CVE Vulnerability Catalog

Wekan to narzędzie kanban typu open source, które w wersjach od 8.31.0 do 8.33 publikuje wszystkie dane integracyjne dla tablicy bez filtrowania pól, co naraża wrażliwe informacje, takie jak adresy URL webhooków i tokeny uwierzytelniające. Publikacje tablic są dostępne dla wszystkich członków tablicy, w tym użytkowników tylko do odczytu oraz niezalogowanych klientów DDP dla publicznych tablic.

Wekan, narzędzie kanban typu open source, w wersjach 8.32 i 8.33 jest podatne na atak typu Server-Side Request Forgery (SSRF) poprzez ładowanie URL-i załączników. Podczas importu tablicy, URL-e załączników z danych JSON dostarczonych przez użytkownika są pobierane bez walidacji, co umożliwia atakującym dostęp do wewnętrznych usług sieciowych.

Wersja QuickJS z dnia 2025-09-13 zawiera podatność, która pozwala na wykonanie złośliwego skryptu JavaScript, co prowadzi do stanu braku pamięci (OOM) oraz awarii asercji podczas czyszczenia środowiska wykonawczego. Mimo że silnik zgłasza błąd OOM, kończy się to abortem z powodu niepełnego zwolnienia listy obiektów GC.

Lemmy, a link aggregator and forum for the fediverse, is vulnerable to server-side request forgery via a dependency on activitypub_federation. Prior to version 0.19.16, the GET /api/v4/image/{filename} endpoint is vulnerable to unauthenticated SSRF through parameter injection in the file_type query parameter. An attacker can inject arbitrary query parameters into the internal request to pict-rs, including the proxy parameter which causes pict-rs to fetch arbitrary URLs.

A remote code execution (RCE) vulnerability was discovered in the Locutus project, which ports standard libraries from other programming languages to JavaScript. The flaw affects the call_user_func_array function and its wrapper call_user_func, which fail to properly validate callback array components before passing them to eval().

CVE-2026-29089 dotyczy TimescaleDB, bazy danych szeregów czasowych, która jako rozszerzenie PostgreSQL ma problem z ustawieniem search_path. W wersjach od 2.23.0 do 2.25.1, użytkownicy mogą tworzyć funkcje w schematach, które przesłaniają wbudowane funkcje PostgreSQL, co prowadzi do wykonania dowolnego kodu podczas aktualizacji rozszerzenia.

The shell tool within GitHub Copilot CLI versions prior to and including 0.0.422 can allow arbitrary code execution through crafted bash parameter expansion patterns. An attacker who can influence the commands executed by the agent can exploit these patterns to execute hidden commands.

Kestra to platforma orkiestracji oparta na zdarzeniach. W wersjach od 1.1.10 i wcześniejszych, podgląd pliku wykonawczego Kestry renderuje dostarczony przez użytkownika Markdown (.md) z markdown-it z ustawieniem html:true i wstrzykuje wynikowy HTML za pomocą v-html Vue bez sanitizacji.

Mesa to otwartoźródłowa biblioteka Pythona do modelowania opartego na agentach, symulująca złożone systemy. W wersji 3.5.0 i wcześniejszych, sprawdzanie nieufnego kodu w workflow benchmarks.yml może prowadzić do wykonania kodu w uprzywilejowanym runnerze.

Zarf to menedżer pakietów dla Kubernetes. W wersjach od 0.54.0 do przed 0.73.1 występuje podatność na traversję ścieżek podczas ekstrakcji archiwów, która pozwala na stworzenie symlinków wskazujących poza katalog docelowy, co umożliwia nieautoryzowany odczyt lub zapis plików na systemie przetwarzającym pakiet.

An incorrect access control vulnerability in the REST API of Ibexa & Ciril GROUP eZ Platform / Ciril Platform 2.x allows unauthenticated attackers to access sensitive data by enumerating object IDs.

Wersje Snipe-IT przed 8.3.7 zawierają wrażliwe atrybuty użytkowników związane z uprawnieniami konta, które są niewystarczająco chronione przed masowym przypisaniem. Użytkownik z niskimi uprawnieniami może stworzyć złośliwe żądanie API, aby zmodyfikować zastrzeżone pola innego konta użytkownika, w tym konto Super Admin.

The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This leads to predictable session identifiers, enabling session hijacking or shadowing.

A denial of service vulnerability exists in CoreDNS before version 1.14.2 in the loop detection plugin. An attacker can send specially crafted DNS queries that exploit a predictable pseudo-random number generator (PRNG) for generating a secret query name, causing a fatal error that terminates the entire DNS server process.

A logical vulnerability in CoreDNS before version 1.14.2 allows DNS access controls to be bypassed due to the default execution order of plugins. Security plugins like acl are evaluated before the rewrite plugin, causing a Time-of-Check Time-of-Use (TOCTOU) flaw.

The WebSocket Application Programming Interface lacks restrictions on the number of authentication requests. This absence of rate limiting may allow an attacker to conduct denial-of-service attacks or brute-force attacks to gain unauthorized access.

The WebSocket Application Programming Interface lacks restrictions on the number of authentication requests. This absence of rate limiting may allow an attacker to conduct denial-of-service attacks or brute-force attacks to gain unauthorized access.

The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This leads to predictable session identifiers, enabling session hijacking or shadowing.

Navtor NavBox ujawnia wrażliwe dane konfiguracyjne i operacyjne z powodu braku uwierzytelnienia na końcówkach API HTTP. Nieautoryzowany zdalny atakujący z dostępem do sieci urządzenia może wykonywać żądania HTTP GET na porcie TCP 8080, aby uzyskać wewnętrzne parametry sieciowe, w tym informacje ECDIS i OT, identyfikatory urządzeń oraz logi statusu usług.

W Navtor NavBox występuje podatność na przejście ścieżki absolutnej. Aplikacja udostępnia usługę HTTP, która nieprawidłowo sanitizuje dane wejściowe ścieżki dostarczane przez użytkownika, co pozwala na zdalne ataki bez uwierzytelnienia.