CVE Vulnerability Catalog

Wersje Apache Airflow od 3.1.0 do 3.1.7 mają lukę w autoryzacji w punktach końcowych Human-in-the-Loop (HITL) API wykonania, co pozwala każdemu uwierzytelnionemu zadaniu na odczyt, zatwierdzenie lub odrzucenie workflow HITL należących do innych zadań.

Wersje Apache Airflow od 3.1.0 do 3.1.7 mają problem z ustawieniem tokena sesji (_token) w ciasteczkach na ścieżkę=/, niezależnie od skonfigurowanego base_url. To umożliwia aplikacjom współhostowanym w tej samej domenie przechwytywanie ważnych tokenów sesji Airflow z nagłówków żądań HTTP, co prowadzi do przejęcia sesji bez atakowania samego Airflow.

Rozszerzenie nie resetuje poprawnie wygenerowanego kodu MFA po udanej autoryzacji. Może to prowadzić do ominięcia MFA podczas przyszłych prób logowania, gdy użytkownik poda pusty ciąg jako kod MFA do dostawcy MFA rozszerzenia.

Rozszerzenie nieprawidłowo definiuje dozwolone klasy używane podczas deserializacji metadanych dotyczących błędów transportu. Atakujący może wykorzystać to do wykonania nieufnego kodu zserializowanego.

The sjcl library before version 1.0.9 lacks point-on-curve validation in sjcl.ecc.basicKey.publicKey(). An attacker can recover a victim's ECDH private key by sending crafted off-curve public keys and observing ECDH outputs. The dhJavaEc() function returns the raw x-coordinate without hashing, providing a plaintext oracle.

A flaw was found in libucl that allows a remote attacker to exploit a specially crafted Universal Configuration Language (UCL) input containing a key with an embedded null byte. This can lead to a segmentation fault in the `ucl_object_emit` function, resulting in a Denial of Service (DoS) for the affected system.

Wtyczka WowStore – Store Builder & Product Blocks dla WooCommerce w WordPressie jest podatna na atak typu SQL Injection poprzez parametr 'search' we wszystkich wersjach do i włącznie z 4.4.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W platformie zarządzania Tiandy Easy7 zidentyfikowano podatność, która dotyczy nieznanej funkcji pliku /rest/preSetTemplate/getRecByTemplateId. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.

Zidentyfikowano słabość w platformie zarządzania Tiandy Easy7 w wersji 7.17.0. Wpływający element to nieznana funkcja pliku /rest/devStatus/getDevDetailedInfo komponentu Endpoint, która może prowadzić do wstrzyknięcia SQL poprzez manipulację argumentem ID.

W platformie zarządzania Tiandy Easy7 w wersji 7.17.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /rest/devStatus/queryResources komponentu Endpoint, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem areaId.

ZwickRoell Test Data Management versions prior to 3.0.8 contain a local file inclusion (LFI) vulnerability in the /server/node_upgrade_srv.js endpoint. An unauthenticated attacker can supply directory traversal sequences via the firmware parameter to access arbitrary files on the server.

The `flow/admin/moniteur.php` script in Use It Flow administration website before version 10.0.0 is vulnerable to Remote Code Execution. An attacker can supply unsanitized input via the `action` GET parameter, which after insufficient validation is executed by the `eval()` function. Although a `method_exists()` check is performed, it only validates the part before the first parenthesis `(`, allowing arbitrary PHP code to be appended after a valid method call.

Craft CMS to system zarządzania treścią (CMS), który ma podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie zachowań w ElementIndexesController i FieldsController. Problem występuje w wersjach od 4.0.0-RC1 do przed 4.17.5 oraz od 5.0.0-RC1 do przed 5.9.11, przy włączonych uprawnieniach administratora panelu kontrolnego Craft oraz allowAdminChanges.

Craft CMS to system zarządzania treścią (CMS), w wersjach od 5.6.0 do przed 5.9.11 występuje podatność w pliku src/controllers/EntryTypesController.php. Tablica $settings z funkcji parse_str jest przekazywana bezpośrednio do Craft::configure(), co umożliwia wstrzykiwanie zachowań/handlerów zdarzeń Yii2 za pomocą kluczy prefiksowanych 'as' lub 'on'.

Chamilo LMS to system zarządzania nauczaniem. W wersji 1.11.34 i wcześniejszych występuje podatność na wstrzykiwanie SQL w punkcie końcowym AJAX statystyk, gdzie parametry date_start i date_end są bezpośrednio osadzane w surowym ciągu SQL bez odpowiedniej sanitizacji.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 1.11.36 istniała podatność na nieautoryzowane przesyłanie plików w funkcji importu H5P, która pozwalała uwierzytelnionym użytkownikom z rolą nauczyciela na zdalne wykonanie kodu (RCE). Walidacja pakietu H5P sprawdzała jedynie istnienie pliku h5p.json, nie blokując jednak plików .htaccess ani plików PHP z alternatywnymi rozszerzeniami.

The Webhooks plugin for Craft CMS versions 3.0.0 to before 3.2.0 renders user-supplied template content through Twig's renderString() function without sandbox protection. This allows an authenticated user with access to the Craft control panel and permissions to access the Webhooks plugin to inject Twig template code that calls arbitrary PHP functions, even if allowAdminChanges is set to false. The issue is patched in version 3.2.0.

A missing S3 ownership verification in the Bedrock AgentCore Starter Toolkit before version v0.1.13 may allow a remote actor to inject code during the build process, leading to code execution in the AgentCore Runtime.

Podatność CVE-2026-4224 dotyczy parsera Expat, który przy rejestrowanym ElementDeclHandlerze przetwarza wewnętrzną definicję typu dokumentu z głęboko zagnieżdżonym modelem treści, co prowadzi do przepełnienia stosu C.

The fix for CVE-2026-0672, which rejected control characters in http.cookies.Morsel, was incomplete. The Morsel.update(), |= operator, and unpickling paths were not patched, allowing control characters to bypass input validation. Additionally, BaseCookie.js_output() lacked the output validation applied to BaseCookie.output().