Katalog podatności CVE

W Gogs przed wersją 0.14.3, złośliwy użytkownik z uprawnieniami do tworzenia nowych plików w repozytorium lub na stronie wiki może wywołać odmowę usługi (DoS). Powoduje to, że strony z listą plików zwracają błąd HTTP 500 i uniemożliwiają korzystanie z interfejsu webowego dla danego repozytorium lub wiki.

Mastodon przed wersjami 4.5.10, 4.4.17 i 4.3.23 nieprawidłowo normalizował przychodzące aktywności podpisane za pomocą Linked-Data Signatures, co umożliwiało atakującym usuwanie wpisów JSON z ważnych podpisanych aktywności od zewnętrznych podmiotów.

Mastodon, serwer społecznościowy oparty na ActivityPub, przed wersjami 4.5.10, 4.4.17 i 4.3.23, nieprawidłowo normalizował przychodzące aktywności podpisane za pomocą Linked-Data Signatures, co umożliwiało atakującym manipulację ważnymi, podpisanymi aktywnościami JSON-LD od zewnętrznych podmiotów.

W systemie zarządzania treścią Ghost, od wersji 5.46.1 do 6.21.2, walidacja filtrów na publicznych punktach API mogła być częściowo obejściowa, co umożliwiało ujawnienie prywatnych pól poprzez atak brute force. W przypadku użycia SQLite, hasła były w pełni dostępne, natomiast w przypadku MySQL, wielkość liter w hasłach została utracona, co mogło uniemożliwić dalsze ataki brute force.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 6.19.4 do 6.21.1 niewystarczająca walidacja typu Content-Type dostarczanego przez klienta na końcówce API do przesyłania plików umożliwiła serwowanie przesłanych plików z wybranym przez atakującego typem treści z backendów S3/GCS.

Podatność w systemie zarządzania treścią Ghost (wersje od 5.18.0 do 6.21.1) umożliwia nieuwierzytelnionemu atakującemu sprawdzenie, czy dany adres e-mail należy do zarejestrowanego użytkownika. Problem wynika z różnic w odpowiedziach zwracanych przez endpointy logowania członków.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 6.19.4 do 6.21.1, podczas ponownego renderowania postów, Ghost mógł wysyłać żądania HTTP do nieautoryzowanych hostów obrazów, co stwarzało ryzyko dla bezpieczeństwa.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 6.0.9 do 6.21.1, sprawdzenie prywatnego adresu IP dla wychodzących żądań HTTP mogło być obejście za pomocą DNS rebinding, co pozwalało atakującemu na zmuszenie serwera Ghost do łączenia się z hostami w sieciach wewnętrznych.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 6.0.9 do 6.21.1 istnieje możliwość ominięcia filtra IP podczas wykonywania zewnętrznego żądania, co pozwala na skierowanie go do wewnętrznej usługi przy użyciu literału IPv6 odpowiadającego prywatnemu adresowi IPv4.

Jellyfin, otwartoźródłowy serwer multimedialny, przed wersją 10.11.9 zawierał potencjalną podatność XSS, która pozwalała na wykonanie dowolnego kodu Javascript przez nieuprzywilejowanego użytkownika w kontekście zalogowanego użytkownika administracyjnego. Atak mógł wystąpić poprzez nagłówek Client podczas AuthenticateByName.

Nieodpowiednia implementacja w systemie haseł w Google Chrome przed wersją 149.0.7827.197 umożliwiła zdalnemu atakującemu, który przejął proces renderowania, ominięcie izolacji witryn za pomocą spreparowanej strony HTML.

Podatność w przeglądarce Google Chrome na Androidzie przed wersją 149.0.7827.197 wynika z użycia niezainicjalizowanej pamięci w module GPU. Zdalny atakujący może wykorzystać specjalnie spreparowaną stronę HTML do odczytu potencjalnie wrażliwych danych z pamięci procesu.

Podatność w Google Chrome przed wersją 149.0.7827.197 wynika z niewystarczającej walidacji niezaufanych danych wejściowych w mechanizmie nawigacji. Umożliwia ona zdalnemu atakującemu, który przejął proces renderowania, ominięcie izolacji witryn za pomocą spreparowanej strony HTML.

Podatność w Google Chrome przed wersją 149.0.7827.197 polega na użyciu niezainicjalizowanej pamięci w GPU. Zdalny atakujący, który przejął proces renderowania, może uzyskać potencjalnie wrażliwe informacje z pamięci procesu za pomocą spreparowanej strony HTML.

Podatność w mechanizmie Autofill w przeglądarce Google Chrome przed wersją 149.0.7827.197 umożliwiała zdalnemu atakującemu, który przejął proces renderowania, wyciek danych między domenami za pomocą spreparowanej strony HTML.

Podatność w implementacji DeviceBoundSessionCredentials w przeglądarce Google Chrome przed wersją 149.0.7827.197 umożliwiała zdalnemu atakującemu ominięcie polityki samego pochodzenia (same origin policy) za pomocą spreparowanej strony HTML. Problem został sklasyfikowany jako wysokiego ryzyka (High).

Podatność DoS w kamerze Tapo C200 v3 wynika z nieprawidłowego obsługiwania pofragmentowanych pakietów IPv4. Nieuwierzytelniony atakujący z sąsiedztwa sieciowego może wysłać spreparowane pakiety, powodując nadmierne zużycie zasobów i niestabilność urządzenia.

W bibliotece GPAC/MP4Box przed wersją 26.02.0 wykryto podatność use-after-free w funkcji gf_filter_pid_reconfigure_task_discard w pliku filter_pid.c. Atakujący może spowodować odmowę usługi (DoS) poprzez dostarczenie spreparowanego pliku multimedialnego.

Warp to środowisko deweloperskie, które w wersjach od 0.2021.04.25.23.05.stable_00 do 0.2026.05.06.15.42.stable_01 akceptowało niezweryfikowane haki cyklu życia terminala z strumienia PTY. Atakujący mógł podszyć się pod wybrane metadane cyklu życia, co mogło prowadzić do ujawnienia wrażliwych informacji.

Aplikacja AnythingLLM przed wersją 1.13.0 na systemie Windows pozwalała na wykorzystanie zakodowanej absolutnej ścieżki do folderu dokumentów, co mogło prowadzić do uzyskania dostępu do plików poza zamierzonym katalogiem dokumentów.