CVE Vulnerability Catalog

RustFS to rozproszony system przechowywania obiektów zbudowany w języku Rust. W wersjach od 1.0.0-alpha.56 do 1.0.0-alpha.82, RustFS nie weryfikuje warunków polityki w przesyłkach POST z podpisem, co pozwala atakującym na obejście ograniczeń dotyczących długości zawartości, prefiksów oraz typu zawartości.

In Parse Dashboard versions 7.3.0-alpha.42 through 9.0.0-alpha.7, the AI Agent API endpoint (POST /apps/:appId/agent) has multiple security vulnerabilities that, when chained, allow unauthenticated remote attackers to perform arbitrary read and write operations against any connected Parse Server database using the master key. The agent feature is opt-in; dashboards without an agent config are not affected.

Agent CyberArk Endpoint Privilege Manager w wersjach 25.10.0 i niższych umożliwia potencjalne nieautoryzowane podniesienie uprawnień poprzez wykorzystanie dialogów podnoszenia uprawnień CyberArk.

W OpenEMR, przed wersją 8.0.0, występuje podatność na złamanie kontroli dostępu w systemie zarządzania typami zamówień. Umożliwia to użytkownikom o niskich uprawnieniach, takim jak recepcjoniści, dodawanie i modyfikowanie typów procedur bez odpowiedniej autoryzacji.

OpenEMR to darmowa i otwarta aplikacja do zarządzania elektroniczną dokumentacją medyczną. Przed wersją 8.0.0 występowała podatność na przechowywane ataki typu cross-site scripting w formularzu oceny lęku GAD-7, co pozwalało uwierzytelnionym użytkownikom z uprawnieniami klinicznymi na wstrzykiwanie złośliwego JavaScriptu, który był wykonywany przy przeglądaniu formularza przez innych użytkowników.

OpenEMR to darmowa i otwartoźródłowa aplikacja do zarządzania elektroniczną dokumentacją medyczną. W wersjach przed 7.0.4, klient HTTP OpenEMR (`oeHttp`/`oeHttpRequest`) domyślnie wyłączał weryfikację certyfikatów SSL/TLS, co narażało wszystkie zewnętrzne połączenia HTTPS na ataki typu man-in-the-middle (MITM).

Zidentyfikowano słabość w projekcie itsourcecode News Portal w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /admin/add-category.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem Category.

W projekcie itsourcecode News Portal 1.0 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku /newsportal/admin/edit-category.php. Manipulacja argumentem Category prowadzi do wstrzykiwania SQL, co może być przeprowadzone zdalnie.

W systemie zarządzania dokumentami itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanego przetwarzania pliku /loging.php w komponencie logowania. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL.

Wasmtime to środowisko uruchomieniowe dla WebAssembly. W wersjach wcześniejszych niż 24.0.6, 36.0.6, 4.0.04, 41.0.4 i 42.0.0, implementacja zasobu `wasi:http/types.fields` jest podatna na paniki, gdy zbyt wiele pól zostanie dodanych do zestawu nagłówków, co prowadzi do awarii.

Wasmtime to środowisko uruchomieniowe dla WebAssembly. Od wersji 39.0.0 funkcja `component-model-async` stała się domyślna, co wprowadziło nową implementację `[Typed]Func::call_async`, która miała błąd prowadzący do paniki w określonych okolicznościach związanych z wywołaniami asynchronicznymi.

Framework webowy Fiber, inspirowany Express, w wersjach z gałęzi v3 przed 3.1.0, umożliwia wykorzystanie ciasteczka `fiber_flash`, co może prowadzić do nieograniczonej alokacji pamięci na serwerze. W przypadku spreparowanej wartości ciasteczka o długości 10 znaków, próba alokacji może wynieść nawet 85GB pamięci poprzez niezweryfikowaną deserializację msgpack.

Fiber to framework webowy inspirowany Express, napisany w Go. Występuje w nim podatność typu Path Traversal (CWE-22), która pozwala zdalnemu atakującemu na ominięcie sanitizera middleware statycznego i odczytanie dowolnych plików z systemu plików serwera na systemie Windows. Problem dotyczy wersji Fiber od 3 do 3.0.0 i został naprawiony w wersji 3.1.0.

W frameworku webowym Fiber, inspirowanym Express, występuje podatność na atak typu denial of service w wersjach v2 i v3. Atakujący może spowodować awarię aplikacji, wysyłając żądania do tras z więcej niż 30 parametrami, co wynika z braku walidacji podczas rejestracji tras oraz nieograniczonego zapisu do tablicy podczas dopasowywania żądań.

Wersje EventSentry przed 6.0.1.20 zawierają podatność na niezweryfikowaną zmianę hasła w funkcjonalności zarządzania kontem w interfejsie Web Reports. Mechanizm zmiany hasła nie wymaga weryfikacji aktualnego hasła przed ustawieniem nowego hasła.

Podatność CVE-2026-3105 dotyczy wstrzykiwania SQL w punkcie końcowym API używanym do pobierania aktywności kontaktów. W konstrukcji zapytania dla osi czasu aktywności kontaktów parametr odpowiedzialny za określenie kierunku sortowania nie był ściśle weryfikowany, co potencjalnie pozwalało uwierzytelnionym użytkownikom na wstrzykiwanie dowolnych poleceń SQL przez API.

Rodziny urządzeń Tattile Smart+, Vega i Basic w wersjach oprogramowania 1.181.5 i wcześniejszych udostępniają strumienie RTSP bez wymogu uwierzytelnienia. Zdalny atakujący może połączyć się z usługą RTSP i uzyskać dostęp do strumieni wideo/audio na żywo bez ważnych poświadczeń.

Dell Wyse Management Suite w wersjach przed WMS 5.5 zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność, co może prowadzić do zdalnego wykonania kodu.

Dell Wyse Management Suite w wersjach przed WMS 5.5 zawiera lukę związaną z brakiem autoryzacji. Atakujący z niskimi uprawnieniami, mający zdalny dostęp, może wykorzystać tę lukę do podniesienia swoich uprawnień.

Produkty NVIDIA Cumulus Linux i NVOS zawierają podatność w interfejsie NVUE, która pozwala użytkownikowi o niskich uprawnieniach na wstrzyknięcie polecenia. Udane wykorzystanie tej podatności może prowadzić do eskalacji uprawnień.