Katalog podatności CVE

Apache Answer do wersji 2.0.1 ma podatność na nieprawidłową walidację danych wejściowych: brak sprawdzenia własności w logice czyszczenia awatarów pozwala każdemu uwierzytelnionemu użytkownikowi usuwać pliki przesłane przez innych użytkowników, podając ich adresy URL.

Flarum przed wersją 1.8.16 zawiera podatność polegającą na nieprawidłowym unieważnianiu sesji, która pozwala atakującemu posiadającemu ważny token sesji na zachowanie pełnego dostępu do konta po zmianie hasła przez ofiarę, ponieważ tabela access_tokens nigdy nie jest czyszczona przy zmianie hasła. Funkcja TokensClearer::clearPasswordTokens() usuwa tylko wiersze z tabeli password_tokens, pozostawiając aktywne ciasteczka sesji i tokeny API, w tym długożyjące RememberAccessToken, a wymuszone przez administratora resetowanie haseł przez endpoint aktualizacji użytkownika jest równie nieskuteczne w odwoływaniu sesji atakującego.

IBM Maximo Application Suite 9.2, 9.1 i 9.0 może pozwolić zdalnemu atakującemu na manipulowanie danymi sesji z powodu użycia słabego sekretu podpisywania sesji HMAC.

IBM Maximo Application Suite 9.2, 9.1 i 9.0 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając taki link na stronie, którą użytkownik odwiedza. Ciasteczko zostanie wysłane do niezabezpieczonego linku, a atakujący może je przechwycić, podsłuchując ruch.

IBM QRadar 7.6.0.0 do 7.6.0.1 oraz 7.5.0 do 7.5.0 UP 15 Interim Fix 005 może pozwolić uwierzytelnionemu uprzywilejowanemu użytkownikowi na wykonanie dowolnych poleceń z uprawnieniami zwykłego użytkownika w systemie z powodu nieprawidłowej walidacji danych wejściowych dostarczonych przez użytkownika.

IBM Cloud Pak For Business Automation w wersjach 24.0.0, 24.0.1, 25.0.0 i 26.0.0 może umożliwić zdalnemu atakującemu uzyskanie wrażliwych informacji ujawnionych w plikach manifestu.

W Keycloak stwierdzono usterkę w rejestrowaniu metryk zdarzeń użytkownika. Gdy metryki są włączone, system zapisuje surowe komunikaty błędów z nieudanych operacji konta jako etykiety metryk Prometheus. Ponieważ komunikaty te mogą zawierać dane wprowadzone przez użytkownika, np. nieistniejące identyfikatory klientów, uwierzytelniony użytkownik może utworzyć ogromną liczbę unikalnych wpisów metryk, co prowadzi do wyczerpania pamięci systemu i awarii usługi.

W Keycloak stwierdzono usterkę w dostawcy magazynu LDAP, używanym do federacji tożsamości z zewnętrznych katalogów. Problem występuje, gdy delegowany administrator przeprowadza wyszukiwanie przy użyciu konkretnego wyróżnika (DN) wpisu LDAP. Z powodu braku walidacji system umożliwia wyszukiwanie użytkowników spoza skonfigurowanego zakresu, co prowadzi do ujawnienia informacji o kontach z nieautoryzowanych części katalogu oraz niechcianego importowania tych użytkowników do lokalnego magazynu.

Wtyczka Udimi Tools dla WordPressa do wersji 3.2 włącznie ma brak kontroli uprawnień w funkcji ajax_disconnect(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym na usunięcie sześciu opcji konfiguracyjnych, w tym klucza API, powiązanego adresu e-mail i skryptu śledzącego. Podobny brak kontroli w ajax_connect() umożliwia tym samym atakującym nadpisanie tych opcji własnym kluczem API.

Resolver augmentacji użytkownika w Statamic CMS, AugmentedUser::get w src/Auth/AugmentedUser.php, zawiera jawny przypadek dla uchwytu, który zwraca surowe kody odzyskiwania dwuskładnikowego bez żadnych ograniczeń dostępu.

Komponent render-template w ember-dynamic-render-template (addon/components/render-template.js) przekazuje swoją właściwość bezpośrednio do compileTemplate z @ember/template-compilation bez sanitizacji, listy dozwolonych wartości ani walidacji wejścia.

Procedura obsługi przesyłania kopii zapasowych w Fledge (upload_backup) wywołuje tarfile.extractall(temp_path) na przesłanym przez administratora archiwum tar bez argumentu filtra i bez walidacji ścieżek poszczególnych elementów. Wymaga roli administratora.

Filtrowanie tagów urządzeń w backendzie SQLite w ChirpStack (chirpstack/src/storage/device.rs, w get_count i list) interpoluje dostarczony przez użytkownika klucz tagu bezpośrednio do surowego fragmentu SQL za pomocą makra format! w Rust, podczas gdy tylko wartość tagu jest bezpiecznie powiązana parametrem przez .bind w Diesel.

Funkcja http_fn_ota_exec() w OpenBK7231T odzwierciedla parametr `host` bezpośrednio w odpowiedzi HTML bez kodowania, co pozwala na wykonanie JavaScript w przeglądarce uwierzytelnionego administratora po kliknięciu złośliwego linku.

Endpoint /cfg_wifi_set w OpenBK7231T akceptuje zmiany konfiguracji przez zwykłe żądanie GET bez tokena CSRF. Jeśli parametr jest nieobecny w żądaniu, gałąź else po cichu czyści hasło administratora webowego urządzenia do pustego ciągu.

ESPHome do wersji 2026.7.0-dev ujawnia hasła w postaci zwykłego tekstu przez komponent web_server. W WebServer::text_json_ (esphome/components/web_server/web_server.cpp), encja tekstowa skonfigurowana z trybem: password (TEXT_MODE_PASSWORD) ma pole JSON "state" poprawnie zamaskowane jako "********", ale ta sama ścieżka serializacji bezwarunkowo zapisuje surowe hasło do pola JSON "value" przez set_json_icon_state_value/set_json_value.

W libkcapi istnieje błąd, który pozwala lokalnemu atakującemu wpłynąć na aplikację używającą interfejsu AIO. Ponowne użycie uchwytu AIO po wcześniejszym błędzie może spowodować, że funkcja _kcapi_aio_read_all() wejdzie w nieskończoną pętlę oczekiwania, prowadząc do trwałej odmowy usługi.

W libkcapi podczas wykonywania jednorazowych operacji szyfrowania na dużych danych (powyżej 64 KiB) w trybach CTR lub CBC, biblioteka nieprawidłowo ponownie używa wektora inicjalizacyjnego (IV) dla każdego wewnętrznego fragmentu. Zdalny atakujący może wykorzystać to, powodując osłabienie poufności danych i potencjalnie wpływając na integralność.

SonicOS zawiera podatność polegającą na nieprawidłowej neutralizacji nagłówków HTTP dla składni skryptów. Zdalny atakujący może manipulować nagłówkiem Host i przekierować użytkowników zarządzających zaporą do dowolnych domen internetowych.

W Akauntingu trasa pobierania plików (uploads/{id}/download) nie weryfikuje, czy żądany plik należy do firmy zalogowanego klienta. Uwierzytelniony klient portalu może pobrać pliki innych firm, zgadując lub enumerując identyfikatory mediów.