Katalog podatności CVE

Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 2026.7 kilka punktów końcowych wyszukuje obiekty w sposób globalny, zamiast ograniczać wyszukiwanie do projektów, do których użytkownik ma dostęp, przez co zwracają kod HTTP 403 (Zabronione) zamiast 404 (Nie znaleziono), gdy użytkownik żąda obiektu, którego nie jest upoważniony zobaczyć. Ta różnica pozwala nieautoryzowanym użytkownikom wywnioskować, czy dany obiekt istnieje w prywatnym projekcie Weblate. Problem został naprawiony w wersji 2026.7.

Podatność w Wgcloud 3.6.4 umożliwia zdalnemu atakującemu eskalację uprawnień, ponieważ parametr content jest bezpośrednio łączony z ProcessBuilder.

W Cockpit CMS w wersji 2.13.5 i wcześniejszych znaleziono podatność na Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponenty item.php, field-select.js i tags.js.

Dell PowerProtect Cyber Recovery w wersjach wcześniejszych niż 20.3 zawiera podatność polegającą na podążaniu za dowiązaniem symbolicznym UNIX (Symlink Following). Atakujący z niskimi uprawnieniami i lokalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do wstrzyknięcia skryptu.

Static Web Server (SWS) to serwer WWW gotowy do produkcji, odpowiedni dla statycznych plików lub zasobów. Do wersji 2.43.0 włącznie, instancje z włączonymi funkcjami basic-auth i metrics przetwarzają punkt końcowy /metrics przed sprawdzeniem basic-auth w src/handler.rs, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na pobranie metryk Prometheus, które ujawniają nazwy hostów wirtualnych, wolumeny żądań, wskaźniki błędów, rozkłady opóźnień i aktywne połączenia. Problem został naprawiony w wersji 2.44.0.

Dell PowerProtect One w wersjach 20.1.0.0 i niższych zawiera podatność niewłaściwej walidacji certyfikatów. Nieuwierzytelniony atakujący ze zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do obejścia mechanizmów ochronnych.

Dell PowerProtect One w wersjach 20.1.0.0 i niższych zawiera podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika. Atakujący z niskimi uprawnieniami i zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do manipulacji informacjami.

Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność Server-Side Request Forgery (SSRF). Atakujący z niskimi uprawnieniami i zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do fałszowania żądań po stronie serwera.

Podatność w Oracle Java SE (komponent: 2D). Dotyczy wersji Oracle Java SE 7u511. Łatwa do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na naruszenie Oracle Java SE. Udane ataki mogą skutkować nieautoryzowaną zdolnością do zawieszenia lub częstego powtarzalnego awarii (całkowity DOS) Oracle Java SE. Podatność może być wykorzystana przez API w określonym komponencie, np. przez usługę sieciową dostarczającą dane do API. Dotyczy również wdrożeń Java, zazwyczaj w klientach uruchamiających aplikacje Java Web Start w piaskownicy lub aplety Java w piaskownicy, które ładują i uruchamiają niezaufany kod. CVSS 3.1 Base Score 6.5 (wpływ na dostępność).

Dell PowerProtect One w wersjach 20.1.0.0 i niższych zawiera podatność polegającą na poleganiu na niewystarczająco zaufanym komponencie. Nieuwierzytelniony atakujący ze zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do zatrucia pamięci podręcznej.

Dell PowerProtect Cyber Recovery w wersjach 20.2 i wcześniejszych zawiera podatność SQL Injection (niewłaściwa neutralizacja specjalnych elementów użytych w poleceniu SQL). Atakujący z niskimi uprawnieniami i zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

W konkretnych scenariuszach obejmujących przekierowania podczas uzgadniania WebSocket do innego pochodzenia, klient WebSocket Reactor Netty może wyciekać poświadczenia. Aby to nastąpiło, klient HTTP musi być jawnie skonfigurowany do podążania za przekierowaniami. Dotyczy wersji Reactor Netty 1.3.0 - 1.3.6, 1.1.0 - 1.2.18 oraz 1.0.52 i wcześniejszych.

W określonych scenariuszach serwer HTTP Reactor Netty może ujawniać szczegóły wyjątków w niezwiązanych żądaniach. Warunkiem jest skonfigurowanie Brave Tracing. Podatne są wersje 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejsze.

Aplikacje używające AesBytesEncryptor z dwuargumentowym konstruktorem lub z przekazanym null jako generator IV i trybem CBC szyfrują dane za pomocą AES/CBC z wektorem inicjalizacyjnym o wartości null (same zera). Podatne są wersje Spring Security od 5.7.0 do 7.1.0.

Walidacja sortowania w Spring Data JPA może zostać ominięta, gdy parametry zawierające spreparowane dane są akceptowane z niezaufanych źródeł. Podatne są wersje 3.0.0-4.1.0.

Fleet do wersji 4.84.1 zawiera podatność w punkcie końcowym listowania poleceń Apple MDM (GET /api/v1/fleet/mdm/apple/commands), która pozwala uwierzytelnionemu użytkownikowi z rolą Observer na wyodrębnienie wrażliwych wartości, takich jak sekrety rejestracji hostów i tokeny APNs, poprzez sort-order oracle. Atakujący może manipulować parametrem order_key i użyć binarnego przeszukiwania do odtworzenia wartości znak po znaku. Poprawka jest w wersji 4.84.2.

Fleet do wersji 4.84.1 zawiera podatność w punkcie końcowym listowania hostów etykiet (GET /api/v1/fleet/labels/{id}/hosts), która pozwala uwierzytelnionemu użytkownikowi z rolą Observer na wyodrębnienie sekretów rejestracji hostów poprzez sort-order oracle. Atakujący może manipulować parametrem order_key i odtworzyć node_key lub orbit_node_key, co umożliwia podszywanie się pod hosty. Poprawka jest w wersji 4.84.2.