Katalog podatności CVE

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka trwałego skryptu krzyżowego (stored XSS), ponieważ widok narzędzia wstawia nazwy rekordów do znaczników bez escapowania. Uwierzytelniony użytkownik mogący tworzyć takie rekordy może nadać im złośliwe nazwy, które wykonają skrypt w sesji każdego, kto otworzy narzędzie.

Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.

W Frappe przed wersją 15.118.0 oraz 16.x przed 16.31.0 występuje podatność stored cross-site scripting w filtrach wykresów dashboardu, ponieważ jQuery renderuje wprowadzone wartości filtrów jako rich text. Uwierzytelnieni atakujący mogą zapisać złośliwe wartości filtrów, które wykonują skrypty w przeglądarkach użytkowników przeglądających wykres dashboardu.

W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.

W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.

W Frappe przed wersją 15.113.3 oraz 16.x przed 16.25.0 występuje brak kontroli autoryzacji, w którym niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych endpointów, aby modyfikować rekordy poza zakresem przypisanej im roli.

W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.

Hugo od wersji 0.60.0 do 0.167.0 zawiera podatność na trwały cross-site scripting (XSS), która pozwala autorom treści Markdown na wstrzyknięcie HTML przez spreparowane identyfikatory nagłówków. Atakujący mogą wydostać się z nieescapowanego atrybutu href w .TableOfContents lub .Fragments.ToHTML, aby wstrzyknąć elementy z obsługą zdarzeń do renderowanych stron.

Hugo od wersji 0.162.0 do 0.167.0 zawiera podatność na nieprawidłowe rozwiązywanie linków, która pozwala złośliwym motywom lub modułom na ujawnienie plików poza ich katalogiem głównym przez katalogi przodków zagnieżdżonych mountów. Atakujący kontrolujący motyw może umieścić dowiązanie symboliczne lub połączenie NTFS w wirtualnym katalogu przodka, powodując, że resources.Match wyświetli i opublikuje lokalne pliki podczas budowania.

Hugo od wersji 0.84.0 do 0.167.0 zawiera podatność na path traversal, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback resolver ESBuild w js.Build, js.Batch i css.Build. Atakujący mogą dostarczyć względne importy lub dowiązania symboliczne wskazujące poza projekt, aby spakować dowolny plik czytelny dla użytkownika budującego do opublikowanego wyjścia JavaScript lub CSS.

Hugo przed wersją 0.167.0 zawiera podatność na path traversal w css.Sass, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback importu kompilatora Sass. Atakujący mogą dostarczyć arkusze stylów z względnymi, bezwzględnymi lub dowiązanymi symbolicznymi celami @import lub @use, aby skompilować czytelne pliki do opublikowanego CSS strony.

W phpMyFAQ przed wersją 4.1.9 występuje luka wstrzyknięcia SQL w metodzie PdoMysql::escape(), która escapuje apostrofy backslashami traktowanymi dosłownie, gdy MySQL lub MariaDB działa w trybie NO_BACKSLASH_ESCAPES. Nieuwierzytelniony atakujący może wysłać w parametrze wyszukiwania api/autocomplete znak Unicode prawego apostrofu, normalizowany do apostrofu ASCII, aby odczytać poświadczenia i sekrety konfiguracji, modyfikować rekordy lub usuwać tabele.

W Open WebUI od wersji 0.8.6 przed 0.11.4 występuje luka eskalacji uprawnień w proxy terminala, która pozwala uwierzytelnionym użytkownikom dotrzeć do administracyjnego API Terminals ze wspólnym kluczem. Atakujący może wysyłać żądania przez /api/v1/terminals/{server_id}/{path}, aby wyświetlać lub zatrzymywać terminale innych użytkowników oraz modyfikować polityki terminali, wstrzykując zmienne środowiskowe do terminali innych użytkowników.

Wykryto podatność w code-projects Matrimonial System 1.0. Problem dotyczy nieznanego przetwarzania pliku db/matrimony.sql. Ta manipulacja powoduje, że pliki lub katalogi są dostępne. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty.

Wykryto podatność w code-projects Online Ticket Reservation System 1.0. Podatność dotyczy nieznanego kodu pliku /database/medallion.sql. Manipulacja prowadzi do ujawnienia informacji o plikach i katalogach. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność XSS w nieznanej części pliku /goform/formQoS (strona QoS). Manipulacja danymi prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Edimax BR-6208AC w wersji 1.32 zidentyfikowano słabość w nieznanej funkcji pliku /goform/formPortFw (strona przekierowania portów). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.

IBM TRIRIGA Application Platform w wersjach od 5.0.0 do 5.0.8 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji ścieżek plików podczas rozpakowywania archiwów.

W Frappe ERPNext przed wersją 14.92.1 oraz w gałęzi 15.x przed 15.83.0 występuje luka odbitego skryptu krzyżowego (reflected XSS) z powodu braku walidacji danych wejściowych na pewnej stronie, co pozwala na wykonanie dowolnego JavaScriptu w uwierzytelnionych sesjach. Zdalny atakujący może nakłonić zalogowanego użytkownika do otwarcia spreparowanego adresu URL, aby wykonać wstrzyknięty skrypt i przejąć konto ofiary.

Frappe przed wersją 14.99.2 i 15.x przed 15.86.0 zawiera podatność na wstrzykiwanie LDAP, ponieważ niektóre punkty końcowe nie sanityzują parametrów dostarczanych przez użytkownika przed użyciem ich w zapytaniach LDAP. Atakujący mogą dostarczyć spreparowaną składnię filtra LDAP przez te parametry, aby zmienić wynikowe zapytania do katalogu.