Katalog podatności CVE

Nagios Core przed wersją 4.5.14 i Nagios XI przed 2026R1.7 są podatne na uwierzytelnione zdalne wykonanie kodu poprzez niefiltrowaną substytucję makr rodziny NOTIFICATION przez parametr com_data. Gdy polecenie powiadomienia odwołuje się do $NOTIFICATIONCOMMENT$ lub $NOTIFICATIONAUTHOR$ w pozycji wykonywanej przez powłokę, uwierzytelnieni użytkownicy interfejsu mogą uruchamiać dowolne polecenia jako użytkownik nagios. Wykorzystanie wymaga niestandardowej konfiguracji, w której polecenie powiadomienia odwołuje się do tych makr w linii poleceń wykonywanej przez powłokę.

Nagios Core przed wersją 4.5.13 i Nagios XI przed 2026R1.5 są podatne na uwierzytelnione zdalne wykonanie kodu poprzez wstrzyknięcie makr zmiennych niestandardowych przez Nagios Remote Data Processor (NRDP). Gdy zmienna niestandardowa zdefiniowana na hoście, usłudze lub kontakcie jest odwoływana w linii poleceń wykonywanej przez powłokę, uwierzytelniony atakujący z dostępem do NRDP może wstrzyknąć polecenia systemu operacyjnego przez wartość makra. Wykorzystanie wymaga niestandardowej konfiguracji, w której zmienna niestandardowa jest zdefiniowana i odwoływana w poleceniu wykonywanym przez powłokę.

Nagios Core przed wersją 4.5.14 i Nagios XI przed 2026R1.7 zawierają obejście ochrony przed cross-site request forgery (CSRF) poprzez samodostarczony podwójny cookie. Atakujący może dostarczyć pasujące wartości cookie i parametru żądania, aby obejść ochronę CSRF, co umożliwia nieuwierzytelnionym atakującym uruchamianie poleceń jako autoryzowani użytkownicy za pomocą złośliwych linków.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na przechwycenie poświadczeń z powodu spoofingu Navigator for i.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 jest podatny na eskalację uprawnień przez Navigator for i. Uwierzytelniony użytkownik może podnieść uprawnienia do poziomu roota, aby wykonywać polecenia.

IBM WebSphere Application Server - Liberty w wersjach od 17.0.0.3 do 26.0.0.8 jest podatny na eskalację uprawnień podczas korzystania z Liberty collectives.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji i naruszenie integralności systemu z powodu wady wstrzykiwania XML.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na obejście zabezpieczeń z powodu niebezpiecznej refleksji.

Biblioteka OneCompression firmy Fujitsu Research przed wersją 1.2.1 zawiera podatność na niebezpieczną deserializację, która pozwala atakującym na wykonanie dowolnego kodu poprzez dostarczenie spreparowanego pliku model.pt. Funkcja load_quantized_model_pt() bezwarunkowo wywołuje torch.load z weights_only=False, co uruchamia mechanizm pickle Pythona podczas deserializacji.

Semaphore UI to interfejs webowy do zarządzania narzędziami DevOps. Przed wersją 2.18.19 oraz od 2.19.0-alpha3 do 2.19.5-beta5, ProjectMiddleware i GetProjectOrGlobalRoleBySlug pozwalają menedżerowi projektu na użycie POST /api/project/{id}/roles do utworzenia niestandardowej roli menedżera z maską bitową uprawnień 15, nadpisując wbudowane uprawnienia menedżera i przyznając możliwości właściciela CanUpdateProject i CanManageProjectUsers. Problem został naprawiony w wersjach 2.18.19 i 2.19.5-beta5.

Semaphore UI przed wersją 2.18.21 zawiera podatność na atak CSRF w punkcie końcowym /api/users/{id}/password, umożliwiającą nieuwierzytelnionemu atakującemu zmianę hasła administratora lub innego użytkownika po interakcji z ofiarą. Brak ochrony CSRF i potwierdzenia bieżącego hasła.

Nieuwierzytelniony atakujący może w określonych warunkach spowodować buforowanie niezaufanej zawartości pakietów, co może wpłynąć na integralność i dostępność artefaktów.

API Backfill w Apache Airflow autoryzował żądanie względem identyfikatora Dag podanego przez wywołującego, gdy segment ścieżki `backfill_id` nie mógł zostać sparsowany. Zależność autoryzacji parsowała go funkcją `int()`, podczas gdy procedura obsługi trasy parsowała go jako pydantic `NonNegativeInt`, który akceptuje wartości odrzucane przez `int()` (`1.0` jest konwertowane na `1`); FastAPI rozwiązuje zależności przed walidacją punktu końcowego, więc działały na różnych Dagach. Uwierzytelniony użytkownik z uprawnieniami edycji dowolnego pojedynczego Dag mógł odczytywać, wstrzymywać i anulować backfille należące do innych Dagów, w tym przenosić kolejkowane uruchomienia innego Dag do stanu `failed`. Nie jest wymagana żadna niestandardowa konfiguracja, a identyfikatory backfill są sekwencyjne, więc znalezienie celu jest trywialne. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszego, który parsuje identyfikator backfill tym samym typem, który deklarują trasy.

Posiadacz ważnych poświadczeń integracyjnych może w określonych warunkach podszywać się pod innych użytkowników.

Task SDK w Apache Airflow odtwarzał obiekt `Callback` z danych serializowanych, ponownie uruchamiając jego konstruktor, który importuje moduł o nazwie ze ścieżki przechowywanego callbacka. Ponieważ `SyncCallback` jest klasą Airflow, przechodzi domyślną listę dozwolonych klas `allowed_deserialization_classes`, więc zaostrzenie tego ustawienia nie pomaga. Autor Dag — który kontroluje `next_kwargs` instancji zadania przez API wykonywania zadań — może spowodować import dowolnego modułu w procesie schedulera, gdy scheduler przeszukuje wartości z `awaiting_input` i deserializuje tę wartość. Nie jest wymagana żadna niestandardowa konfiguracja; przeszukiwanie działa bezwarunkowo. Wersje przed 3.3.0 nie są dotknięte: klasa istniała, ale przeszukiwanie schedulera, które do niej dociera, nie istniało. Jest to oddzielna ścieżka kodu od CVE-2026-58076 i CVE-2026-67260, które obejmują inne gadżety prowadzące do deserializacji — zastosowanie którejkolwiek z tych poprawek nie rozwiązuje tego problemu. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszego.

Apache Airflow 3.3.0 zawiera podatność w mechanizmie przetwarzania zadań typu human-in-the-loop, gdzie deserializacja next_kwargs bez listy dozwolonych klas pozwala autorowi DAG-a na import dowolnego modułu i utworzenie obiektu w procesie schedulera lub zakończenie jego działania. Wymagana jest aktualizacja do wersji 3.3.1 lub nowszej.

WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu ominięcie kontroli frontendu i wstrzyknięcie trwałego skryptu (XSS).

Warstwa serializacji Apache Airflow rekonstruuje węzły wyjątków, wywołując `import_string()` na nazwie klasy pochodzącej z serializowanego obiektu i tworząc jej instancję z argumentami z tego samego obiektu, bez ograniczeń co do tego, co może zostać zaimportowane. Atakujący autor Dag może umieścić w `executor_config` wartość, która spowoduje zaimportowanie i wywołanie dowolnego wywoływalnego obiektu, np. `subprocess.check_output` lub `builtins.eval`. Kod wykonuje się w Schedulerze oraz w serwerze API, które zgodnie z modelem bezpieczeństwa Airflow nigdy nie powinny wykonywać kodu autora Dag.

Eclipse RDF4J zawiera niedostateczne ograniczenie przetwarzania XML External Entity (XXE) w kilku punktach wejścia parsera XML, co pozwala na deklaracje DOCTYPE, zewnętrzne encje i ładowanie zewnętrznych DTD. Problem został naprawiony w wersji 5.3.2.

Vulnerability-Lookup zawiera słabość mechanizmu aktywacji konta i odzyskiwania hasła, gdzie tokeny aktywacji/recovery są wielokrotnego użytku i nie są powiązane z celem. Atakujący, który zdobędzie ważny link, może wielokrotnie zmieniać hasło i przejmować kontrolę nad kontem.