Katalog podatności CVE

NocoDB przed wersją 2026.05.1 pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia kolumn na wstrzykiwanie SQL do punktu końcowego grupowania danych. Użytkownik może to osiągnąć, ustawiając tytuł kolumny na fragment SQL, co omija istniejącą listę dozwolonych kolumn.

NocoDB przed wersją 2026.05.1 miał podatność, która pozwalała na otwarcie surowego gniazda TCP do hosta bazy danych dostarczonego przez użytkownika bez weryfikacji adresu docelowego. To umożliwiało dostęp do prywatnych i lokalnych adresów, w tym do localhost.

NocoDB przed wersją 2026.05.1 pozwalał użytkownikom w jednym obszarze roboczym na uzyskanie dostępu do integracji innego obszaru roboczego poprzez punkt końcowy testConnection, podając jego identyfikator. Problem wynikał z błędnej weryfikacji uprawnień, co umożliwiało nieautoryzowany dostęp.

NocoDB przed wersją 2026.04.1 miał problem z różnym czasem odpowiedzi podczas logowania w zależności od tego, czy adres e-mail był znany, czy nie. W przypadku nieznanego użytkownika odpowiedź była zwracana bez porównania hasła, co stwarzało lukę bezpieczeństwa.

NocoDB przed wersją 2026.05.1 miał problem z weryfikacją haseł w trybie shared-view, co prowadziło do wycieku długości hasła oraz prefiksu znakowego przez czas odpowiedzi. Ta podatność została naprawiona w wersji 2026.05.1.

NocoDB przed wersją 2026.04.1 miał podatność, która umożliwiała ujawnienie wartości z ukrytych kolumn w publicznych punktach widokowych. Użytkownicy mogli uzyskać dostęp do tych wartości poprzez różne ścieżki, takie jak grupowanie, filtrowanie i sortowanie.

NocoDB przed wersją 2026.04.1 zawierał podatność w wtyczce hashRedirect, która umożliwiała przekierowanie użytkowników na złośliwe strony. Przekierowanie następowało po sprawdzeniu, czy ścieżka zaczyna się od '/', co pozwalało na wykorzystanie URL-i względnych protokołu.

NocoDB przed wersją 2026.04.1 miał podatność w stronie resetowania hasła, która renderowała token URL bezpośrednio w literałach ciągów JavaScript. Odpowiednio skonstruowany token mógł przełamać kontekst ciągu JS i wykonać skrypt kontrolowany przez atakującego.

NocoDB przed wersją 2026.04.1 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami columnAdd na wstrzykiwanie dowolnego SQL do silnika formuł poprzez argument direction funkcji ARRAYSORT(...). Wartość ta nie jest ograniczona przez walidację formuły i jest osadzana w klauzuli ORDER BY, co prowadzi do wykonania podczas tworzenia kolumny oraz przy każdym odczycie rekordu z kolumny formuły.

NocoDB przed wersją 2026.05.1 miał lukę, która pozwalała na dostęp do ukrytych kolumn w widokach współdzielonych. Endpointy relacji publicznych akceptowały identyfikator kolumny dostarczony przez użytkownika bez weryfikacji, czy kolumna była widoczna w danym widoku.

NocoDB przed wersją 2026.04.1 miał lukę, która pozwalała atakującym na uzyskanie dostępu do członków bazy danych poprzez UUID sesji współdzielonej. Atakujący mógł zapraszać dowolne adresy e-mail jako prawdziwych członków bazy, co prowadziło do nieautoryzowanego dostępu.

NocoDB przed wersją 2026.04.4 miał lukę w API załączników, która pozwalała uwierzytelnionym użytkownikom na pobieranie dowolnie dużych plików, co prowadziło do wyczerpania przestrzeni dyskowej i odmowy usługi.

NocoDB przed wersją 2026.04.1 miało lukę w zabezpieczeniach dotyczącą ciasteczka refresh-token, które było ustawione z httpOnly: true, ale brakowało mu flagi secure oraz atrybutu sameSite. To umożliwiało przechwycenie ciasteczka w sieci oraz ataki CSRF na punkt końcowy odświeżania tokenów.

NocoDB przed wersją 2026.04.1 miał nieprawidłową ochronę przed SSRF w czterech wtyczkach webhooków powiadomień (Slack, Discord, Mattermost, Teams). Użytkownik z uprawnieniami do tworzenia hooków mógł kierować wychodzące żądania POST do dowolnych wewnętrznych hostów.

NocoDB przed wersją 2026.04.1 zawierał podatność na refleksyjny XSS w stronie ostrzegania przed opuszczeniem. Parametry zapytania ncRedirectUrl i ncBackUrl były używane w window.location.href oraz w powiązaniach tagów <a> bez walidacji, co umożliwiało wstrzykiwanie URI javascript:.

W bibliotece GStreamer (gst-plugins-bad) podczas przetwarzania spreparowanego pliku wideo H.264 z uszkodzonymi jednostkami NAL rozszerzeń MVC lub SVC występuje odczyt o jeden bajt poza stertą. Błąd pojawia się, gdy parser sprawdza informacje o granicach slajsu bez weryfikacji, czy jednostka NAL zawiera wystarczającą ilość danych za nagłówkiem rozszerzenia.

W pakiecie GStreamer gst-plugins-bad odkryto podatność polegającą na odczycie poza zakresem pamięci podczas przetwarzania nieprawidłowego strumienia wideo H.266/VVC z spreparowaną wartością współczynnika proporcji. Atakujący może wykorzystać ten błąd, dostarczając złośliwy plik lub strumień wideo, co prowadzi do wycieku do 8 bajtów sąsiedniej pamięci przez metadane wideo.

W kolekcji Ansible community.general w module nexmo stwierdzono podatność polegającą na przesyłaniu danych uwierzytelniających API (api_key i api_secret) w parametrach zapytania URL metodą GET. Powoduje to ujawnienie tych danych w logach serwera WWW, logach proxy, nagłówkach HTTP Referer oraz narzędziach monitorujących sieć, mimo że parametry te są oznaczone jako no_log w specyfikacji argumentów Ansible.

Moduł Ansible keyring_info wycieka hasło z systemowej magazynu kluczy (GNOME Keyring, macOS Keychain, Windows Credential Manager) do wyników zadania, ponieważ pole 'passphrase' w wyjściu nie jest chronione flagą no_log. Hasło jest widoczne w logach, debugu i cache faktów.

FOSSBilling, system do zarządzania fakturami i klientami, ma podatność na IDOR w wersjach od 0.6.21 do 0.7.2, umożliwiającą uwierzytelnionym klientom tworzenie zgłoszeń wsparcia, które odnoszą się do zamówień innych klientów. Metoda ticketCreateForClient() nie weryfikowała własności zamówienia, co pozwalało na manipulację rel_id.