Katalog podatności CVE

Pingvin Share X od wersji 0.19.0 do 1.22.0 zawiera podatność niewłaściwego uwierzytelniania umożliwiającą zdalnym nieuwierzytelnionym atakującym przejęcie kont. Atakujący rejestruje niezweryfikowany adres e-mail ofiary u dostawcy OAuth/OIDC, wykorzystując brak sprawdzenia email_verified w GenericOidcProvider, i loguje się jako ofiara, w tym jako administrator, omijając TOTP.

LobsterAI w wersjach od 2026.5.27 do 2026.9.23 zawiera podatność external control of file path w handlerze IPC skills:delete, który ufa wartości openclawSourceDir z pliku _meta.json skilla podczas odinstalowywania. Atakujący może nakłonić użytkownika do instalacji spreparowanego skilla, co przy odinstalowaniu spowoduje rekurencyjne usunięcie dowolnych katalogów zapisywalnych przez użytkownika, np. katalogu domowego.

W busybox wykryto błąd w obsłudze odroczonego tworzenia dowiązań dla wpisów symlink i hardlink z celami wyglądającymi na niebezpieczne. Aplikacja tar nie sprawdza, czy rozwiązany cel pozostaje w katalogu rozpakowywania po utworzeniu odroczonego dowiązania. Atakujący może spreparować archiwum tar, używając celu symlinku dokładnie '..' w połączeniu z odroczonym hardlinkiem, aby utworzyć nowy plik poza katalogiem rozpakowywania lub zastąpić istniejący plik poza nim.

W GIMP wykryto błąd w loaderze XCF, który przetwarza pasożyty image-simulation-intent i image-simulation-bpc bez upewnienia się, że dane pasożyta są obecne przed ich dereferencją. Otwarcie specjalnie spreparowanego pliku XCF z pasożytem symulacji o zerowym rozmiarze może spowodować dereferencję wskaźnika NULL i awarię aplikacji GIMP.

MariaDB Server w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 zawiera podatność w typie tabeli DOS silnika CONNECT, gdzie błędne sprawdzenie granic pozwala na zapis jednego bajtu NULL poza buforem stosu pod adresem kontrolowanym przez atakującego. Uwierzytelniony użytkownik z dostępem do silnika CONNECT może wywołać awarię i potencjalnie zdalne wykonanie kodu.

W SessionManager w Argo CD w wersji 3.0.6 występuje podatność typu race condition. Pozwala ona atakującemu ominąć ograniczanie liczby prób i przeprowadzić atak brute force poprzez powtarzane, spreparowane żądania.

Moderator Toolbox (reddit-moderator-toolbox) przed wersją 4.0.14 zawiera podatność Stored XSS w module removalreasons, który wstawia pola wiki subreddit toolbox do HTML popup bez kodowania. Atakujący mogący edytować stronę wiki toolbox mogą umieścić JavaScript w polach takich jak pmsubject, header lub tytuły powodów, aby działać w sesjach Reddit moderatorów.

Aplikacja Hayat Mobile firmy Hayat Health Facilities Inc. (Hayat Hospital) w wersjach od 3.3.0 do 3.4.0 zawiera podatność polegającą na użyciu uwierzytelniania po stronie klienta, co umożliwia obejście uwierzytelniania.

EIPStackGroup OpENer w wersji v2.3.0/master do commita 76b95cf zawiera podatność out-of-bounds read w parserze żądań Connection Manager. Pozwala to zdalnemu atakującemu wywołać odmowę usługi.

W EIPStackGroup OpENer v2.3 i master do commita 76b95cf istnieje podatność out-of-bounds read w parserze EtherNet/IP TCP SendRRData Common Packet Format. Problem występuje w CreateCommonPacketFormatStructure() przy przetwarzaniu opcjonalnych elementów adresu gniazda typu 0x8000 lub 0x8001 bez uprzedniej walidacji, że bufor CPF zawiera pełną strukturę sockaddr, co pozwala zdalnemu atakującemu wywołać odmowę usługi.

W usłudze serwerowej CIP SetAttributeList w EIPStackGroup OpENer w wersji 2.3 oraz w gałęzi master do commita 76b95cf występuje podatność typu out-of-bounds read. Pozwala ona zdalnemu atakującemu wywołać odmowę usługi (DoS).

OpENer v2.3.0 / commit 76b95cf zawiera podatność out-of-bounds read w ścieżce niepołączonej komunikacji explicit messaging. Pozwala to zdalnemu atakującemu wywołać odmowę usługi.

ILIAS w wersjach przed 9.24, 10.12 i 11.5 zawiera podatność nieograniczonego przesyłania plików w obsłudze obrazów przy imporcie pytań QTI (ilQtiMatImageSecurity). Uwierzytelnieni autorzy mogą przesłać wykonywalne pliki, a atakujący z uprawnieniami do importu puli pytań może zaimportować spreparowane archiwum zapisujące plik .htaccess i plik PHP do katalogu obrazów serwowanych przez WWW, uzyskując zdalne wykonanie kodu jako użytkownik serwera WWW.

ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać przepływy pracy innych użytkowników poprzez POST /workflow/del/{uuid}. Atakujący mogą uzyskać UUID przepływów z GET /workflow/search i podać je, ponieważ softDelete() pomija sprawdzenie własności PrivilegeUtil.checkAndGetByUuid(), usuwając przepływy właścicieli.

ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji w punkcie końcowym GET /workflow/search, która ujawnia prywatne przepływy pracy innych użytkowników. Uwierzytelnieni użytkownicy niebędący administratorami mogą odpytywać ten punkt końcowy, który nie ma filtrowania właściciela ani is_public, aby wyświetlić włączone prywatne przepływy pracy w tej samej dzierżawie, w tym UUID oraz pełne konfiguracje węzłów i krawędzi.

MOVO do wersji 0.2.3 zawiera podatność obejścia autoryzacji w punktach końcowych dokumentów chat-api, która pozwala uwierzytelnionym użytkownikom na dostęp do obiektów innych użytkowników poprzez podanie dowolnych ścieżek obiektów. Atakujący znający ścieżkę obiektu celu może wysłać ją do /api/documents/fetch lub /api/documents/save-blueprint, aby odczytać prywatne dokumenty i nadpisać schematy prezentacji.

MariaDB Server w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 w pakietach RPM tworzył konto usługi mysql z katalogiem danych bazy jako katalogiem domowym. Użytkownik bazy z uprawnieniem FILE mógł zapisać pliki startowe, takie jak .bash_profile, do $HOME, które mogły zostać wykonane, gdy administrator otworzył powłokę logowania dla konta mysql. Pakiety Debian nie są podatne, ponieważ używają /nonexistent jako katalogu domowego.

W Nginx UI od wersji 2.0.0 do 2.5.0 router api/cluster udostępnia operacje modyfikacji węzłów i przestrzeni nazw oraz globalne przeładowanie/restart Nginx z wymogiem AuthRequired, ale bez RequireSecureSession. Uwierzytelniony użytkownik z włączonym OTP, posiadający skradziony lub trwały token JWT, może wykonywać operacje CRUD na węzłach, odczytywać lub podmieniać poświadczenia węzłów, zmieniać przestrzenie nazw oraz wywoływać przeładowanie/restart Nginx bez ponownego uwierzytelnienia drugim składnikiem.

W Nginx UI od wersji 2.0.0 do 2.5.0 mechanizm samodzielnej aktualizacji weryfikuje pobrany plik binarny wyłącznie za pomocą skrótu pochodzącego z tego samego serwera aktualizacji. Skompromitowane lustro lub atakujący w sieci mogą dostarczyć złośliwy plik wykonywalny wraz z pasującym skrótem, a aplikacja zainstaluje i uruchomi ten kod w kontekście procesu Nginx UI przy następnej aktualizacji.

W Nginx UI od wersji 2.0.0 do 2.5.0 zwykli uwierzytelnieni użytkownicy mogą uzyskać dostęp do /api/nodes i /api/nodes/:id, których odpowiedzi zawierają pole tokenu węzła. Ten sam token jest akceptowany jako X-Node-Secret przez AuthRequired i mapuje żądanie na initUser, co pozwala użytkownikowi podszyć się pod zaufany węzeł wobec osiągalnego członka klastra.