Katalog podatności CVE

Serwer Dash MCP był związany z adresem loopback, ale nigdy nie sprawdzał nazwy hosta, którą podało żądanie. src/mcp_server_dash.py skonstruował serwer dla trybu sieciowego z interfejsem ograniczonym do loopback i bez ustawień bezpieczeństwa transportu, więc nazwa, która została wskazana na adres loopback, nadal docierała do nasłuchującego, niosąc nazwę hosta atakującego. Strona w przeglądarce odwiedzającego mogła zatem sterować lokalnym serwerem i wywoływać jego narzędzia wyszukiwania firm i szczegółów plików przy użyciu poświadczeń Dropbox, które posiada serwer. Tylko tryb sieciowy był osiągalny w ten sposób; tryb standardowego wejścia nie. Poprawka dostarcza ustawienia bezpieczeństwa transportu, które umożliwiają sprawdzanie hosta i zezwalają tylko na nazwę i port loopback, odrzucając inne hosty przed uruchomieniem narzędzia. Repozytorium nie publikuje wersji, więc dotknięty zakres to commit poprzedzający poprawkę.

Dool w wersjach do 1.3.8 jest podatny na podążanie za dowiązaniami symbolicznymi, gdy używana jest flaga "--devel", ponieważ aplikacja otwiera plik dziennika bez flagi "O_NOFOLLOW". Lokalny atakujący może wykorzystać to, tworząc dowiązanie symboliczne w oczekiwanej ścieżce pliku dziennika wskazujące na wrażliwy plik, powodując, że dool obetnie i nadpisze docelowy plik danymi dziennika, co jest szczególnie groźne, jeśli dool jest uruchamiany z podwyższonymi uprawnieniami. Problem został rozwiązany przez pull request #116.

HCL IntelliOps Event Management (IEM) jest dotknięty podatnością na współbieżność sesji administratora. Może ona pozwalać na pozostawanie sesji użytkownika aktywnych po wylogowaniu lub usunięciu sesji.

Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie sanityzuje i nie escapuje wartości ustawień przed wyświetleniem jej na stronie coming-soon, co pozwala użytkownikom z rolą Edytora (gdy administrator przyznał Edytorowi dostęp do kontrolek paska administracyjnego wtyczki CMP) na wstrzyknięcie dowolnych skryptów webowych, które wykonują się, gdy odwiedzający zobaczy stronę.

Binarka HCL BigFix Quantum Risk Analyzer nie posiada kilku krytycznych, standardowych zabezpieczeń, co może pozwolić atakującemu na spowodowanie przepełnienia bufora na stosie.

HCL Connections jest podatny na atak typu Server-Side Request Forgery (SSRF) w przypadku naruszenia wewnętrznego serwera, co może pozwolić atakującemu na wysyłanie nieautoryzowanych żądań w określonych scenariuszach, prowadząc do ujawnienia informacji lub obejścia zabezpieczeń.

HCL BigFix Quantum Risk Analyzer posiada proces walidacji, który zwraca zbyt szczegółowe komunikaty błędów przy nieprawidłowych danych wejściowych, co może pozwolić atakującemu na skuteczniejszy rekonesans i dostrojenie zautomatyzowanych narzędzi fuzzingowych.

Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.

Weblate przed wersją 2026.8 pozwala uwierzytelnionemu użytkownikowi na zmianę głównego adresu e-mail konta przez żądania PUT lub PATCH do /api/users/{username}/ bez weryfikacji nowego adresu, co umożliwia późniejsze przyjęcie zaproszenia do zespołu bez dostępu do skrzynki odbiorczej.

Profil Apple generowany dla konta Apple Mail, Kalendarz i Kontakty do synchronizacji z HCL Traveler wymaga osadzenia nazwy logowania i adresu e-mail. Wartości te nie mogą być później zmienione, a strona generowania profilu odzwierciedla je w profilu. Atakujący może zaatakować tylko własne urządzenie, ale HCL Traveler powinien sprawdzać, czy wartości są zgodne z wpisem w katalogu Domino dla uwierzytelnionego użytkownika.

Reactor Netty w określonych scenariuszach z wieloma klientami o różnych konfiguracjach resolvera DNS może nieprawidłowo ponownie używać wcześniej skonfigurowanego resolvera DNS. Dotyczy wersji 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejszych.

kas, narzędzie do konfiguracji projektów opartych na bitbake, przed wersją 5.4, podczas wewnętrznej konfiguracji klucza SSH wywoływanej przez SSH_PRIVATE_KEY lub SSH_PRIVATE_KEY_FILE, tworzy plik ~/.ssh/config, gdy brakuje konfiguracji użytkownika, i dodaje globalną regułę Host * z opcją StrictHostKeyChecking no. Funkcja ssh_no_host_key_check() działa bez sprawdzania ctx.managed_env, więc ustawienie utrzymuje się po zakończeniu kas i wpływa na przyszłe sesje SSH tego samego użytkownika, wykraczając poza zamierzone krótkotrwałe środowisko CI. Późniejsze połączenie SSH może zaakceptować klucz hosta kontrolowany przez atakującego bez weryfikacji, zwiększając ryzyko ataku man-in-the-middle.

Podatność w obsłudze fragmentów danych LoRaWAN TS004 w Zephyr RTOS (subsys/lorawan/services/frag_transport.c) polega na braku walidacji długości pozostałych bajtów przed odczytem w handlerze frag_transport_package_callback(). Atakujący, znający klucze sesyjne, może spowodować odczyt poza buforem RxPayload (do ~232 bajtów), kopiując dane z pamięci statycznej do buforów dekodera i obrazu FUOTA.

Usługa synchronizacji czasu w warstwie aplikacyjnej LoRaWAN zawiera podatność polegającą na odczycie poza granicami bufora w funkcji obsługi komendy AppTimeAns. Brak sprawdzenia długości danych powoduje odczyt do 5 bajtów poza zaszyfrowaną ramką, co może prowadzić do zastosowania błędnej korekty czasu.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 13.1 przed 19.1.7, 19.2 przed 19.2.5 i 19.3 przed 19.3.1, gdzie w pewnych warunkach uwierzytelniony użytkownik z uprawnieniami roli reportera, który był autorem merge requesta, mógł zresetować reguły zatwierdzania merge requesta z powodu nieprawidłowych kontroli autoryzacji.

Zapytanie usuwające osobiste tokeny dostępu wybiera z tabeli PersonalAccessTokenDB, ale filtruje po kolumnach tabeli Session, bez połączenia między nimi. SQLAlchemy interpretuje to jako niejawne połączenie krzyżowe, więc filtr nie ogranicza usunięcia do tokenu wywołującego użytkownika. W ten sposób użytkownik może usunąć wszystkie osobiste tokeny dostępu w systemie.

Wada logiki sterowania w konkretnej wbudowanej stronie internetowej trybu dziecięcego pozwala użytkownikom przeglądać lokalne zdjęcia z galerii bezpośrednio na stronie.

Błąd logiki wyskakującego okna w pewnej funkcji trybu dziecięcego pozwala użytkownikom ominąć weryfikację hasła i używać szybkich aplikacji poza aplikacją.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.1 nie weryfikuje, czy rejestracja witryn jest włączona w sieci przed utworzeniem rejestracji nowej witryny. Pozwala to nieuwierzytelnionym odwiedzającym na utworzenie nowej witryny w sieci WordPress multisite i uzyskanie na niej uprawnień administratora.

Obsługa polecenia SMM IHISI, FMTSWriteUseIntelLib, dla polecenia FMTS 0x32, odczytuje i zapisuje dane bez sprawdzania rozmiaru bufora, co może prowadzić do przepełnienia bufora.