobieranie archiwów eksportu, ponieważ zależność uwierzytelniania jest zakomentowana. Atakujący mogą podać mp_id i odgadnąć nazwę pliku eksportu opartą na znaczniku czasu, aby pobrać archiwa z data/docs, oraz ustawić delete_after_download=true, aby je usunąć.

NullHub w wersji do 2026.5.29 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do API zarządzania /api/*, ponieważ pole auth_token domyślnie ma wartość null i nigdy nie jest przypisywane. Atakujący wysyłający żądania bez nagłówków Authorization lub Origin do nasłuchów innych niż loopback mogą kontrolować instancje agentów, przepisywać konfiguracje, w tym poświadczenia dostawców, oraz zarządzać zadaniami cron i serwerami MCP.

jshERP w wersji do 3.6 zawiera lukę braku autoryzacji w endpointcie POST /user/batchSetStatus, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zmieniać status kont innych użytkowników. Atakujący mogą przesłać spreparowane identyfikatory i wartości statusu, aby wyłączyć wszystkie konta niebędące właścicielem w swoim tenancie, blokując administratorów, lub ponownie włączyć wyłączone konta.

Yiuman citrus do wersji 0.15.0 zawiera podatność wstrzyknięcia SQL w klauzuli ORDER BY w frameworku zapytań citrus-support, która pozwala użytkownikom wstrzyknąć SQL poprzez parametr żądania sortBy. Atakujący mogą dotrzeć do dowolnej trasy listy kontrolerów rozszerzających BaseQueryController lub BaseQueryRestful, aby dołączyć niezwalidowany SQL do klauzuli ORDER BY i wyodrębnić zawartość bazy danych za pomocą technik ślepych opartych na boolean lub czasie.

youlai-mall do commita 9f62de8 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom na przeglądanie zamówień wszystkich klientów poprzez punkt końcowy listy zamówień aplikacji. Atakujący mogą przeglądać tabelę oms_order za pomocą samodzielnie zarejestrowanego konta, aby odczytać identyfikatory zamówień, wartości order_sn, identyfikatory członków, kwoty płatności i statusy zamówień.

vlife do wersji 2.0.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować tokeny JWT przy użyciu zakodowanego na stałe klucza podpisywania HS256 w TokenUtil. Atakujący może podpisać token z superUser=true i dowolnymi roszczeniami groupIds, aby uzyskać dostęp superadministratora do dowolnego URL w instancjach vlife.

REBUILD do wersji 4.5.0 zawiera podatność obejścia autoryzacji w kontrolerze AiBot2Controller na endpointach /aibot2, które działają na chatid dostarczonym przez wywołującego bez weryfikacji właściciela. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą podać chatid innego użytkownika do chat-init, chat-delete, chat-feedback lub chat-stream-stop, aby czytać, usuwać, eksfiltrować lub przerywać rozmowy asystenta AI.

ruoyi-vue-pro do wersji 2026.09 zawiera podatność Server-Side Request Forgery (SSRF) w usłudze obrazów yudao-module-ai, która pozwala uwierzytelnionym użytkownikom na zmuszenie serwera do pobierania dowolnych adresów URL poprzez podanie referImageUrl do endpointu midjourney imagine. Atakujący mogą wymusić żądania Hutool HttpUtil.downloadBytes() do adresów loopback, prywatnych lub metadanych chmury, aby sondować wewnętrzne usługi HTTP i uzyskać dostęp do endpointów metadanych.