Katalog podatności CVE

Netty (io.netty:netty-handler) w wersjach od 4.2.0.Final do 4.2.16.Final oraz w wersjach do 4.1.136.Final wyłącza weryfikację nazwy hosta TLS na ścieżce klienta SslProvider.OPENSSL, gdy używany jest zwykły (nie rozszerzony) X509TrustManager i niedostępne jest opakowanie menedżera zaufania oparte na Unsafe (Java 25+). W tej konfiguracji klient OpenSSL nie przeprowadza weryfikacji nazwy hosta, co pozwala atakującemu typu man-in-the-middle na przedstawienie certyfikatu wydanego dla innej nazwy hosta, który jest akceptowany bez weryfikacji. Poprawiono w wersjach 4.2.17.Final i 4.1.137.Final.

SiYuan w wersjach przed v3.7.4 zawiera podatność na dowolne usuwanie plików w punkcie końcowym /api/search/removeTemplate, który akceptuje niezweryfikowany parametr ścieżki przekazywany bezpośrednio do os.RemoveAll. Uwierzytelnieni atakujący z uprawnieniami administratora mogą podać bezwzględne ścieżki systemu plików, aby rekurencyjnie usunąć dowolne pliki lub katalogi, do których proces jądra ma uprawnienia, w dowolnym miejscu systemu plików hosta.

AVideo do commitu 9c39d8c8 zawiera podatność na obejście uwierzytelniania, gdzie deduplicateByEncoderQueueId() zwraca poświadczenia video_id_hash dla dowolnego wideo na podstawie encoder_queue_id bez weryfikacji własności, a useVideoHashOrLogin() konwertuje ten hash na logowanie bez hasła jako właściciel wideo. Atakujący z uprawnieniami do przesyłania mogą uzyskać video_id_hash administratora, pomijając parametr videos_id, a następnie użyć tego hasha w nieuwierzytelnionym żądaniu, aby uzyskać dostęp do sesji administracyjnej i zmodyfikować konfigurację systemu.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji, gdzie getToken() tworzy tokeny bez powiązania z tożsamością użytkownika lub celem, a plugin/Gallery/view/sections.php wydaje ważne tokeny nieuwierzytelnionym odwiedzającym. Atakujący mogą pobrać token z punktu końcowego Galerii i użyć go do obejścia kontroli autoryzacji w innych podsystemach, takich jak view/hls.php, aby uzyskać dostęp do ograniczonych treści wideo.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w punkcie końcowym releaseVideoNow.json.php, który nie ma kontroli autentyczności i akceptuje żądania GET. Atakujący mogą stworzyć złośliwe żądanie GET z ciasteczkiem sesji administratora, aby trwale opublikować dowolne wideo z embargiem, manipulując parametrem videos_id.

better-npm-audit do wersji 3.11.0 oraz wersja 4.0.0-rc.2 buduje polecenie npm audit, interpolując opcję --registry dostarczoną przez użytkownika do ciągu poleceń w src/handlers/handleInput.ts bez walidacji lub cytowania, a następnie przekazuje ten ciąg do child_process.exec() w index.ts, który uruchamia powłokę. Wartość rejestru zawierająca metaznaki powłoki, takie jak średnik, potok lub podstawienie poleceń, wykonuje dowolne polecenia systemu operacyjnego z uprawnieniami procesu uruchamiającego audyt.

Rozszerzenie Joomla - joomgalleryfriends.net - Stored XSS w JoomGallery < 4.4.0 - Uwierzytelniony użytkownik z uprawnieniami może przechowywać ładunek XSS w dowolnym obrazie, powodując wykonanie JavaScript w przeglądarce każdego odwiedzającego.

W urządzeniu TRENDnet TEW-821DAP w wersji 2.2.01b05 znaleziono podatność w nieznanej funkcji pliku /cgi-bin/upload.cgi komponentu ssi. Manipulacja argumentem filename prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka Firebase Authentication dla WordPressa przed wersją 1.7.1 nie wymaga, aby adres e-mail w tokenie uwierzytelniającym był zweryfikowany przed dopasowaniem go do konta WordPress i wydaniem sesji, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administratorzy.

Wtyczka Slider Hero with Video Background, Animation dla WordPressa przed wersją 9.1.3 nie posiada kontroli autoryzacji i nonce w dwóch swoich handlerach żądań oraz nie escapuje zapisanej opcji przed jej wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie złośliwego JavaScriptu, który będzie wykonany w kontekście administratora przeglądającego panel administracyjny wtyczki, a także każdego odwiedzającego stronę z osadzonym sliderem.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.

Wtyczka ManageWP Worker dla WordPressa przed wersją 4.9.37 nie wiąże konta logującego się z podpisem autoryzującym logowanie, ani nie zapobiega ponownemu użyciu już wykorzystanego linku logowania. Atakujący, którzy zdobędą taki link, mogą uzyskać sesję jako dowolny użytkownik witryny, w tym administrator.

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa do wersji 2.8.24 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpematico_import_settings. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą aktualizować dowolne opcje w witrynie WordPress, co może prowadzić do eskalacji uprawnień.

Moduł Tie::Hash::Regex dla Perla przed wersją 2.0.0 rzuca wyjątek przy niepoprawnych kluczach wyszukiwania. Metody FETCH, EXISTS i DELETE rzucają wyjątek, gdy klucz jest nieprawidłowym wyrażeniem regularnym, co może spowodować zakończenie działania aplikacji.

WeeChat w wersjach 0.3.1 do 4.9.0 używa funkcji porównujących ciągi znaków w czasie niezależnym od danych (weechat_strcasecmp i strcmp) do weryfikacji haseł i ich skrótów w uwierzytelnianiu relay. Atakujący może wykorzystać różnice czasowe, aby odczytać skrót hasła znak po znaku, a następnie uwierzytelnić się bez znajomości hasła. Problem został naprawiony w wersji 4.9.1.

FORT Validator w wersjach do 1.6.7 zawiera błąd walidacji pochodzenia w przetwarzaniu RRDP: delegowany CA pod tym samym TAL może odwoływać się do publicznych adresów RRDP ofiary, co powoduje, że cache pobierania oparty na URL zgłasza sukces po usunięciu lokalnego snapshotu ofiary. Może to prowadzić do cichego usunięcia VRP i innych podpisanych obiektów z danych wyjściowych FORT, umożliwiając przejęcie trasy lub utratę osiągalności. Wersja 1.6.8 zawiera poprawkę odrzucającą URL-e RRDP z innych źródeł.

Recce przed wersją 1.50.0, w przypadku serwerów OSS wystawionych na niezaufaną sieć bez uwierzytelniania, jest podatny na nieuwierzytelnione wykonywanie zapytań SQL przez API wykonywania zapytań. Gdy Recce jest skonfigurowany z projektem opartym na DuckDB, atakujący może użyć prymitywów systemu plików DuckDB do odczytu i zapisu plików dostępnych dla procesu serwera Recce.

Arc Enterprise przed wersją 26.06.1 w odbiorniku replikacji klastra waliduje tylko kopertę formatu wire (długość, opcode), a sam payload MsgReplicateSync jest akceptowany bez uwierzytelniania na poziomie aplikacji (brak HMAC, podpisu, nonce). Ochrona transportowa TLS/mTLS nie chroni przed manipulacją lub replayem na poziomie aplikacji. Problem naprawiono w wersji 2026.06.1.

Arc Enterprise przed wersją 26.06.1 w Raft FSM akceptuje ścieżki plików wybrane przez atakującego w propozycjach rejestracji manifestu bez walidacji względem skonfigurowanego backendu. Jedynym sprawdzeniem jest niepustość ścieżki; brak odrzucania przejść nadrzędnych (..), listy dozwolonych prefiksów, ograniczeń schematu (s3:// vs lokalny) ani limitu długości. Problem naprawiono w wersji 2026.06.1.

Arc przed wersją 26.06.1 rejestruje handlery net/http/pprof pod /debug/pprof/* i dodaje /debug/pprof do PublicPrefixes, co powoduje, że endpointy są dostępne bez uwierzytelnienia. Wersja 26.06.1 zawiera poprawkę. Dostępne są obejścia, takie jak blokowanie /debug/pprof* na reverse proxy lub ograniczenie portu API do zaufanych sieci.