Katalog podatności CVE

Grav CMS przed wersją 2.0.16 ma podatność czasową w funkcji Utils::verifyNonce(), która używa porównania nie w stałym czasie (operator ===) zamiast hash_equals() do walidacji nonce CSRF. Atakujący mogą mierzyć różnice czasu odpowiedzi, aby odzyskać prawidłowe nonce bajt po bajcie.

Adminer w wersjach 4.6.0-5.5.0 (poprawione w 5.5.1) ma niekompletną poprawkę podatności X-Forwarded-Prefix. Walidacja odrzuca tylko prefiksy zaczynające się od '/', ale pozwala na wartości takie jak '/\evil.com', które po normalizacji przeglądarki stają się sieciowym odwołaniem ścieżki, wpływając na atrybut Path w ciasteczkach.

W Faveo Helpdesk do wersji 2.0.3 występuje podatność na przechodzenie do innych katalogów (path traversal) w funkcji unlink w pliku SettingsController.php (komponent Logo Handler). Manipulacja argumentem data1 umożliwia zdalne usunięcie dowolnych plików. Exploit został publicznie ujawniony i może być wykorzystany.

W hexpm (hex.pm) występuje podatność polegająca na niewystarczającym wygaśnięciu sesji w mechanizmie odświeżania tokenów OAuth. Użytkownik usunięty z organizacji może nadal czytać prywatne pakiety, ponieważ zakresy uprawnień nie są poprawnie aktualizowane. Problem dotyczy wersji hex.pm od 2025-10-10 do przed 2026-08-24.

Netty przed wersjami 4.1.137.Final i 4.2.17.Final zawiera podatność w MqttEncoder, która nie waliduje identyfikatorów klienta, tematów will, nazw użytkowników oraz nazw tematów PUBLISH przed kodowaniem. Może to pozwolić na wstrzyknięcie niedozwolonych bajtów null w polach UTF-8 MQTT, co może prowadzić do błędów routingu, kontroli dostępu lub tożsamości w brokerach.

W Piwigo 16.3.0 znaleziono podatność w nieznanej funkcji komponentu Public Authentication Page. Manipulacja argumentem lang prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit został opublikowany. Aktualizacja do wersji 16.4.0 naprawia problem.

Podatność w Apache::AppSamurai::Util w wersjach do 1.01 dla Perla: generowanie przewidywalnych kluczy uwierzytelniania sesji na podstawie zegara i identyfikatora procesu w CreateSessionAuthKey. Funkcja wykonuje pięć rund SHA-256, każda na świeżym odczycie Time::HiRes sformatowanym do sześciu miejsc po przecinku, bieżącym skrócie i identyfikatorze procesu. Klucz jest zwracany do przeglądarki jako ciasteczko sesji i łączony z kluczem serwera. Atakujący, znając sekundę utworzenia sesji i PID, może wyliczyć klucze i odzyskać ciasteczko ofiary, omijając uwierzytelnianie.

Wtyczka Content Mask dla WordPressa przed wersją 1.8.5.5 nie sprawdza uprawnień wymaganych do publikowania tworzonego typu treści, co pozwala użytkownikom z rolą Contributor na publikowanie postów i stron bez posiadania odpowiednich uprawnień.

Podatność znaleziona w Systerel S2OPC do wersji 1.7.3 dotyczy funkcji SOPC_NodeMgtHelperInternal_AddVariableNodeAttributes w pliku src/ClientServer/address_space/internal/sopc_node_mgt_helper_internal.c komponentu AddNodes Service. Manipulacja argumentem UserAccessLevel prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie, ale wymaga wysokiego stopnia złożoności i jest trudny do wykorzystania. Exploit został ujawniony publicznie.

NLTK 3.9.4 do 3.10.2 zawiera podatność na path traversal w CrubadanCorpusReader. _load_lang_ngrams łączy korzeń korpusu z crubadan_code, wartością z kolumny 0 odczytaną z pliku mapowania corpus table.txt, i otwiera wynik za pomocą wbudowanego open() zamiast walidowanego przez pathsec otwieracza, więc os.path.join odrzuca korzeń, gdy ta wartość jest absolutna, a odczyt wychodzi poza katalog korpusu bez sprawdzenia zawartości, które nltk.pathsec stosuje, gdy ENFORCE jest ustawione. Atakujący, który kontroluje pakiet korpusu, może ujawnić zawartość plików poza korzeniem korpusu przez lang_freq, ograniczone do ścieżek kończących się na -3grams.txt, których zawartość parsuje się jako linie z liczbą tokenów.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.

Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z wysokimi uprawnieniami na wstawienie dowolnego kodu HTML do aplikacji Portal for ArcGIS Home. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.

W Esri Portal for ArcGIS w wersjach 11.3 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z uprawnieniami administracyjnymi na wstawienie dowolnego kodu HTML do API administracyjnego. Użytkownicy ArcGIS Enterprise 11.1 i 11.3 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.

Incus to menedżer kontenerów systemowych i maszyn wirtualnych. Przed wersją 7.1.0, funkcja `(*backend).CreateCustomVolumeFromBackup` w `internal/server/storage/backend.go` zawiera niechronione wyłuskanie wskaźnika `*time.Time` na polu `ExpiresAt` każdego wpisu snapshotu wolumenu w importowanym backupie wolumenu niestandardowego. Uwierzytelniony użytkownik z uprawnieniem `can_create_storage_volumes` w dowolnym projekcie może doprowadzić do awarii demona `incusd` poprzez przesłanie archiwum backupu, w którym pole `volume_snapshots[*].expires_at` jest nieobecne. Jest to wariant siostrzanego pola GHSA-r7w7-mmxr-47r9 (CVE-2026-40197). Commit `985a1dedf9f3e7ba729c93b654905ed510de25c2` dodał `if s == nil` na początku pętli, ale nie zabezpieczył sąsiedniego wyłuskania `*snapshot.ExpiresAt` 19 linii dalej. Każdy inny konsument `Config.VolumeSnapshots[i].ExpiresAt` w tym samym pliku już zabezpiecza wyłuskanie sprawdzeniem nil — asymetryczne zabezpieczenie jest błędem. Wersja 7.1.0 zawiera zaktualizowaną poprawkę.

Incus to menedżer kontenerów systemowych i maszyn wirtualnych. Przed wersją 7.1.0, funkcja `(*backend).createDependentVolumesFromBackup` w `internal/server/storage/backend.go` zawiera grupę niechronionych wyłuskań wskaźników na polach `VolumeSnapshots[i]`, `Volume` i `Pool` każdego wpisu wolumenu zależnego. Uwierzytelniony użytkownik z uprawnieniem `can_create_instances` w dowolnym projekcie może doprowadzić do awarii demona `incusd` poprzez przesłanie archiwum backupu instancji, w którym blok `dependent_volumes[*]` zawiera wskaźnik nil snapshotu (lub pomija `volume:` / `pool:`). Jest to wariant siostrzanego pola poprawki z 2026-05-04 `d768f81c0a1d985f35ae56219519822b080bf5e3` ("Properly check dependent volumes on import"). Ten commit dodał `if disk == nil` na początku zewnętrznej pętli, ale nie zabezpieczył czterech pól pod-wskaźników, które ciało pętli wyłuskuje bezpośrednio. Wersja 7.1.0 zawiera zaktualizowaną poprawkę.

Wtyczka Limit Login Attempts Reloaded dla WordPressa przed wersją 3.3.5 nie porównuje nazw logowania z listą zablokowanych w sposób niewrażliwy na wielkość liter i nie uwzględnia adresu e-mail konta, co pozwala kontu, które administrator chciał zablokować, na zalogowanie się.

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie weryfikuje adresu URL webhooka podanego przez użytkownika ani nie sprawdza własności wydarzenia, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wywoływanie ślepych żądań po stronie serwera do dowolnych hostów.

Podatność na wstrzykiwanie XML w bibliotece xml_builder (moduł XmlBuilder) umożliwia fałszowanie treści i wstrzykiwanie XML. Nazwy elementów, atrybutów i identyfikatory doctype są interpolowane bez walidacji, co pozwala atakującemu na wstrzyknięcie dowolnego znacznika XML. Problem dotyczy wersji od 0.0.1 przed 2.4.1.

Podatność na wstrzykiwanie XML w bibliotece xml_builder (moduł XmlBuilder) umożliwia fałszowanie treści i wstrzykiwanie XML. Funkcja escape/1 dla danych CDATA nie obsługuje sekwencji ']]>', co pozwala atakującemu na przedwczesne zamknięcie sekcji CDATA i wstrzyknięcie dowolnego XML. Problem dotyczy wersji od 0.0.7 przed 2.4.1.