Katalog podatności CVE

HCL BigFix Mobile jest podatny na ujawnienie informacji z powodu nieprawidłowego obsługiwania wyjątków i szczegółowego raportowania błędów.

Walidator adresów URL webhooków w `website/notifications/webhooks.py` używa `ip.is_global` do odrzucania adresów niepublicznych po rozwiązywaniu DNS. Adresy przejściowe IPv6 (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) są klasyfikowane przez IANA jako globalnie rutowalne, więc `is_global` zwraca `True`, nawet gdy osadzony cel IPv4 jest prywatny, pętla zwrotna lub metadane chmury. Atakujący może zarejestrować webhook wskazujący na nazwę hosta, która rozwiązuje się na adres przejściowy, aby ominąć zabezpieczenie SSRF i eksfiltrować dane o podatnościach do wewnętrznego punktu końcowego. Podatność została wprowadzona w wersji niebędącej wydaniem. Poprawka została już naniesiona na HEAD. Dotyczy tylko organizacji uruchamiających HEAD.

Dotknięte wersje MISP cti-transmute ujawniają adresy e-mail użytkowników przez punkt końcowy listy obserwowanych kont. Gdy uwierzytelniony użytkownik obserwuje inne konto, get_following() zawiera pole e-mail obserwowanego użytkownika w odpowiedzi API obok jego nazwy, ID użytkownika i daty obserwacji. Ponieważ adres e-mail nie jest wymagany do funkcjonalności, a inne listy użytkowników go pomijają, uwierzytelniony atakujący może systematycznie obserwować użytkowników i zbierać ich adresy e-mail. Poprawka usuwa user.email z zwracanego obiektu.

W dotkniętych wersjach MISP cti-transmute punkt końcowy szczegółów historii konwersji wykonuje niepełną kontrolę autoryzacji. Gdy rekord historii odnosi się do usuniętej konwersji, powiązane wyszukiwanie konwersji zwraca None. Poprzednia logika odmawiała dostępu tylko wtedy, gdy obiekt konwersji istniał i kontrola widoczności nie powiodła się. W rezultacie usunięte konwersje omijały kontrolę autoryzacji, a ich zachowane dane wejściowe/wyjściowe mogły zostać ujawnione użytkownikowi, który mógł zażądać odpowiedniego wpisu historii. Commit z 22 lipca 2026 zmienia logikę, aby odmawiać dostępu zawsze, gdy konwersja jest nieobecna lub żądający nie ma uprawnień.

CTI-Transmute zawiera podatność na trwały atak XSS w grafie konwersji, który wizualizuje przekonwertowane dane MISP i STIX. Wartości kontrolowane przez atakującego, pochodzące z danych CTI, były przekazywane do parserów HTML w interfejsie grafu bez odpowiedniej neutralizacji, co pozwalało na wykonanie złośliwego kodu. Podatność obejmuje etykiety węzłów, krawędzi, właściwości oraz funkcję otwierania surowego JSON.

Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.

ReadyEcommerce przed wersją 4.5.2 zawiera podatność na trwały cross-site scripting (XSS), która pozwala uwierzytelnionym klientom na wstrzykiwanie złośliwych ładunków HTML przez systemy czatu i wiadomości biletów wsparcia, wykorzystując nieoczyszczone renderowanie przez dyrektywę v-html w Messages.vue, RightChatSidebar.vue, SupportTicketMessages.vue i SupportTicketDetails.vue. Atakujący mogą wysyłać spreparowane treści wiadomości, które wykonują dowolny JavaScript w przeglądarce właściciela sklepu lub administratora, który przegląda wiadomość, umożliwiając kradzież ciasteczek sesji i przejęcie konta.

Nieprawidłowa weryfikacja podpisu kryptograficznego oraz nieprawidłowe sprawdzanie nietypowych lub wyjątkowych warunków w Estońskim Systemie Informacyjnym (RIA) libdigidocpp, DigiDoc4, DigiDoc na Androida i DigiDoc na iOS. Problem dotyczy libdigidocpp od 4.1.0 przed 4.2.1; DigiDoc4 od 4.7.0 przed 4.8.2; DigiDoc na Androida od 2.7.0 przed 2.7.2; DigiDoc na iOS od 2.8.0 przed 2.8.1.

Magnolia CMS jest podatny na trwały XSS w funkcji importu. Atakujący z uprawnieniami edytora może wstrzyknąć dowolny HTML i JS do nazwy przesłanego obrazu, który zostanie wyrenderowany/wykonany podczas otwierania przesłanego obrazu. Problem został naprawiony w wersji 6.3.10.

systemd-homed zawiera błąd lokalnej eskalacji uprawnień poprzez arbitralne dodanie grupy systemowej do lokalnego, zalogowanego użytkownika zarządzanego przez homed.

Gdy systemd-machined >= v259 (lub v258 z niestandardową polityką polkit, która zezwala na dostęp do `register-machine`) działa na systemie desktopowym, nieuprzywilejowany użytkownik zalogowany w graficznej sesji pulpitu może zabić dowolne procesy, nawet uprzywilejowane. Wersje starsze niż v259 nie są dotknięte, chyba że nieuprzywilejowany dostęp do akcji polkit `register-machine` jest przyznany przez lokalny, niestandardowy plik konfiguracyjny. Wersje starsze niż v258 nie są dotknięte. Niezwiązane z menedżerem usług systemd (pid 1 lub menedżerami sesji użytkownika). systemd-machined nie jest zazwyczaj instalowany domyślnie i jest zazwyczaj w opcjonalnym, osobnym pakiecie (np. systemd-container). Sesje terminalowe lub zdalne (np. ssh) nie są dotknięte.

Lokalni nieuprzywilejowani użytkownicy mogą zakończyć dowolne procesy lokalne przez API IPC systemd-oomd z powodu braku walidacji ścieżki (path traversal).

Podatność w Zyxel Networks WAH7601 umożliwia ujawnienie wrażliwych informacji systemowych nieautoryzowanemu podmiotowi poprzez fingerprinting aplikacji webowej.

W StackRox/RHACS Central w mechanizmie wymiany tokenów M2M użyto niezakotwiczonych wyrażeń regularnych do dopasowywania wartości claimów, co pozwala atakującemu z ważnym tokenem OIDC na uzyskanie nieautoryzowanego dostępu do ról.

entr jest podatny na przepełnienie bufora na stercie w funkcji run_utility() z powodu błędnego obliczenia rozmiaru przy użyciu strlcpy(), co może prowadzić do uszkodzenia pamięci i awarii procesu.

W GIMP występuje podatność na przepełnienie liczby całkowitej ze znakiem we wtyczce file-fli podczas przetwarzania plików FLI, co może prowadzić do awarii aplikacji.

Podatność na enumerację użytkowników w bluewave-labs/Checkmate do wersji 2.1.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu określenie, czy dany adres e-mail jest zarejestrowany. Endpoint POST /api/v1/auth/recovery/request zwraca HTTP 200 dla zarejestrowanych adresów e-mail i inny kod statusu dla niezarejestrowanych, co umożliwia atakującym enumerację prawidłowych kont użytkowników.

Podatność na zatrucie pamięci podręcznej w CoreBunch/Instatic do wersji 0.0.14 pozwala nieuwierzytelnionemu zdalnemu atakującemu na zatrucie współdzielonej pamięci podręcznej renderowania poprzez manipulację parametrem u w endpointcie GET /_instatic/hole/<nodeId>.

Podatność na trwały XSS w fastschema do wersji v0.15.1 pozwala niskouprzywilejowanemu uwierzytelnionemu użytkownikowi na przesłanie pliku SVG zawierającego złośliwy JavaScript poprzez obejście listy dozwolonych typów MIME.

Podatność na trwały XSS w Bludit 4.0.0-beta pozwala użytkownikowi z rolą Author na wstrzyknięcie dowolnego JavaScriptu poprzez przesłanie spreparowanego pliku SVG jako logo strony.