Katalog podatności CVE

W Reactor Core aplikacje używające operatora Flux.bufferTimeout z włączonym fairBackpressure są podatne na warunek odmowy usługi (DoS). Dotyczy wersji Reactor Core 3.8.0-3.8.6 oraz 3.7.19 i wcześniejszych.

Atakujący, który może ustawić nagłówek file_name na wiadomości docierającej do ZipTransformer z ZipResultType.FILE (domyślnie), może spowodować zapisanie wynikowego archiwum .zip w dowolnej ścieżce systemu plików poza skonfigurowanym workDirectory. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12.

Nieuwierzytelniony zdalny atakujący, który może wysłać pojedynczy pakiet UDP do adaptera przychodzącego UDP Spring Integration, może spowodować, że serwer wyemituje wychodzący datagram UDP do dowolnego wewnętrznego lub zewnętrznego hosta i portu wybranego przez atakującego. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Atakujący, który może publikować wiadomości do kolejki konsumowanej przez aplikację z włączoną dekompresją wiadomości, może doprowadzić do awarii JVM konsumenta pojedynczą wiadomością o rozmiarze około 1 MB. Dotyczy Spring AMQP 4.1.0, 4.0.0-4.0.4, 3.2.0-3.2.12 oraz 2.4.18 i wcześniejszych.

RFC6587SyslogDeserializer, używany przez adapter przychodzący syslog TCP Spring Integration do dekodowania ramek RFC 6587 / RFC 5424, ufa liczbie oktetów dostarczonej przez nadawcę i przydziela tablicę bajtów o dokładnie tym rozmiarze bez górnego limitu. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

W Reactor Core aplikacje używające operatora Flux.windowTimeout z włączonym fairBackpressure są podatne na warunek odmowy usługi (DoS). Dotyczy wersji Reactor Core 3.8.0-3.8.6, 3.5.0-3.7.19 oraz 3.4.41 i wcześniejszych.

Konwersja JSON na obiekt w Spring Integration używa nagłówka json__TypeId__ do wyboru typu docelowego deserializacji i rozwiązuje wartość tego nagłówka na klasę za pomocą ClassUtils.forName bez listy dozwolonych typów/pakietów. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Spring Data REST nie zachowuje utrwalonej właściwości wersji (@Version) agregatu głównego podczas obsługi żądania HTTP PUT dla niezmiennego typu docelowego. Dotyczy Spring Data REST 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15 oraz 3.7.20 i wcześniejszych.

W określonych scenariuszach serwer HTTP Reactor Netty może nieprawidłowo oceniać zdalny adres IP, gdy włączony jest protokół HAProxy. Aby to nastąpiło, aplikacja musi być skonfigurowana do korzystania z protokołu HAProxy. Dotyczy Reactor Netty 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejszych.

W module ipa_getkeytab z kolekcji community.general Ansible znaleziono błąd: parametr bind_pw, używany do podania hasła LDAP przy pobieraniu keytaba Kerberos, nie jest zadeklarowany jako no_log, w przeciwieństwie do podobnego parametru password w tym samym module. W rezultacie podane hasło bind jest zapisywane w postaci jawnej w dzienniku systemowym/syslogu hosta zarządzanego, jest zawarte w wartościach zwracanych przez moduł i w verbose (-v), oraz jest wyświetlane w Automation Controller / AWX job output. Hasło jest również przekazywane w linii poleceń do narzędzia ipa-getkeytab (jako --bindpw <wartość>), co ujawnia je w liście procesów lokalnym użytkownikom podczas działania. Atakujący, który może czytać te logi, dane wyjściowe zadań lub tablicę procesów, może uzyskać poświadczenia bind do katalogu, potencjalnie kompromitując konta i obiekty, do których te poświadczenia mają dostęp.

KubePi do wersji 2.0.0 włącznie nie sprawdza spójnie uprawnień do klastrów w API działającym na poziomie klastra. Uwierzytelniony użytkownik z uprawnieniami do zarządzania klastrem może operować na klastrach spoza przyznanego zakresu. Problem został naprawiony w wersji 2.0.1.

HCL BigFix Quantum Risk Analyzer domyślnie generuje bardzo szczegółowe logi, co zwiększa ryzyko wycieku wrażliwych danych i może dostarczyć atakującemu informacji o wewnętrznej logice aplikacji i szczegółach architektury.

tamguo 1.5.3 jest podatny na nieograniczone przesyłanie plików prowadzące do trwałego XSS. Endpointy /uploadFile i /imgUpload w FileUploadController.java i UEditorController.java nie mają walidacji typów plików. Atakujący mogą przesyłać dowolne pliki HTML/JavaScript na serwer.

LimeSurvey Community Edition 7.0.5 zawiera podatność na przechowywany atak XSS w oknie dialogowym pól zastępczych używanym przez administratora edytora pytań. Problem dotyczy wersji 7.0.5.

Podatność polega na zapisywaniu poświadczeń przetwarzania systemu gościa w postaci jawnego tekstu w logu wsparcia na gościu, co pozwala użytkownikowi z dostępem do tego logu na odzyskanie poświadczeń uprzywilejowanego konta.

LibreNMS do wersji 26.4.0 włącznie jest podatny na odbity atak XSS w widoku aplikacji Proxmox przez parametry GET instance i vmid, które są odzwierciedlane w tytule strony bez odpowiedniego kodowania. Problem został naprawiony w wersji 26.5.0.

HCL BigFix Quantum Risk Analyzer jest dotknięty problemem twardo zakodowanego odniesienia do zasobu zewnętrznego oraz brakiem integralności binarnej, co może pozwolić atakującemu na uzyskanie wrażliwych informacji lub modyfikację pliku binarnego.

Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.

Comfast CF-N1-S firmware 2.6.0.1 i CF-WR630AX (build z 2024-01-30), handler SET update_interface_png w /usr/bin/webmgnt nie sanityzuje parametru display_name. Dane kontrolowane przez użytkownika są łączone przez sprintf() do niecytowanego polecenia powłoki `/etc/rrd/graphinterface %s %s` i wykonywane przez system() z uprawnieniami roota. Zdalny uwierzytelniony atakujący może wstrzyknąć dowolne polecenia.

Podatność w routerze Comfast CF-WR630AX w wersji 2.7.0.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponenty /usr/bin/webmgnt, /cgi-bin/mbox-config oraz parametry timestr i display_n.