Katalog podatności CVE

Uptime Kuma do wersji 2.5.8 zawiera warunek wyścigu w obsłudze pierwszego uruchomienia Socket.IO, który pozwala nieuwierzytelnionym atakującym utworzyć dodatkowe konto administratora. Atakujący mogą wysłać równoczesne żądania konfiguracji w oknie hashowania bcrypt, aby ominąć sprawdzenie pustej tabeli użytkowników, a następnie modyfikować monitory, klucze API i włączyć disableAuth.

Jellyfin do wersji 12.4 zawiera podatność na obejście autoryzacji w SuggestionsController.GetSuggestions, która pozwala uwierzytelnionym użytkownikom niebędącym administratorami ominąć ograniczenia bibliotek i kontroli rodzicielskiej poprzez pominięcie parametru userId. Atakujący mogą wielokrotnie wywoływać GET /Items/Suggestions bez userId, aby wyliczyć zastrzeżone elementy, w tym identyfikatory i ścieżki systemu plików serwera, a następnie je przesyłać strumieniowo.

Jellyfin do wersji 12.4 zawiera podatność polegającą na ujawnieniu informacji w PlaylistsController.GetPlaylist, która pozwala uwierzytelnionym użytkownikom na odczytanie ukrytych identyfikatorów elementów poprzez żądanie publicznych lub udostępnionych playlist. Użytkownicy z ograniczeniami lub kontrolą rodzicielską mogą uzyskać GUID-y niedostępnych elementów biblioteki z niefiltrowanych ItemIds playlisty, a następnie strumieniować te ukryte media.

Jellyfin do wersji 12.4 zawiera podatność typu server-side request forgery, która pozwala uwierzytelnionym użytkownikom obejść SvgSecurityValidator poprzez osadzenie skompresowanego gzipem SVG w danych URI obrazów niebędących SVG. Atakujący może przesłać taki obraz profilowy przez POST /UserImage, a następnie wywołać nieuwierzytelnione renderowanie przez GET /UserImage, aby pobierać wewnętrzne adresy URL, odczytywać lokalne pliki obrazów lub wyczerpać pamięć.

Lago do wersji 1.55.0 zawiera podatność polegającą na obejściu autoryzacji w Invoices::Payments::StripeService, która pozwala użytkownikom jednej organizacji oznaczyć fakturę innej organizacji jako opłaconą z powodu wyszukiwania faktury bez ograniczenia zakresu. Atakujący kontrolujący integrację Stripe swojej organizacji mogą podpisać zdarzenie payment_intent.succeeded z UUID faktury ofiary, aby odblokować doładowania portfela lub subskrypcje wymagające płatności.

Forgejo do wersji 15.0.11, 16.0.0 do 16.0.7 oraz 17.0.0 do 17.0.1 zawiera podatność na ujawnienie informacji w obsłudze API GetPublicKey, która nie sprawdza własności przy wyszukiwaniu kluczy. Uwierzytelnieni użytkownicy z tokenem read:user lub sesją mogą wyliczać sekwencyjne identyfikatory kluczy, aby uzyskać tytuły, odciski palców i materiał klucza publicznego kluczy SSH, wdrożeniowych i głównych innych użytkowników.

Forgejo do wersji 15.0.11, 16.0.0 do 16.0.7 oraz 17.0.0 do 17.0.1 zawiera podatność na path traversal w restore-repo, która pozwala atakującym odczytać pliki poza katalogiem zrzutu poprzez spreparowane ścieżki zasobów. Atakujący mogą dostarczyć zrzut, którego release.yml DownloadURL lub PatchURL zawiera sekwencje ../, importując pliki takie jak app.ini jako załączniki wydania, gdy administrator je przywraca.

Forgejo w wersjach do 15.0.11, 16.0.0-16.0.7 oraz 17.0.0-17.0.1 zawiera podatność SSRF (Server-Side Request Forgery), która pozwala nieuwierzytelnionym atakującym zmusić serwer do wysyłania żądań poprzez podanie dowolnych adresów URL identyfikatora OpenID. Atakujący mogą wysyłać spreparowane identyfikatory do /user/login/openid, wywołując ślepe żądania GET do pętli zwrotnej, metadanych chmury i adresów wewnętrznych w celu skanowania portów i sondowania.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność polegającą na braku ponownego uwierzytelnienia, która pozwala uwierzytelnionym atakującym usunąć uwierzytelnianie dwuskładnikowe poprzez przesłanie klucza 2fa do /config/set. Atakujący posiadający przejętą sesję może przesłać key=2fa z wartością JSON null do SetConfigController, usuwając 2FA, tak że kolejne logowania wymagają jedynie hasła MySQL.

phpMyAdmin do wersji 5.2.3 zawiera podatność typu server-side request forgery, która pozwala nieuwierzytelnionym atakującym na wywoływanie połączeń wychodzących poprzez setup/validate.php, który nie ma zabezpieczenia przed wyłączonym setupem. Atakujący mogą wysłać metodą POST wybrane przez siebie wartości host i port, docierając do Validator::testDBConnection(), aby otwierać połączenia w protokole MySQL i sondować wewnętrzne porty za pomocą zwracanych komunikatów błędów.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność SQL injection w funkcji Designer saveSetting(), która pozwala uwierzytelnionym użytkownikom wstrzykiwać SQL poprzez nieescapowany wynik json_encode(). Atakujący mogą wysyłać spreparowane parametry index lub value z operation=save_setting_value do /database/designer, aby nadpisać ustawienia designera innych użytkowników lub uruchomić podzapytania controluser.

phpMyAdmin do wersji 5.2.3 zawiera podatność typu cross-site request forgery, która pozwala zdalnym atakującym wykonywać dowolny SQL poprzez obejście sprawdzania tokenów CSRF w żądaniach POST niebędących AJAX. Atakujący może nakłonić uwierzytelnioną ofiarę do wysłania międzydomenowego żądania POST z parametrem sql_query do /sql lub /database/sql, wykonując SQL z uprawnieniami bazy danych ofiary w trybie uwierzytelniania http lub config.

OPNsense core w wersjach 26.1.6-26.7.7 zawiera podatność polegającą na obejściu uwierzytelniania w funkcji roamingu portalu przechwytującego (captive portal), która pozwala nieuwierzytelnionym atakującym przejąć sesje autoryzowanych klientów poprzez fałszowanie obserwacji MAC-to-IP. Atakujący w tym samym segmencie warstwy 2 może wysyłać sfałszowane odpowiedzi gratuitous ARP wiążące jego IP z MAC ofiary, uzyskując dostęp do portalu z ruchem przypisanym ofierze.

OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu wiersza konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem wireless-edit wstrzykiwać dyrektywy poprzez osadzanie znaków CR/LF w polach WPA. Atakujący mogą umieszczać znaki nowej linii w wpa.identity, wpa.passphrase lub współdzielonych sekretach RADIUS, aby dołączyć dowolne dyrektywy wpa_supplicant lub hostapd ładowane przez demony uruchamiane jako root.

OPNsense core w wersjach przed 26.7.8 zawiera podatność polegającą na wstrzyknięciu do logów, która pozwala nieuwierzytelnionym atakującym umieścić adresy IP ofiar w lockout_handler poprzez przesyłanie spreparowanych nazw użytkowników logowania WebGUI. Atakujący mogą wielokrotnie przesyłać nazwy użytkowników typu 'Invalid user <victim-ip>', aby dodać ofiarę do tabeli sshlockout, blokując dostęp SSH i WebGUI oraz zabijając jej stany pf.

Juspay Hyperswitch w wersjach przed 1.128.0 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym fałszować aktualizacje statusu płatności, ponieważ funkcja verify_webhook_source connectora Worldpayxml zawsze zwraca true bez wymuszonego mTLS. Atakujący znający merchant_id i orderCode Worldpay może wysłać niepodpisany XML z lastEvent SETTLED do endpointu webhook worldpayxml, oznaczając nieopłacone płatności jako obciążone lub wywołując zdarzenia zwrotu, sporu i wypłaty.

Juspay Hyperswitch w wersjach do 1.128.0 (oraz kompilacjach przed 2026.10.19.0) zawiera podatność polegającą na braku autoryzacji, która pozwala nieuwierzytelnionym atakującym potwierdzać wypłaty dowolnym client_secret poprzez POST /payouts/{payout_id}/confirm. Atakujący posiadający publishable key sprzedawcy i payout_id może potwierdzać wypłaty i nadpisywać pola amount, currency, connector i routing, wywołując nieautoryzowane wypłaty sprzedawcy.

Lago do wersji 1.55.0 zawiera podatność na obejście uwierzytelniania, która pozwala administratorom organizacji uzyskać tokeny sesji dla istniejących kont poprzez mutację acceptInvite bez sprawdzania hasła. Atakujący może zaprosić adres e-mail ofiary, zaakceptować zaproszenie z dowolnym hasłem i otrzymać JWT umożliwiający dostęp do organizacji ofiary, danych rozliczeniowych, kluczy API i integracji płatności.

CakePHP do wersji 5.4.3 zawiera podatność na wstrzyknięcie SQL, która pozwala atakującym wstrzyknąć SQL poprzez dostarczenie niezwalidowanych wartości collation do StringExpression i IdentifierExpression. Atakujący kontrolujący nazwę collation przekazaną do konstruktora lub setCollation() może dołączyć SQL po niecytowanej klauzuli COLLATE, wpływając na każdy sterownik bazy danych w granicach uprawnień połączenia.

CakePHP do wersji 5.4.3 zawiera podatność na wstrzyknięcie SQL, która pozwala atakującym wstrzyknąć SQL poprzez dostarczenie niezwalidowanych przesunięć i kierunków ramek do WindowExpression::range() i frame(). Atakujący może przekazać spreparowane wartości przez aplikacje przekazujące dane użytkownika do klauzuli OVER, aby wykonać SQL z uprawnieniami połączenia bazy danych.