Katalog podatności CVE

W SourceCodester Online Clothing Store istnieje podatność w pliku /_notes/ (komponent Dreamweaver Metadata Files), która umożliwia zdalne ujawnienie informacji o plikach i katalogach.

Podatność w WonderTrader do wersji 0.9.9 dotyczy funkcji _undone_qty w pliku src/WtCore/TraderAdapter.h komponentu Pending Order Handler. Manipulacja argumentem getUndoneQty prowadzi do wymuszenia przepływu pracy. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

go-git to biblioteka implementująca git w czystym Go. Przed wersjami 5.19.2 i 6.0.0-alpha.5 nazwy referencji nie są sanityzowane przed użyciem do konstruowania ścieżek na dysku w katalogu przechowywania referencji, więc złośliwie spreparowana nazwa referencji (np. zawierająca sekwencje przechodzenia do katalogów) może spowodować zapis plików poza zamierzonym katalogiem. Wersje 5.19.2 i 6.0.0-alpha.5 naprawiają problem.

SvelteKit to framework do szybkiego tworzenia wydajnych aplikacji webowych w Svelte. Przed wersją 2.70.2 parser nagłówków negocjacji treści używany przez SvelteKit (dla nagłówków takich jak Accept) używa wyrażenia regularnego podatnego na kwadratowe cofanie, więc złośliwie spreparowana wartość nagłówka może powodować nadmierne zużycie CPU i degradację lub odmowę usługi. Wersja 2.70.2 naprawia problem.

W WonderTrader do wersji 0.9.9 wykryto podatność w funkcji konwersji gotówkowej TraderATP w pliku src/Includes/WTSTradeDef.hpp. Manipulacja argumentem m_offsetType prowadzi do użycia niezainicjalizowanej zmiennej. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

Sonatype Nexus Repository 3 nie filtrował odpowiednio wewnętrznych kluczy konfiguracyjnych z właściwości zadań dostarczanych przez użytkownika podczas tworzenia lub aktualizacji zaplanowanego zadania przez interfejs administracyjny. Konto z uprawnieniem do tworzenia co najmniej jednego typu zadania mogło dostarczyć spreparowaną wartość, która spowodowała nadpisanie konfiguracji niezwiązanego, istniejącego zadania zamiast utworzenia nowego.

Nexus Repository 3 jest podatny na przechowywany cross-site scripting (XSS). Użytkownik z uprawnieniem nexus:blobstores:create lub nexus:blobstores:update mógł ustawić nazwę magazynu blob zawierającą złośliwy skrypt, który później wykonywał się w przeglądarce innego użytkownika przeglądającego status kontroli zdrowia systemu. Problem naprawiono w wersji 3.95.0.

Nexus Repository 3 CE/Pro wersje 3.0.0 do 3.94.x zawierają podatność nieprawidłowej autoryzacji (CWE-863) w interfejsie użytkownika do tworzenia repozytoriów. Konto użytkownika posiadające delegowane uprawnienie administratora repozytorium ograniczone do określonego formatu repozytorium mogło utworzyć repozytorium o innym, nieautoryzowanym formacie, ponieważ autoryzacja była sprawdzana na podstawie jednego pola żądania, podczas gdy osobne pole kontrolowane przez atakującego określało faktycznie tworzony format repozytorium. Nie dotyczy to użytkownika anonimowego, który domyślnie nie może posiadać tego uprawnienia. Poprawione w wersji 3.95.0.

Frappe to framework webowy full-stack. Przed wersjami 16.20.0 i 15.112.0 istniał bypass uprawnień na poziomie pól, który ujawniał ograniczone pola DocType. Problem naprawiono w wersjach 16.23.0 i 15.112.0.

Smarty to silnik szablonów dla PHP. Od wersji 5.0.0 do 5.8.4 obsługa nazw zasobów stream: nie ograniczała odpowiednio, które wrappery strumieni PHP i łańcuchy filtrów mogą być używane w szablonie, co pozwalało na użycie nazwy zasobu opakowanej w php://filter do odczytu zawartości dowolnych lokalnych plików dostępnych dla procesu PHP. Atakujący, który może tworzyć lub wpływać na referencję zasobu w szablonie, może wykorzystać to do ujawnienia wrażliwych plików poza zamierzonym zakresem. Problem naprawiono w wersji 5.8.4.

Smarty to silnik szablonów dla PHP. Przed wersją 5.8.2 (oraz 4.5.7 w linii 4.x) funkcja Security::_checkDir() nie w pełni rozwiązuje dowiązania symboliczne przed weryfikacją, czy żądana ścieżka znajduje się w skonfigurowanym bezpiecznym katalogu. Atakujący, który może umieścić lub odwołać się do dowiązania symbolicznego w katalogu uznawanym przez Smarty za zaufany (np. katalog szablonów lub konfiguracji), może wskazać poza zamierzony bezpieczny katalog, omijając kontrolę i odczytując dowolne pliki dostępne dla procesu PHP. Problem naprawiono w wersjach 5.8.2 i 4.5.7.

Wtyczka Code Embed dla WordPressa przed wersją 2.6.1 jest podatna na przechowywany cross-site scripting (XSS) przez funkcję osadzania zewnętrznego URL w treści posta. Podatny kod skanuje renderowaną treść pod kątem tokenów osadzania URL, pobiera zdalny URL i wstawia treść odpowiedzi do strony bez sanityzacji wyjścia ani sprawdzenia uprawnienia unfiltered_html. Pozwala to atakującemu z rolą Contributor na przesłanie oczekującego posta zawierającego niepozorny token URL, który wykonuje złośliwy JavaScript, gdy Administrator lub Edytor podgląda lub przegląda post. Problem naprawiono w wersji 2.6.1.

W SourceCodester Photo Share Website 1.0 znaleziono podatność w nieznanej funkcji pliku /social/ajax.php?action=save_upload. Manipulacja argumentami img[]/imgName[] prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W SuperTokens Core w wersjach od 6.0.0 do 11.4.0 brakuje separacji dzierżawców (tenantów). Uwierzytelniony użytkownik jednego dzierżawcy może uzyskać dostęp do sesji, danych i punktów końcowych innego dzierżawcy.

W MZ Automation libiec61850 do wersji 1.6.1 wykryto podatność w funkcji SVReceiver_stopThreadless w pliku src/sampled_values/sv_subscriber.c. Manipulacja prowadzi do przepełnienia bufora na stercie. Atak musi być przeprowadzony lokalnie, a exploit jest publiczny. Wersja 1.6.2 zawiera poprawkę.

Podatność w OPeNDAP Hyrax umożliwia atak SSRF (Server-Side Request Forgery) i ujawnienie poświadczeń poprzez niezweryfikowane przekierowania HTTP, które omijają listę dozwolonych hostów (AllowedHosts) i przekazują nagłówki Earthdata (User-Id, Echo-Token) do punktów końcowych kontrolowanych przez atakującego.

Dell OpenManage Server Administrator w wersjach przed 11.1.0.2 zawiera podatność na ścieżkę względną (Relative Path Traversal). Atakujący z niskimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do uzyskania dostępu do systemu plików.

Wtyczka ShareOpenly dla WordPressa przed wersją 1.2.1 zawiera podatność na Cross-Site Scripting (XSS) spowodowaną brakiem funkcji esc_url() na zmiennej $url przed wyrenderowaniem jej w HTML. Zmienna ta jest konstruowana z home_url() i wstawiana do atrybutu href na każdej stronie.

Aplikacja TeamDavid Webbox jest podatna na trwały atak XSS. Atakujący może wysłać wiadomość e-mail zawierającą złośliwy kod JavaScript. Gdy użytkownik otworzy tę wiadomość, wyzwalany jest trwały skrypt XSS.

Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG zawiera podatność na odzwierciedlony atak XSS. Wysyłając specjalnie spreparowany link zawierający dowolną ścieżkę, payload XSS lub parametr „EntryInfo” oraz parametr „!templateName=entryMail”, atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.