Katalog podatności CVE

Z powodu nieprawidłowych kontroli uprawnień w Lobster_pro atakujący mogą korzystać z endpointów, które powinny wymagać uprawnień administracyjnych. Problem dotyczy wersji 4.12.12-LTS i potencjalnie innych wersji przed 25.1.3.

W gssproxy wykryto podatność polegającą na dereferencji wskaźnika NULL. Gdy odebrane zostanie żądanie GSSX_INIT_SEC_CONTEXT bez pola target_name, demon dereferencjonuje wskaźnik NULL i ulega awarii. Żądanie nie wymaga uwierzytelnienia, więc każdy lokalny użytkownik może wywołać awarię demona przez gniazdo Unix, a demon nie restartuje się automatycznie, co powoduje trwałą odmowę usługi.

W iFlytek astron-agent do wersji 1.1.2 zidentyfikowano podatność w funkcji FileInfoV2Service.listKnowledgeByPage pliku FileInfoV2Service.java, w komponencie Console Knowledge-List Endpoint. Manipulacja argumentem space-id prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W Kameleo do wersji 5.3.1 wykryto podatność w nieznanym kodzie pliku /general/user-info, w komponencie Local API. Manipulacja prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Producent nie odpowiedział na zgłoszenie.

MongoDB Shell (mongosh) korzysta z Node.js jako środowiska uruchomieniowego, które posiada własny magazyn głównych certyfikatów TLS. Magazyn ten zawiera odzyskiwalne certyfikaty pośredniego CA eMudhra. Problem dotyczy mongosh w wersjach przed 2.14.0 i można go rozwiązać, aktualizując do mongosh 2.14.0, które zawiera Node.js 24.22.1 lub nowszy.

Apache SIS w wersjach od 0.7 do 1.6 otwiera pliki, do których odwołują się przetwarzane dane, niezależnie od ich ścieżki, co może pozwolić na wskazanie pliku lokalnego. Dotyczy to formatów GML z atrybutami xlink:href, WKT z elementami parametrów siatek przesunięć datum oraz scen Landsat z ścieżkami do plików GeoTIFF. Odczyt zatrzymuje się na pierwszym błędzie parsowania, co czyni wyciek danych mało prawdopodobnym.

W module przechowywania SQL Apache SIS podczas sortowania strumienia obiektów klauzula jest kopiowana po ORDER BY bez cytowania znaku identyfikatora. Spreparowana klauzula sortowania może wstrzyknąć SQL do zapytania. Problem dotyczy modułu sql-storage w wersjach od 1.0 do 1.6; inne moduły, takie jak sis-referencing, nie są dotknięte.

Wersje Mattermost <=11.9, 11.1.9, 11.5.8 i 11.10.7.0 nie sprawdzają długości linii czatu Zoom przed jej przycięciem. Uwierzytelniony atakujący może doprowadzić do awarii wtyczki Agents poprzez streszczanie transkrypcji czatu Zoom zawierającej krótkie linie kontynuacji.

Aplikacja Frappe CRM przed wersją 1.89.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami czytać rekordy CRM Lead, do których nie mają dostępu, poprzez API get_contact_by_phone_number wykonujące surowe zapytania do bazy bez sprawdzania uprawnień. Atakujący może podać znany numer telefonu, aby uzyskać pełne dane leada.

W bibliotece mcuxsdk-middleware-usb (NXP MCUXpresso SDK) przed wersją 2.13.0 występuje przepełnienie bufora na stercie w sterownikach klas hosta audio, video i CDC, które ufają wartościom bNumEndpoints i bLength dostarczonym przez urządzenie USB. Złośliwe urządzenie USB może przesłać spreparowane deskryptory zapisujące wpisy endpointów poza tablicę epList o stałym rozmiarze, uszkadzając pamięć sterty.

W bibliotece mcuxsdk-middleware-usb (NXP MCUXpresso SDK) przed wersją 2.13.0 występuje luka polegająca na odczycie poza zakresem w funkcji USB_DeviceCdcRndisSetCommand(), która ufa wartości informationBufferOffset dostarczonej przez hosta. Złośliwy host USB może wysłać komunikaty RNDIS SET dla OID_GEN_CURRENT_PACKET_FILTER lub OID_802_3_MULTICAST_LIST z offsetem poza zakresem, aby odczytać i ujawnić pamięć urządzenia.

Objenesis przed wersją 3.6 zawiera lukę typu type confusion, która pozwala kodowi z jednego class loadera podstawiać obiekty do innego, wykorzystując buforowanie instancjatorów oparte na nazwie klasy. Gdy współdzielona instancja ObjenesisStd buforuje instancjatory według clazz.getName() w ObjenesisBase.getInstantiatorOf(), klasy o tej samej nazwie kolidują, powodując zwracanie przez newInstance() obiektów niewłaściwej klasy i błędy ClassCastException.

W Kameleo do wersji 5.0.1.26 zidentyfikowano słabość w nieznanej części pliku /profiles komponentu Local API. Manipulacja powoduje ujawnienie informacji, a atak można przeprowadzić zdalnie.

W Kameleo do wersji 5.3.1 odkryto lukę w funkcji CookieController.ListCookies w pliku client-engine-application/w.cs komponentu Cookie Controller. Manipulacja argumentem guid prowadzi do ujawnienia informacji, a atak można wykonać zdalnie.

W Kameleo do wersji 5.0.1.26 wykryto lukę w funkcji InternalController.TestProxy w pliku client-engine-application/f.cs komponentu Proxy Validation. Manipulacja argumentami host/port może prowadzić do podatności server-side request forgery, a atak można zainicjować zdalnie.

W AllenAI AllenNLP do wersji 2.10.1 występuje luka w funkcji Registrable.resolve_class_name w pliku allennlp/common/registrable.py komponentu Registrable Configuration Machinery. Manipulacja argumentem Type prowadzi do wstrzyknięcia kodu, a atak można zainicjować zdalnie; exploit został publicznie ujawniony.

W JIZHICMS do wersji 2.5.6 wykryto lukę w funkcji Pay w pliku app/home/c/OrderController.php komponentu Front-end Order Handler. Manipulacja argumentem orderno prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie; exploit został publicznie ujawniony.

RosarioSIS przed wersją 12.9.2 zawiera lukę reflected cross-site scripting w modules/Food_Service/MenuReports.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać atrybuty przez nieescapowane parametry menu_id i modname. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku Modules.php, w którym menu_id w cudzysłowie wstrzykuje obsługę onmouseover, kradnąc tokeny sesji i CSRF.

MacCMS v10 do wersji 2026.1000.4056 zawiera lukę mass assignment w index/Comment::saveData(), która pozwala nieuwierzytelnionym atakującym ustawiać dowolne kolumny mac_comment, w tym user_id. Atakujący mogą przesyłać anonimowe komentarze ze spreparowanym parametrem user_id, przypisując je dowolnemu zarejestrowanemu członkowi i podszywając się pod niego.

Webasyst Framework do wersji 4.4.0 zawiera podatność na dowolne odczytanie plików w waArchiveTar::writeItem(), która tworzy dowiązania symboliczne z archiwów motywów bez walidacji celów tych dowiązań. Uwierzytelnieni użytkownicy z uprawnieniami do zarządzania motywami mogą przesłać motywy zawierające dowiązania do wa-config/db.php lub /etc/passwd i odczytać je poprzez publiczną ścieżkę motywu.