Katalog podatności CVE

Podatność w Cloudreve przed wersją 4.17.0, gdzie endpoint POST /api/v4/admin/policy/oauth/signin wymaga tylko uprawnienia Admin.Read, ale umożliwia modyfikację poświadczeń polityki przechowywania OneDrive bez uprawnienia Admin.Write, co pozwala na zmianę sekretu i app_id.

Podatność na przepełnienie bufora stosu w metodach parsowania plików Cookie może pozwolić nieuwierzytelnionemu atakującemu na wykonanie kodu, gdy funkcja SafeEnhancement jest włączona.

Podatność na przepełnienie bufora stosu w funkcji komunikatów logu może pozwolić nieuwierzytelnionemu atakującemu na wykonanie kodu.

Podatność na przepełnienie bufora stosu w funkcji hasła może pozwolić nieuwierzytelnionemu atakującemu na wykonanie kodu, gdy funkcja SafeEnhancement jest włączona.

Lokalny atakujący może wykorzystać podatność wstrzykiwania argumentów w backendzie APT narzędzia yggdrasil-worker-package-manager, używając nazw pakietów zaczynających się od myślnika, co prowadzi do zdalnego wykonania kodu z uprawnieniami roota.

W Google mcp-toolbox w wersji 1.4.0, gdy uwierzytelnianie Google OAuth jest skonfigurowane z mcpEnabled: true bez jawnego audience lub clientId, pomijana jest walidacja audience dla tokenów opaque, co pozwala na akceptację dowolnego ważnego tokena Google OAuth z innych aplikacji.

Google mcp-toolbox w wersjach do 1.4.0 zawiera podatność na nieograniczoną alokację zasobów w komponencie HTTP handler. Punkt końcowy /mcp odczytuje przychodzące dane bezpośrednio do pamięci systemowej za pomocą nieograniczonej pętli bufora (io.ReadAll) bez stosowania ograniczeń obronnych, takich jak http.MaxBytesReader. Nieuwierzytelniony atakujący może wysłać pojedyncze, ogromne żądanie HTTP, powodując liniowe zużycie pamięci hosta aż do zakończenia procesu przez błąd OOM.

Google mcp-toolbox w wersjach od 0.16.1 do 1.4.0 zawiera podatność na nieprawidłową autoryzację i obejście granicy bezpieczeństwa w komponencie bigquery-execute-sql. Narzędzie polega na API BigQuery dry-run w celu egzekwowania ograniczeń zbiorów danych, ale z powodu błędu logiki fail-open pomija walidację, gdy API zwraca pustą tablicę dla specjalistycznych konstrukcji. Uwierzytelniony atakujący może wyodrębnić strukturalne schematy DDL dla wykluczonych zbiorów danych poprzez INFORMATION_SCHEMA oraz uzyskać dostęp do sfederowanych danych wierszowych poprzez połączenia EXTERNAL_QUERY.

MeshCentral 1.1.21 zawiera podatność na obejście ochrony przed przechwyceniem WebSocket z innej domeny (cross-site WebSocket hijacking). Nieuwierzytelniony zdalny atakujący może przejąć sesję administratora, wykorzystując wczesny zwrot w funkcji CheckWebServerOriginName() w webserver.js przy użyciu certyfikatów self-signed. Atakujący może otworzyć połączenia WebSocket z innej domeny do dwunastu punktów końcowych, wysłać spreparowane akcje w celu wyodrębnienia klucza sesji serwera (sessionKey), sfałszować tokeny sesji dowolnego użytkownika i uzyskać pełną zdalną kontrolę nad wszystkimi zarządzanymi urządzeniami.

Warstwa prezentacji ISO zawiera błąd w obsłudze określonych parametrów podczas negocjacji trybu normalnego. Brak sprawdzenia długości w przetwarzaniu zakodowanych danych prezentacji pozwala atakującemu na kontrolowane pole o zerowej długości, co wywołuje odczyt poza zakresem sterty (bounded heap over read). Problem występuje przed ustanowieniem sesji MMS, a spreparowane połączenie TCP/102 może go wywołać. Nadmierny odczyt powoduje zakończenie procesu, prowadząc do odmowy usługi.

W bibliotece open62541 występuje przepełnienie liczby całkowitej (integer overflow) podczas obliczania iloczynu wymiarów tablicy w UA_Variant arrayDimensions. Zdalny atakujący może wykorzystać ten błąd do wywołania zapisu poza zakresem (out-of-bounds write).

W bibliotece open62541 w usłudze TransferSubscriptions występuje podatność use-after-free na stercie. Uwierzytelniony atakujący może wykorzystać ten błąd do spowodowania odmowy usługi lub potencjalnie do wykonania dowolnego kodu.

W bibliotece open62541 występuje przepełnienie liczb całkowitych podczas obliczania rozmiaru tablicy w UA_Variant. Zdalny atakujący może wykorzystać tę podatność do odczytu danych poza przydzielonym obszarem pamięci sterty, co może prowadzić do ujawnienia poufnych informacji.

W Kamaji, menedżerze płaszczyzny sterowania dla Kubernetes, przed wersją 26.7.4-edge, funkcje GetDefaultDatastoreSchema() i GetDefaultDatastoreUsername() stosują stratną normalizację nazw przestrzeni nazw i nazw, co powoduje kolizje identyfikatorów. Pozwala to różnym dzierżawcom na współdzielenie stanu płaszczyzny sterowania oraz odczyt, modyfikację lub usunięcie danych Kubernetes innego dzierżawcy.

Niekompletna poprawka dla CVE-2026-15352 w aplikacji Health and Safety (HS) systemu NASA core Flight System (cFS) pozostawia osobną podatność na dereferencję pustego wskaźnika w wersjach do 7.0.1. Atakujący, który może wywołać odpowiednie polecenie w określonych warunkach, może spowodować awarię aplikacji HS, prowadzącą do odmowy usługi i resetu procesora.

Urządzenia RCU II+ i Multiload II+ posiadają nieuwierzytelnioną usługę debugowania opartą na Target Communications Framework (TCF), która zapewnia pełny dostęp root do systemu wbudowanego. Atakujący może połączyć się z tą usługą przez sieć i dowolnie przeglądać oraz modyfikować system plików, manipulować procesami i kontrolować interfejsy sieciowe.

Wtyczka Sylius Mollie Plugin przed wersjami 2.2.8, 3.2.4 i 3.3.1 akceptuje w webhooku płatności POST /{_locale}/update-payment parametry id i orderId kontrolowane przez atakującego, ale nie weryfikuje, czy płatność Mollie należy do zamówienia Sylius. Nieuwierzytelniony atakujący może użyć dowolnego ważnego ID płatności Mollie, aby oznaczyć zamówienie ofiary jako opłacone bez faktycznego transferu środków.

W GoAccess przed wersją 1.11, wbudowany serwer WebSocket zawęża 64-bitową długość ramki do 32-bitowego pola WSFrame.payloadlen przed sprawdzeniem maksymalnego rozmiaru ramki. Nieuwierzytelniony zdalny klient może ominąć zabezpieczenie i wymusić alokację około 18 eksabajtów, co powoduje zakończenie procesu.

W GoAccess w wersji 1.10.2, funkcja parse_browser zakłada, że dopasowany token przeglądarki zaczyna się od 'Opera' i przesuwa końcowy podciąg wersji o pięć znaków. Pozwala to na zapisanie od jednego do czterech bajtów kontrolowanych przez atakującego poza przydzieloną pamięcią sterty, co może uszkodzić dane lub spowodować awarię GoAccess.

W OpenProject przed wersją 17.6.0, endpoint PATCH /api/v3/work_packages/{id} akceptuje parametr _links.fileLinks i pozwala uwierzytelnionym użytkownikom z uprawnieniami edit_work_packages, ale bez manage_file_links, na rozwiązywanie rekordów Storages::FileLink po identyfikatorze, odłączanie lub usuwanie istniejących FileLinków oraz przenoszenie FileLinków z innych projektów do kontrolowanego przez atakującego pakietu roboczego. Ujawnia to nazwę pliku, identyfikator i typ MIME.