Katalog podatności CVE

W n8n przed wersją 1.123.64 nie są prawidłowo maskowane poświadczenia niestandardowych nagłówków HTTP w danych wykonania podwęzła LLM, co powoduje zapisywanie kluczy API i sekretów w postaci jawnego tekstu w rekordach wykonania przepływu pracy. Uwierzytelnieni użytkownicy z dostępem do danych wykonania mogą odczytać te poświadczenia.

W n8n przed wersją 2.28.0 (oraz przed 2.27.4 w gałęzi 2.27.x) endpoint DELETE /${restEndpoint}/test-webhook/:id jest rejestrowany przed zastosowaniem middleware uwierzytelniającego, co pozwala każdemu nieuwierzytelnionemu wywołującemu sieciowemu, który zna identyfikator przepływu pracy, na anulowanie aktywnej rejestracji testowego webhooka tego przepływu. Wpływ jest ograniczony do zakłócania trwających sesji testowych; produkcyjne webhooki, trwały stan przepływu pracy i przechowywane dane nie są zagrożone.

W niektórych kamerach Hikvision występuje luka w zabezpieczeniach umożliwiająca ujawnienie informacji. Niezautoryzowany atakujący może uzyskać częściowe dane z pamięci urządzenia.

W niektórych kamerach Hikvision występuje luka w eskalacji uprawnień. Z powodu nieprawidłowego przydziału uprawnień w programie urządzenia, atakujący po uwierzytelnieniu przez SSH mogą eskalować uprawnienia i uzyskać pełną kontrolę nad urządzeniem.

W serwerze Ansible Lightspeed Model Context Protocol (MCP) stwierdzono podatność typu path traversal, umożliwiającą atakującemu manipulację agentem AI poprzez pośrednie wstrzyknięcie promptu. Atakujący może spowodować zapis plików przez serwer w nieautoryzowanych lokalizacjach w systemie użytkownika, co może prowadzić do ujawnienia wrażliwych informacji o hoście i umożliwić wykonanie złośliwych poleceń, potencjalnie prowadząc do pełnego przejęcia systemu.

W OpenCanary 0.9.8 (moduł MongoDB) stwierdzono podatność na odmowę usługi poprzez nadmierną alokację zasobów. Problem dotyczy tylko wersji 0.9.8.

W AWX funkcja websocket event consumer wykonuje kontrolę autoryzacji RBAC tylko dla grup zdarzeń zmapowanych w funkcji consumer_access(). Trzy grupy zdarzeń (inventory_update_events, project_update_events, system_job_events) nie są zmapowane, co powoduje pominięcie kontroli autoryzacji. Każdy uwierzytelniony użytkownik może subskrybować te grupy i otrzymywać dane wyjściowe z zadań należących do organizacji, do których nie ma dostępu.

Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 5.0.7 włącznie. Wynika to z braku właściwej walidacji wartości przed uruchomieniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Podatność została częściowo załatana w wersji 5.0.4.

W bibliotece sbc (kodek SBC BlueZ) znaleziono błąd off-by-one w dekoderze ramek SBC, który pozwala spreparowanemu ładunkowi audio wywołać odczyt jednego bajtu poza stertą. Atakujący w zasięgu Bluetooth może odczytać jeden bajt sąsiedniej pamięci sterty.

Rozszerzenie Joomla JoomShopping w wersjach poniżej 5.9.3 jest podatne na Refleksyjny XSS w kontrolerze frontendu produktu. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

W systemie Online Registration and Workflow Management System firmy Universe Software występuje podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie zaufania klienta. Podatność dotyczy wersji do 12022026.

Wtyczka Ultimate Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybuty data-toggle-icon/data-close-icon w widżecie nawigacji. Podatność występuje we wszystkich wersjach do 2.9.1 włącznie z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do strony.

Wtyczka Timetics do WordPressa przed wersją 1.0.57 nie wymaga statusu oczekującego lub niezapłaconego dla nowych rezerwacji utworzonych przez metodę płatności inną niż rozpoznane bramki. Pozwala to nieuwierzytelnionym użytkownikom tworzyć w pełni zatwierdzone rezerwacje na płatne spotkania bez dokonywania płatności.

W frameworku umi (umijs) w wersjach do 4.6.63 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem występuje w funkcji git.getFileCreateInfo w pliku packages/utils/src/getFileGitIno.ts. Łatka jest dostępna w wersji 4.6.64.

W systemie itsourcecode Hospital Management System 1.0 wykryto podatność w nieznanej funkcji pliku /prescription.php. Manipulacja argumentem editid prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Nie kontrolowane zużycie zasobów (CWE-400) w Elasticsearch może prowadzić do odmowy usługi poprzez eksponencjalną ekspansję danych (CAPEC-197). Uwierzytelniony użytkownik może wysłać specjalnie spreparowane zapytanie do silnika ES|QL, powodujące eksponencjalne zużycie CPU podczas oceny zapytania. Wyczerpanie zasobów utrzymuje się po zakończeniu zapytania, a powtarzane żądania mogą całkowicie wyczerpać dostępne zasoby wątków zapytań, uniemożliwiając działanie ES|QL do czasu restartu węzła.

Brak autoryzacji (CWE-862) w Kibanie umożliwia nieautoryzowane ujawnienie informacji między przestrzeniami poprzez dane wejściowe użytkownika, które omijają kontrolę dostępu na poziomie przestrzeni.

W jsforce do wersji 3.10.16 włącznie występuje podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji _execCommand pliku lib/registry/sfdx.js komponentu SFDX Connection Registry. Atak wymaga dostępu lokalnego. Exploit jest publiczny, projekt nie odpowiedział.

Projekt QUSETIONS MiniCode-Python w wersji 0.1.0 zawiera podatność na wstrzykiwanie komend systemowych w funkcji subprocess.Popen pliku minicode/config.py. Atak jest trudny do przeprowadzenia ze względu na wysoką złożoność, ale możliwy zdalnie. Problem rozwiązano w wersji 0.1.0-rc1 (commit 9d868dc).

Nie kontrolowane zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130). Uwierzytelniony użytkownik z niskimi uprawnieniami może wysłać specjalnie spreparowane żądanie do funkcji uczenia maszynowego Kibany, powodując wyczerpanie dostępnej pamięci serwera i uniemożliwienie dostępu wszystkim użytkownikom.