CVE Vulnerability Catalog

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. Wszystkie serwery Misskey działające w wersjach od 8.45.0 do przed 2026.3.1 zawierają podatność, która umożliwia nieuprawnionym osobom dostęp do danych, do których normalnie nie miałyby dostępu z powodu niewystarczających kontroli uprawnień i odpowiedniej walidacji danych wejściowych.

A security issue was discovered in ingress-nginx where the `nginx.ingress.kubernetes.io/rewrite-target` Ingress annotation can be used to inject configuration into nginx. This can lead to arbitrary code execution in the context of the ingress-nginx controller, and disclosure of Secrets accessible to the controller.

In vLLM version 0.17.0, the SSRF protection fix for CVE-2026-24779 can be bypassed in the load_from_url_async method due to inconsistent URL parsing between the validation layer and the actual HTTP client. Validation uses urllib3.util.parse_url(), while HTTP requests are made via aiohttp with the yarl library, allowing the bypass.

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach 3.24.0 i wcześniejszych występuje podatność na przesyłanie dowolnych plików, mimo że skonfigurowano ograniczenia dotyczące rozszerzeń plików. Ograniczenia te są egzekwowane tylko na poziomie interfejsu użytkownika.

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. Problem ten dotyczy eskalacji uprawnień oraz niebezpiecznego bezpośredniego odniesienia do obiektów (IDOR) z powodu braku serwerowych kontroli RBAC w punktach końcowych /api/global/users.

W wersji 1.13.4 portalu SunbirdEd odkryto problem związany z CWE-22: Niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu ('Przechodzenie po ścieżkach').

Budibase to platforma low-code do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach 3.23.22 i wcześniejszych integracja z PostgreSQL konstruuje polecenia powłoki przy użyciu wartości konfiguracyjnych kontrolowanych przez użytkownika bez odpowiedniej sanitizacji.

The `filestring()` function in the `nltk.util` module of NLTK version 3.9.2 contains a vulnerability allowing arbitrary file read due to improper validation of input paths. The function directly opens files specified by user input without sanitization, enabling attackers to access sensitive system files by providing absolute paths or traversal paths.

W wersji 1.13.4 portalu SunbirdEd odkryto problem związany z CWE-352: Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę podatność do wysyłania nieautoryzowanych żądań w imieniu użytkowników.

W wersji 1.13.4 portalu SunbirdEd odkryto problem związany z CWE-1333: Nieskuteczna złożoność wyrażeń regularnych. Może to prowadzić do nieefektywnego przetwarzania danych.

FreshRSS, a free self-hostable RSS aggregator, contains a vulnerability in development versions (from 57e1a37 to 00f2f04) where the nonce length was changed from 40 to 64 characters. password_verify() is called with a constructed string (SHA-256 nonce + part of a bcrypt hash) instead of the raw user password. Due to bcrypt's 72-byte input truncation, password verification may succeed even when the user enters an incorrect password.

FreshRSS to darmowy agregator RSS, który można hostować samodzielnie. W wersjach przed 1.28.0 występował błąd w logice uwierzytelniania związany z tokenami autoryzacyjnymi, co pozwalało na obejście ograniczeń dostępu do kanałów RSS innych użytkowników.

W urządzeniu Tenda W15E V02.03.01.26_cn występuje podatność związana z nieprawidłową kontrolą dostępu. Nieautoryzowany atakujący może uzyskać dostęp do punktu końcowego /cgi-bin/DownloadCfg/RouterCfm.jpg, co pozwala na pobranie pliku konfiguracyjnego zawierającego hasła administratora w postaci niezaszyfrowanej.

Keygraph Shannon contains a hard-coded API key in its router configuration. When the router component is enabled and exposed, network attackers can authenticate using the publicly known static key. An attacker able to reach the router port can proxy requests through the Shannon instance using the victim's configured upstream provider API credentials, resulting in unauthorized API usage and potential disclosure of proxied request and response data.

W linagora Twake v2023.Q1.1223 odkryto problem związany z CWE-79: Niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującym wykonanie dowolnego kodu.

An issue pertaining to CWE-1333: Inefficient Regular Expression Complexity was discovered in mscdex ssh2 v1.17.0.

A command injection vulnerability was identified in the web module of Archer AXE75 v1.6/v1.0 router. An authenticated attacker with adjacent-network access may be able to perform remote code execution, gaining root-level privileges.

The SSRF vulnerability in IKEA Dirigera v2.866.4 allows an attacker to exfiltrate private keys by sending a crafted request.

MobaXterm versions prior to 26.1 contain an uncontrolled search path element vulnerability. The application calls WinExec to execute Notepad++ without a fully qualified executable path when opening remote files.

W wersji 3.2.0-beta.2 oprogramowania Nexusoft NexusInterface zidentyfikowano problem związany z przesyłaniem wrażliwych informacji w postaci niezaszyfrowanej.