CVE Vulnerability Catalog

Wtyczka User Registration & Membership dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 5.1.2 włącznie. Problem wynika z nieprawidłowego uwierzytelniania w funkcji 'register_member', co umożliwia nieautoryzowanym atakującym zalogowanie nowo zarejestrowanego użytkownika, który ma ustawiony meta użytkownika 'urm_user_just_created'.

Vitess to system klastrowania baz danych dla poziomego skalowania MySQL. Przed wersjami 23.0.3 i 22.0.4, każdy z dostępem do lokalizacji przechowywania kopii zapasowych (np. bucket S3) mógł manipulować plikami manifestu kopii zapasowej, co prowadziło do nieautoryzowanego dostępu do środowiska produkcyjnego.

W platformie Agenta, która jest otwartoźródłową platformą LLMOps, występuje podatność typu Server-Side Template Injection (SSTI) w wersjach przed 0.86.8 w renderowaniu szablonów API serwera. Podatny kod znajduje się w pakiecie SDK, ale jest wykonywany po stronie serwera w procesie API podczas uruchamiania ewaluatorów.

A vulnerability in the Koa library for Node.js involves improper parsing of the Host header by the `ctx.hostname` API. An attacker can send a crafted Host header containing a `@` symbol, causing the API to return an attacker-controlled value, e.g., `evil[.]com`. The issue affects versions prior to 3.1.2 and 2.16.4.

W Agenta-API przed wersją 0.48.1 występowała podatność na ucieczkę z piaskownicy w niestandardowym evaluatorze kodu Pythona. Błędne dodanie pakietu `numpy` do białej listy jako bezpiecznego umożliwiło uwierzytelnionym użytkownikom ominięcie piaskownicy i wykonanie dowolnego kodu na serwerze API.

WPGraphQL, dostarczający API GraphQL dla stron WordPress, przed wersją 2.9.1 zawierał podatność na wstrzykiwanie poleceń systemowych w workflow GitHub Actions (`release.yml`). W momencie scalania pull requesta z `develop` do `master`, treść PR była wstrzykiwana bezpośrednio do polecenia shell, co umożliwiało wykonanie dowolnych poleceń na runnerze Actions.

WireGuard Portal (wg-portal) to webowy portal konfiguracyjny do zarządzania serwerem WireGuard. Przed wersją 2.1.3, każdy uwierzytelniony użytkownik, który nie był administratorem, mógł stać się pełnoprawnym administratorem, wysyłając pojedyncze żądanie PUT do swojego profilu użytkownika z wartością "IsAdmin": true w ciele JSON.

Wtyczka WP Responsive Images dla WordPressa jest podatna na atak typu Path Traversal we wszystkich wersjach do i włącznie z 1.0 poprzez parametr 'src'. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.

In Go MCP SDK prior to version 1.3.1, Go's standard JSON unmarshaler performed case-insensitive matching of JSON keys to struct fields, violating the JSON-RPC 2.0 specification. A malicious MCP peer could send protocol messages with non-standard field casing that the SDK would silently accept, potentially bypassing intermediary inspection and causing cross-implementation inconsistency.

pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.7.3, atakujący mógł wykorzystać tę podatność do stworzenia PDF, który prowadził do wyczerpania pamięci RAM.

rldns to otwartoźródłowy serwer DNS. W wersji 1.3 występuje błąd odczytu poza granicami pamięci, który prowadzi do odmowy usługi. Wersja 1.4 zawiera poprawkę dla tego problemu.

The c3p0 JDBC connection pooling library is vulnerable to attacks via maliciously crafted Java-serialized objects and `javax.naming.Reference` instances. The `userOverridesAsString` property in `ConnectionPoolDataSource` implementations was stored as a hex-encoded serialized object, allowing attackers who can reset this property to execute arbitrary code. This vulnerability is amplified by flaws in the mchange-commons-java dependency, which enabled remote code download and execution.

Edytor kodu Zed ma instalator rozszerzeń, który pozwala na pobieranie plików tar/gzip. W wersjach przed 0.224.4, ekstraktor tar (`async_tar::Archive::unpack`) tworzy dowiązania symboliczne z archiwum bez walidacji, co umożliwia atakującemu wykonanie kodu poprzez zapis plików w dowolnych lokalizacjach na hoście.

Zed, edytor kodu, ma podatność na ucieczkę przez symlink w wersjach przed 0.225.9 w narzędziach plików Agenta (`read_file`, `edit_file`). Umożliwia to odczyt i zapis plików poza katalogiem projektu, gdy projekt zawiera linki symboliczne wskazujące na zewnętrzne ścieżki.

GPAC to otwartoźródłowy framework multimedialny. W wersjach do 26.02.0 występuje przepełnienie bufora stosu podczas analizy plików NHML w `src/filters/dmx_nhml.c`, gdy wartość atrybutu xmlHeaderEnd jest kopiowana bez walidacji długości.

TerriaJS-Server to serwer NodeJS Express dla TerriaJS, biblioteki do budowania internetowych eksploratorów danych geograficznych. Błąd walidacji w wersjach przed 4.0.3 pozwala atakującemu na proxy'owanie domen, które nie są wyraźnie dozwolone w konfiguracji `proxyableDomains`. Wersja 4.0.3 naprawia ten problem.

Edytor kodu Zed ma podatność typu Zip Slip (przechodzenie ścieżki) w funkcjonalności ekstrakcji archiwów ZIP przed wersją 0.224.4. Funkcja `extract_zip()` nie weryfikuje nazw plików w archiwum ZIP pod kątem sekwencji przechodzenia ścieżki, co pozwala złośliwym rozszerzeniom na zapis plików poza wyznaczoną lokalizację.

Manyfold to otwartoźródłowa, samodzielnie hostowana aplikacja webowa do zarządzania kolekcją modeli 3D, szczególnie skoncentrowana na druku 3D. Przed wersją 0.133.0, w przypadku włączonej generacji renderów modeli, zalogowany użytkownik mógł uzyskać zdalne wykonanie kodu (RCE) poprzez przesłanie pliku ZIP zawierającego nazwę pliku z metaznakiem powłoki. Nazwa pliku trafia do wywołania backtick w Ruby bez sanitizacji.

TinyWeb to serwer WWW (HTTP, HTTPS) napisany w Delphi dla Win32. Wersje przed 2.02 mają podatność na Denial of Service (DoS) poprzez wyczerpanie pamięci, co pozwala nieautoryzowanym zdalnym atakującym na wysyłanie żądań HTTP POST z wyjątkowo dużym nagłówkiem `Content-Length`, co prowadzi do awarii serwera.

TinyWeb to serwer WWW (HTTP, HTTPS) napisany w Delphi dla Win32. Wersje przed 2.02 są podatne na atak Denial of Service (DoS) znany jako Slowloris, ponieważ serwer tworzy nowy wątek systemowy dla każdego połączenia bez ograniczenia równoczesności lub odpowiedniego limitu czasu na żądanie.