Katalog podatności CVE

Rozszerzenie Joomla Phoca Gallery w wersjach 4.5.0 do 6.1.5 zawiera podatność typu stored cross-site scripting (XSS) poprzez wstrzyknięcie atrybutu HTML, możliwą do wykorzystania przez uwierzytelnionego użytkownika.

W opcjonalnym pakiecie dnscache Zimbra Collaboration Suite (ZCS) występuje lokalna eskalacja uprawnień: konto Unix zimbra może uzyskać dostęp do plików z uprawnieniami roota. Polityka sudo bez hasła pozwala na dowolne argumenty do zmunbound, którego wrapper przekazuje je do Unbound bez ograniczenia ścieżki konfiguracji. Można ujawnić hasła i klucze prywatne oraz uszkodzić uprzywilejowane pliki konfiguracyjne.

W Zimbra Collaboration Suite (ZCS) występuje brak autoryzacji: delegowany administrator bez jawnych uprawnień może nadpisać globalną konfigurację Zimlet przez ConfigureZimletRequest. Może też dodać domenę atakującego do listy dozwolonych proxy domyślnej klasy usług; gdy zalogowany użytkownik otworzy spreparowany URL /service/proxy, Zimbra serwuje HTML atakującego w swojej domenie, umożliwiając odczyt danych skrzynki i akcje w imieniu ofiary.

W rozszerzeniu OAuth Zimbra Collaboration Suite (ZCS) Network Edition występuje CSRF: callback OAuth nie wiąże wartości state ani kodu autoryzacji z sesją Zimbra, lecz wybiera skrzynkę na podstawie bieżącego ciasteczka uwierzytelniającego. Atakujący może nakłonić zalogowaną ofiarę do otwarcia callbacku z kodem jego konta, tworząc trwałe źródło importujące kontakty lub wydarzenia atakującego; przy dwukierunkowej synchronizacji CalDAV ujawniane są również terminy utworzone w połączonym kalendarzu.

W wtyczce GTM Server Side od stape.io (WordPress) w wersjach 2.0.0–2.1.47 mechanizm śledzenia zakupów WooCommerce pozwala nieuwierzytelnionemu atakującemu wywołać wyświetlenie pełnych danych zamówienia innego klienta, w tym danych osobowych (PII), w dataLayer JavaScript strony. Podatność naprawiono w wersji 2.1.48.

W odhcpd (OpenWrt) w wersjach 17.01.0–25.12.2 parser DHCPv6 IA akceptuje opcję IA_NA lub IA_PD o treści krótszej niż struct dhcpv6_ia_hdr, rzutuje nagłówek i odczytuje ia->iaid przed sprawdzeniem, czy pole IAID istnieje. Krótka opcja IA na końcu 8192-bajtowego bufora odbioru powoduje odczyt poza bufor, a ujawnione bajty są odzwierciedlane w odpowiedzi IAID; może to ujawnić canarkę stosu i zawartość stosu przydatną do obejścia ASLR.

W odhcpd (OpenWrt) przed wersją 25.12 handler DHCPv6 IA utrzymuje wskaźnik first do dzierżawy, aby wiele opcji IA w jednej wiadomości używało tego samego klucza Reconfigure. Pakiet DHCPv6 REQUEST może sprawić, że pierwsza IA ustawi first, a późniejsza IA o tym samym IAID nie przejdzie sprawdzenia on-link i zwolni tę dzierżawę, pozostawiając wiszący wskaźnik; kolejna IA kopiuje first->key, powodując 16-bajtowy odczyt use-after-free na stercie. Skutkiem jest nieuwierzytelniona odmowa usługi w sieci sąsiedniej i mylenie kluczy Reconfigure/ForceRenew.

W pakiecie MTA Zimbra Collaboration Suite (ZCS) występuje lokalna eskalacja uprawnień: konto Unix zimbra może wykonywać dowolne polecenia jako root. Polityka sudo pozwala na bezhasłowe uruchamianie poleceń administracyjnych Postfix bez ograniczenia argumentów; atakujący może ustawić kontrolowany przez zimbra daemon_directory i wywołać postfix set-permissions, co uruchomi jego program jako root. Katalog konfiguracji Postfix jest również zapisywalny przez zimbra.

W launcherze zmmailboxdmgr Zimbra Collaboration Suite (ZCS) występuje lokalna eskalacja uprawnień: konto Unix zimbra może wykonywać dowolne polecenia jako root. Interfejs sudo bez hasła akceptuje niewystarczająco ograniczone argumenty JVM; atakujący może opóźnić zrzucenie uprawnień Jetty, zarejestrować polecenie OnOutOfMemoryError i wymusić wyczerpanie sterty podczas startu, powodując wykonanie polecenia, gdy JVM nadal działa jako root.

Podatność w Zimbra Collaboration Suite (ZCS) pozwala nieuwierzytelnionym żądaniom do /h/* nadpisywać atrybuty serwletu przeznaczone dla zaufanego wewnętrznego dispatchu. RestFilter kopiuje parametry URL (token uwierzytelniający, konto docelowe, element docelowy, stan dispatchu) do atrybutów żądania używanych przez Classic Web Client. W połączeniu z CVE-2026-10632 w ZCS 10.1.16 pozwala to atakującemu dostarczyć własny ważny token i identyfikatory dokumentów oraz wykonać JavaScript w zalogowanej sesji przeglądarki innego użytkownika.

W frameworku baserCMS funkcja PermissionGroupsService::build() odczytuje plik config/permission.php wtyczki, aby ustalić uprawnienia grup użytkowników. Gdy plik nie istnieje, zamiast tego zapisuje regułę zezwalającą na wszystko (wildcard) dla wszystkich grup niebędących administratorami. Wtyczka BcCustomContent nie zawiera takiego pliku w żadnym wydaniu, więc po jej zainstalowaniu domyślna grupa operators może przechowywać i wykonywać dowolny kod PHP w katalogu głównym dokumentów.

W baserCMS globalne rozwijanie shortcode'ów odbywa się na całej wyrenderowanej stronie, w tym na komentarzach blogowych escapowanych w HTML, dostarczanych przez nieuwierzytelnionych odwiedzających. Komentarz zawierający shortcode BcBaser.getGoogleMaps może ustawić apiBaseUrl na kontrolowany przez atakującego URL skryptu, który jest emitowany jako src skryptu i wykonuje JavaScript w domenie witryny, gdy inny odwiedzający lub administrator otworzy artykuł z tym komentarzem. Escapowanie surowego HTML w komentarzach nie zapobiega temu przechowywanemu XSS, ponieważ przetwarzanie shortcode'ów następuje po renderowaniu HTML.

W baserCMS encja widget-area serializuje widgety tylko wtedy, gdy przesłana wartość jest tablicą, co pozwala na zapisanie ciągu znaków przesłanego przez administracyjne API JSON bez zmian. Odczyt encji, w tym renderowanie front-endu i odpowiedzi API, deserializuje zapisaną wartość za pomocą unserialize() bez ograniczenia allowed_classes, akceptując zarówno surowe, jak i base64-zakodowane dane serializowane. Administrator lub atakujący, który uzyska możliwość zapisu widgetów poprzez inną podatność, taką jak łańcuch XSS, może umieścić graf obiektów, który następnie uruchamia się przy nieuwierzytelnionych żądaniach stron.

W opcjonalnej wtyczce BcThemeFile w baserCMS administracyjne API waliduje surową ścieżkę w ThemeFilesService::update() i getFullpath(), ale ThemeFileForm::_execute() następnie stosuje rawurldecode() do fullpath przed zapisem. Ponieważ normalizePath() rozwiązuje tylko literalne segmenty kropkowe, procentowo zakodowane przejście może ominąć sprawdzenia zawierania i stać się ścieżką poza katalogiem motywu w miejscu zapisu. Uwierzytelniony administrator może zapisywać pliki PHP w miejscach takich jak webroot i je wykonywać, przekraczając zamierzoną granicę edycji szablonów motywu.

W baserCMS akcje list i detail w prefiksach Admin i Api/Admin przekazują parametry zapytania (w tym contain, conditions, fields, finder i order) bezpośrednio do ORM jako opcje. Użytkownik mogący zalogować się do panelu administracyjnego może osadzić fragmenty SQL w tych opcjach, aby wykonać dowolny SQL na bazie danych aplikacji, w tym odczytać hasła z tabeli użytkowników. Poprawki dla publicznych stron i API wydane w wersjach 5.3.1 i 5.4.1 nie chroniły tych ścieżek administracyjnych.

Brak autoryzacji w uprzywilejowanym systemowo binderze 'DJIUpdateService' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnej aplikacji bez uprawnień wywoływać uprzywilejowane operacje, w tym przywrócenie ustawień fabrycznych z czyszczeniem danych użytkownika (transakcja 153), wyłączenie (105), zmianę zegara/strefy czasowej (101/123) oraz przekazanie do zastosowania firmware'u (151), ponieważ onTransact() nie sprawdza tożsamości wywołującego ani uprawnień.

Wstrzyknięcie poleceń systemu operacyjnego w uprzywilejowanym jako root pomocniku 'hardware_monitor' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnemu nieuprzywilejowanemu procesowi wykonać dowolne polecenia jako root poprzez zapisanie spreparowanej linii do logu Androida (logcat), którą pomocnik odczytuje i przekazuje do powłoki eval.

Brak autoryzacji w natywnym serwisie binder 'android.dji.server' (kod transakcji 1018) w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnej aplikacji bez uprawnień wykonać dowolne polecenia systemu operacyjnego jako root, ponieważ handler przekazuje ciąg znaków dostarczony przez wywołującego do system() w uprzywilejowanym jako root demonie 'assistant' bez sprawdzania tożsamości wywołującego ani uprawnień.

Ukryta funkcjonalność (nieudokumentowane backdoor) w uprzywilejowanym jako root demonie 'assistant' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala fizycznie obecnemu atakującemu z dostępem USB wykonać dowolne polecenia systemu operacyjnego jako root poprzez wysłanie zaszytego na stałe ciągu magicznego 'dji26656677' do interfejsu szeregowego gadżetu USB (/dev/ttyGS0), po czym każda kolejna linia jest przekazywana do system().

Podatność typu reflected XSS w Classic Web Client Zimbra Collaboration Suite pozwala atakującemu wstrzyknąć JavaScript przez parametr packages edytora dokumentów /h/rest. Edytor wstawia nazwy pakietów do atrybutów skryptu bez kodowania HTML. W połączeniu z CVE-2026-50053 atakujący z zwykłym kontem Zimbra może wykonać JavaScript w sesji przeglądarki innego zalogowanego użytkownika.