Katalog podatności CVE

W alldatacenter alldata do wersji 0.6.8 znaleziono podatność na manipulację ścieżką (path traversal) w funkcji FileInputStream pliku /admin/controller/JobLogController.java, w komponencie logDetailCat Endpoint. Manipulacja argumentem executorAddress umożliwia zdalny atak. Exploit został opublikowany i może być wykorzystany.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie /api/filetree/authFilePublishAccess, który jest zarejestrowany tylko z CheckAuth i dostępny anonimowo. Endpoint nigdy nie ustawia kodu błędu, więc wynik jest sygnalizowany przez komunikat odpowiedzi i obecność nagłówka Set-Cookie, które różnią się w zależności od poziomu dostępu. Anonimowy atakujący może rozróżnić, czy dokument jest publiczny/nieistniejący, chroniony hasłem, czy istnieje w ukrytej lub zabronionej warstwie, potwierdzając istnienie dokumentów, do których nie ma dostępu.

actix-http przed wersją 3.12.1 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling) w parserze HTTP/1.1, który akceptuje żądania z jednoczesnym nagłówkiem Content-Length i Transfer-Encoding: chunked. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać to przez pośredniczący front-end do desynchronizacji żądań backendu i przemycania złośliwych żądań HTTP do usługi Actix.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie getAttributeViewBacklinks, który przy filtrowaniu linków zwrotnych konsultuje listę zabronionych dostępów zamiast listy widoczności. Anonimowi czytelnicy mogą podać publicznie widoczny identyfikator wiersza bazy danych, aby odkryć ukryte dokumenty, które się do niego odwołują, otrzymując nazwę bazy danych, tytuł wiersza i ścieżkę dokumentu ukrytych dokumentów.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie getRefIDsByFileAnnotationID, który zwraca identyfikatory bloków cytujących adnotacje PDF bez filtrowania pod kątem dostępu publikacyjnego. Atakujący mogą wyodrębnić identyfikatory bloków z zastrzeżonych dokumentów, podając identyfikatory adnotacji widoczne na opublikowanych stronach, ujawniając relacje cytowań między zabronionymi i chronionymi hasłem warstwami.

FileBrowser przed wersją 2.63.19 nie egzekwuje zadeklarowanej wartości Upload-Length w endpointcie PATCH dla przesyłania wznawianego TUS, co pozwala uwierzytelnionym użytkownikom zapisywać dowolne dane na dysku. Atakujący mogą wysyłać zbyt duże treści żądań przekraczające zadeklarowaną długość, aby wyczerpać dostępne miejsce na dysku i spowodować niedostępność usługi.

filebrowser przed wersją v2.63.21 nie kanonizuje ścieżek przed oceną reguł dostępu, co pozwala uwierzytelnionym użytkownikom ominąć zdefiniowane przez administratora reguły odmowy przy użyciu ścieżek z różną wielkością liter lub separatorami backslash. Atakujący mogą żądać plików z alternatywnymi reprezentacjami ścieżek, które nie pasują do żadnej reguły, ale rozwiązują się do tego samego obiektu systemu plików, uzyskując nieautoryzowany dostęp do zabronionych plików w swoim zakresie.

filebrowser przed wersją 2.63.19 zawiera obejście uprawnień w endpointcie /api/resources. Gałąź checksum (?checksum=) w resourceGetHandler odczytuje cały plik, aby obliczyć skrót i zwraca go bez sprawdzania uprawnienia Perm.Download (w przeciwieństwie do ścieżek raw, preview i subtitle). W rezultacie uwierzytelniony użytkownik z Perm.Download=false może uzyskać wyrocznię skrótu treści dla dowolnego pliku w tym samym zakresie (md5/sha1/sha256/sha512), umożliwiając potwierdzenie znanej/odgadniętej treści, wykrywanie zmian i ataki brute-force offline na pliki o niskiej entropii. Jest to niepełna poprawka CVE-2026-35606; omija tylko uprawnienie Download i nie pokonuje autoryzacji zakresu/ścieżki.

Grav w wersjach od 1.5.2 do 2.0.12 zawiera podatność na trwały cross-site scripting (XSS) w funkcji Security::detectXss() (system/src/Grav/Common/Security.php). Skanowanie obsługi zdarzeń jest zakotwiczone na `<` i używa `[^>]*?`, które nie może przekroczyć pierwszego dosłownego `>`; gdy `>` pojawi się wewnątrz wartości atrybutu w cudzysłowie, przeglądarka utrzymuje tag otwarty i parsuje kolejny moduł obsługi zdarzeń (np. onerror), więc detektor i przeglądarka są w niezgodzie. Edytor strony bez uprawnień admin.super może zapisać treść strony taką jak `<img src=x title=">" onerror=alert(document.domain)>`, która jest akceptowana, przechowywana i wykonywana w originie witryny, gdy dowolny odwiedzający (w tym nieuwierzytelnieni użytkownicy) przegląda stronę. Naprawiono w wersji 2.0.13.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu klucza API w DemoController. Prywatna metoda requireSuper() sprawdza isSuperAdmin() i zwraca wcześniej, przed wywołaniem requirePermission(), więc ograniczenie api_key_scopes (egzekwowane tylko w requirePermission()) jest pomijane. W rezultacie każdy klucz API z ograniczonym zakresem wybity na koncie super może ominąć ograniczenia zakresu podczas wywoływania operacji baseline() i reset() (np. POST /api/v1/demo/reset), umożliwiając przechwycenie baseline demo lub wymuszenie resetu demo. Wpływ jest ograniczony do kontroli silnika demo i jest warunkowy, jeśli tryb demo jest skonfigurowany z zasobami do zapisu.

Wtyczka Grav Form przed wersją 9.1.15 zawiera podatność na trwały atak XSS w etykietach opcji pól radio i przełączników, renderowanych z użyciem filtra Twig |raw. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać kod HTML i skrypty w etykiety opcji, które wykonują się w przeglądarkach odwiedzających i administratorów przeglądających formularz.

Grav przed wersją 2.0.13 nieprawidłowo waliduje ścieżki główne profili kopii zapasowych, co pozwala atakującym na archiwizowanie katalogów poza GRAV_ROOT, gdy nie znajdują się one na twardo zakodowanej liście zabronionych. Atakujący z dostępem do edycji profili mogą skonfigurować profile z ścieżkami przejścia, aby ujawnić wrażliwe pliki z lokalizacji takich jak /opt, /mnt lub /srv.

go-chi/chi w wersjach od 0.9.0 do przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ustala źródłowy adres IP żądania (Request.RemoteAddr) na podstawie pierwszego adresu IP w nagłówku X-Forwarded-For bez weryfikacji zaufanych proxy. Złośliwy klient może dodać sfałszowany adres IP jako pierwszą wartość nagłówka X-Forwarded-For, aby podszyć się pod źródło żądania, potencjalnie omijając kontrolę dostępu lub fałszując logi żądań.

go-chi/chi do wersji 5.2.1 zawiera podatność na spoofing IP w middleware RealIP (middleware/realip.go). Funkcja realIP() odczytuje kontrolowane przez klienta nagłówki (True-Client-IP, X-Real-IP i X-Forwarded-For) i nadpisuje r.RemoteAddr bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący mogą podać dowolne adresy IP w tych nagłówkach, aby ominąć kontrolę dostępu opartą na IP, uniknąć limitów szybkości i ograniczeń geo-IP oraz zanieczyścić logi audytowe. Naprawiono w wersji 5.3.0.

go-chi chi w wersjach >= 5.2.1 i przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ślepo ufa pierwszej (skrajnie lewej) wartości nagłówka X-Forwarded-For. Zdalny atakujący może ominąć listy kontroli dostępu oparte na IP i mechanizmy ograniczania szybkości oraz sfałszować wpisy logów, podając sfałszowany adres IP w nagłówku X-Forwarded-For. Problem naprawiono w wersji 5.3.0.

Crate actix-files (actix_files) przed wersją 0.6.10 zawiera podatność na ujawnienie informacji. Gdy nieistniejący folder jest przekazany jako argument serve_from do Files::new(), ścieżka montowania domyślnie staje się pustą ścieżką; usługa następnie łączy ścieżkę żądania z tą pustą ścieżką i kanonizuje ją, co powoduje, że Rust rozwiązuje ją jako ścieżkę względną. W rezultacie atakujący może żądać ścieżek, które rozwiązują się względem katalogu roboczego aplikacji i uzyskać dostęp do nieprzeznaczonych plików.

actix-files przed wersją 0.6.10 zawiera podatność na atak DoS wywołaną pustym nagłówkiem Range w żądaniach GET dla plików statycznych. Gdy ustawienie panic jest ustawione na abort, zdalni atakujący mogą spowodować awarię procesu na żądanie, wysyłając żądanie GET z pustym nagłówkiem Range.

SiYuan przed wersją v3.7.4 zawiera podatność na brak autoryzacji w punkcie końcowym /api/ref/refreshBacklink, która pozwala anonimowym czytelnikom na wywoływanie trwałych zapisów po stronie serwera. Atakujący mogą wywołać ten punkt końcowy z kontrolowanym identyfikatorem bloku, aby opróżnić kolejki transakcji, przeskanować wszystkie referencje globalnie i dodać zapisy do bazy danych, omijając ochronę trybu tylko do odczytu i umożliwiając ataki amplifikacji zasobów.

chi przed wersją v5.2.2 zawiera podatność na otwarte przekierowanie w funkcji middleware RedirectSlashes, która używa nagłówka Host do konstruowania adresów URL przekierowań. Atakujący mogą manipulować nagłówkiem Host, aby przekierować użytkowników na dowolne hosty, umożliwiając ataki phishingowe i kradzież danych uwierzytelniających.

W bibliotece libdm znaleziono błąd, który pozwala lokalnemu atakującemu na stworzenie złośliwej konfiguracji metadanych Logical Volume Manager (LVM) z głęboko zagnieżdżonymi strukturami. Może to prowadzić do niekontrolowanej rekurencji w parserze plików konfiguracyjnych libdm, wyczerpując stos i powodując awarię każdego polecenia LVM odczytującego metadane. Podatność prowadzi do odmowy usługi (DoS) dla dotkniętych systemów.