Katalog podatności CVE

Biblioteka ip-address w JavaScript w wersjach 10.1.1 do 10.2.0 jest podatna na SSRF poprzez błędną klasyfikację adresów IPv4-mapped/NAT64 IPv6. Adresy te są błędnie klasyfikowane jako Global unicast, co omija sprawdzenia isLoopback, isUnspecified, isMulticast, isLinkLocal i isULA. Dla adresów IPv4-mapped jest to osiągalne na każdym hoście z podwójnym stosem, a dla NAT64 wymaga bramy NAT64/DNS64.

W systemie Papra przed wersją 26.5.0 uwierzytelniony użytkownik będący członkiem dowolnej organizacji może usuwać lub zmieniać nazwy tagów należących do innej organizacji, znając identyfikator tagu. Mechanizm kontroli dostępu sprawdza przynależność do organizacji na poziomie URL, ale zapytanie do bazy danych filtruje tylko po identyfikatorze tagu, pomijając zakres organizacji.

W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.

Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.

Podatność w Apache Wicket polegająca na użyciu niewystarczająco losowych wartości oraz awarii mechanizmu ochrony. Dotyczy wersji od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.9.0. Zalecana jest aktualizacja do wersji 10.10.0.

Podatność na Cross-Site Scripting (XSS) w Apache Wicket spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Dotyczy wersji od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.9.0. Zalecana jest aktualizacja do wersji 10.10.0.

W produkcie unitedbyai droidclaw do wersji 0.5.3 występuje podatność na ominięcie autoryzacji w pliku server/src/routes/goals.ts w komponencie Unsigned Scheduled Callback. Atak jest zdalny, o wysokiej złożoności, a exploit jest publicznie dostępny.

W phpMyFAQ przed wersją 4.1.6 występuje podatność na eskalację uprawnień w funkcji GroupController::updateMembers(). Administratorzy z uprawnieniami do zarządzania grupami mogą dołączyć do grup z wyższymi uprawnieniami bez weryfikacji.

Podatność Relative Path Traversal w module zip Erlang OTP (stdlib) pozwala na zapisywanie plików poza zamierzonym katalogiem wypakowania poprzez spreparowane archiwum zip. Funkcje zip:unzip/1,2 i zip:extract/1,2 nieprawidłowo walidują ścieżki, co umożliwia ominięcie zabezpieczeń.

W bibliotece HDF5 występuje podatność na dereferencję wskaźnika NULL. Przetworzenie spreparowanego pliku HDF5 zawierającego atrybut z nieprawidłowym polem typu o zmiennej długości może spowodować awarię aplikacji podczas odczytu atrybutu.

W bibliotece HDF5 odkryto podatność podwójnego zwolnienia pamięci. Przetworzenie spreparowanego pliku HDF5 z nadmiernie dużym polem rozmiaru fragmentu za pomocą narzędzia h5repack może spowodować przerwanie działania aplikacji z powodu podwójnego zwolnienia.

W bibliotece HDF5 do wersji 2.1.1 występuje przepełnienie bufora sterty w kodzie deserializacji listy indeksów SOHM. Przetworzenie spreparowanego pliku HDF5, w którym indeks listy komunikatów współdzielonych deklaruje liczbę komunikatów przekraczającą list_max, powoduje odczyty i zapisy poza zakresem sterty w funkcjach H5SM__cache_list_deserialize i H5SM__cache_list_verify_chksum, co prowadzi do awarii.

W AstrBotDevs AstrBot do wersji 4.25.5 występuje podatność nieprawidłowej autoryzacji w funkcji _build_handoff_toolset w pliku AstrBot/astrbot/core/astr_agent_tool_exec.py komponentu Subagent. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.

W AstrBotDevs AstrBot do wersji 4.25.5 występuje podatność nieprawidłowej autoryzacji w nieznanej funkcji pliku astrbot/core/astr_main_agent.py poprzez manipulację argumentem req.func_tool. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.

Wtyczka Gillion do wersji 4.13 zawiera podatność nieuwierzytelnionego złamanego mechanizmu kontroli dostępu (Broken Access Control).

Wtyczka Easy Digital Downloads do wersji 3.6.9 umożliwia administratorowi dowolne usuwanie plików.

Wtyczka Checkout Field Editor for WooCommerce – Checkout Manager do wersji 3.0.5 umożliwia menedżerowi sklepu atak XSS (Cross Site Scripting).

Wtyczka Insert Headers and Footers Code – HT Script do wersji 1.1.8 zawiera podatność nieuwierzytelnionego Cross Site Request Forgery (CSRF).

Wtyczka Gallery PhotoBlocks do wersji 1.3.3 umożliwia współautorowi atak XSS (Cross Site Scripting).

Wtyczka Open User Map w wersji do 1.4.46 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.