Katalog podatności CVE

Podatność typu path traversal w BlenderMCP przed commit 30a3308 w metodzie download_polyhaven_asset. Atakujący mogą wstrzyknąć sekwencje typu '../' w kluczach include odpowiedzi API, co pozwala na nadpisanie dowolnych plików.

Podatność w agencie SNMP w urządzeniach Loytec (LIP-ME201C, L-INX, L-GATE, L-ROC, L-IOB, L-DALI, L-VIS, L-PAD) do wersji 8.4.16 na LINX-A64. Niesprawdzane dane wejściowe dla warunku pętli (CWE-606) pozwalają nieuwierzytelnionemu atakującemu na zdalne spowodowanie trwałej odmowy usługi poprzez wysłanie spreparowanego żądania SNMP GETNEXT z dużym komponentem OID.

W Apache HBase w usługach thrift i REST brakuje autoryzacji właściciela w operacjach fetch i close skanera. Użytkownik może pobierać wiersze ze skanera otwartego przez innego użytkownika oraz zamykać skanery należące do innych, co narusza izolację danych.

W bibliotece keycloak-services, będącej rdzeniem systemu zarządzania tożsamością i dostępem Keycloak, w punkcie końcowym role-users brakuje sprawdzenia, czy administrator ma uprawnienia do przeglądania poszczególnych użytkowników podczas wyświetlania członków roli. Ograniczony administrator może zobaczyć prywatne informacje, takie jak nazwy i adresy e-mail użytkowników, do których nie powinien mieć dostępu.

W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych przechowuje tajne wartości w postaci jawnego tekstu na dysku, gdy nie wybrano magazynu (vault). Lokalny atakujący z dostępem do systemu plików może odczytać te sekrety.

Brak kontroli dostępu w funkcjach testów automatyzacji i przepływów pracy w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z rolą Czytelnika może wykonywać testy automatyzacji i modyfikować właściwości przepływów pracy z powodu braku autoryzacji po stronie serwera.

Wyciek wrażliwych informacji w API zadań automatyzacji w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do odczytu zadań lub skryptów może uzyskać token odświeżania OAuth innego użytkownika poprzez odpowiedzi API, które nie usuwają tego tokena.

W Keycloak Admin REST API, używanym do zarządzania domenami bezpieczeństwa i klientami, podczas przetwarzania żądań dotyczących rotowanych sekretów klienta przechowywanych w bezpiecznym magazynie, delegowany administrator z uprawnieniami tylko do odczytu może pobrać rzeczywisty sekret zamiast symbolu zastępczego magazynu. Dzieje się tak z powodu niewłaściwego egzekwowania granic, co prowadzi do ujawnienia wrażliwych poświadczeń.

W systemie AVESİS firmy ABIS Technology Ltd. Co. występuje podatność polegająca na zewnętrznej kontroli parametru sieciowego uznawanego za niezmienny, co umożliwia dostęp do funkcjonalności nieprawidłowo ograniczonej przez listy kontroli dostępu (ACL). Podatność dotyczy wersji AVESİS przed 202606251646.

DOMPurify przed wersją 3.4.12 nie wykonuje haka afterSanitizeElements dla elementów niestandardowych dozwolonych przez CUSTOM_ELEMENT_HANDLING.tagNameCheck, co pozwala atrybutom ominąć polityki bezpieczeństwa aplikacji. Atakujący mogą zachować wrażliwe atrybuty na elementach niestandardowych, które później ponownie wstrzykują je do zlewów innerHTML, tworząc drugorzędne gadżety XSS.

Parse Server w wersjach od 9.0.0 do 9.10.0-alpha.5 oraz od 8.2.2 do 8.6.86 zwraca komunikaty błędów walidacji GraphQL, które ujawniają nazwy wymaganych niestandardowych pól wejściowych, nawet gdy publiczna introspekcja jest wyłączona (graphQLPublicIntrospection: false, domyślnie). Klient posiadający tylko publiczny identyfikator aplikacji, bez sesji użytkownika, klucza głównego ani klucza konserwacji, może wywołać błędy walidacji, aby poznać nazwy wymaganych pól niestandardowych w klasach, które już zna po nazwie, częściowo omijając cel ukrywania schematu poprzez wyłączenie publicznej introspekcji. Nie są ujawniane żadne przechowywane dane, poświadczenia, nazwy pól opcjonalnych, nazwy klas nieprzywoływanych ani nazwy funkcji Cloud Code.

Parse Server w wersjach od 9.0.0 do 9.10.0-alpha.6 oraz od 8.2.2 do 8.6.87 ujawnia nazwy klas docelowych wskaźników i relacji poprzez komunikaty błędów walidacji GraphQL i wymuszania typów, gdy publiczna introspekcja schematu jest wyłączona (graphQLPublicIntrospection: false, domyślnie). Ponieważ błędy te są generowane przed uwierzytelnieniem, autoryzacją lub uruchomieniem resolvera, nieuwierzytelniony klient posiadający tylko publiczny identyfikator aplikacji może wywołać błędy na polach wskaźników lub relacji, aby zrekonstruować ukryte nazwy klas schematu, częściowo omijając ochronę ukrywania schematu. Ujawniane są tylko metadane schematu (nazwy klas); żadne dane obiektów, poświadczenia ani rekordy użytkowników nie są ujawniane.

Podatność na nieprawidłową walidację wejścia w Apache NimBLE podczas składania pakietów SAR w Mesh Proxy, co może prowadzić do przekazania uszkodzonych danych do aplikacji, powodując presję na pamięć i niestabilne parsowanie. Problem dotyczy wersji do 1.9.0 włącznie. Naprawiony w wersji 1.10.0.

W Apache NimBLE występuje nieprawidłowe obliczenie rozmiaru bufora podczas przetwarzania zdarzenia HCI raportu reklamowego Legacy. Gdy pojedyncze zdarzenie HCI zawiera wiele raportów, NimBLE błędnie oblicza przesunięcie do następnego raportu, co może spowodować odczyt poza buforem i dostarczenie fałszywych danych do aplikacji.

W pakiecie accountsservice, w ścieżce kodu systemd-homed dla SetIconFile, nazwa pliku dostarczona przez użytkownika jest otwierana jako root bez walidacji i obniżenia uprawnień, które są wykonywane przez klasyczny handler. Lokalny atakujący z kontem zarządzanym przez systemd-homed może odczytać dowolne pliki dostępne dla procesu accounts-daemon.

W dbus-broker, po osiągnięciu limitu deskryptorów plików procesu, błędy EMFILE/ENFILE podczas konfiguracji połączenia (szczególnie SO_PEERPIDFD) są traktowane jako błędy krytyczne, powodujące zakończenie działania brokera. Lokalny atakujący, który może otworzyć wiele połączeń do magistrali sesji użytkownika, może to wywołać i spowodować odmowę usługi dla sesji pulpitu. Aplikacje Flatpak mogą dotrzeć do magistrali sesji hosta przez proxy dbus.

Wtyczka Ninja Forms dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez import plików. Autoryzowany atakujący z uprawnieniami administratora może dodać dodatkowe zapytania SQL do istniejących, aby wyodrębnić wrażliwe dane z bazy.

W Apache OpenNLP przed wersjami 2.5.10 i 3.0.0-M5 wykryto podatność umożliwiającą dowolną instancję klas. Atakujący może dostarczyć spreparowany model lub nazwę formatu, co prowadzi do załadowania i wykonania kodu z niebezpiecznych klas.

W GNU coreutils unexpand występuje przepełnienie sterty spowodowane przepełnieniem liczby całkowitej podczas alokacji bufora przy przetwarzaniu dużych wartości argumentu -t. Może to prowadzić do zapisu poza przydzieloną pamięcią i potencjalnie do uzyskania prymitywu zapisu na stercie.

W narzędziu GNU coreutils uniq występuje podatność na odczyt poza zakresem spowodowana nieprawidłowym przetwarzaniem wielobajtowych danych wejściowych przy użyciu opcji -w (--check-chars). Funkcja find_field() błędnie oblicza długość bajtową znaków, przetwarzając wielokrotnie stały wskaźnik zamiast przesuwać się w danych wejściowych, co prowadzi do zawyżonej wartości długości. Ta nieprawidłowa długość jest później używana w operacji memcmp, powodując odczyty poza przydzielonym buforem podczas przetwarzania spreparowanych wielobajtowych danych wejściowych. Prowadzi to do awarii i potencjalnego ujawnienia sąsiedniej pamięci sterty.