CVE Vulnerability Catalog

W wersji xiaomusic v0.5.7 występuje podatność na nieautoryzowany dostęp do plików poprzez przejście ścieżki w punkcie końcowym GET /music/{file_path:path}. Atakujący mogą odczytać dowolne pliki spoza zamierzonego katalogu muzycznego, wykorzystując niekompletną kontrolę prefiksu ścieżki.

MoviePilot v2 zawiera podatność typu server-side request forgery w punkcie końcowym proxy obrazów, która pozwala uwierzytelnionym atakującym na żądanie dowolnych adresów URL poprzez dostarczenie ciasteczka resource_token oraz adresu URL, którego domena znajduje się na liście dozwolonych. Atakujący mogą obejść wewnętrzne zabezpieczenia sieciowe, ponieważ funkcja SecurityUtils.is_safe_url sprawdza jedynie przynależność domeny.

W wersji 2.6.5 agno występuje podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Umożliwia to atakującym wstrzykiwanie dowolnych wyrażeń SQL poprzez dostarczenie złośliwych kluczy i wartości metadanych do metody delete_by_metadata().

GitHub CLI (gh) przed wersją 2.93.0 błędnie dołącza nagłówek autoryzacji w żądaniach API do luster repozytoriów TUF. Logika normalizacji hosta powoduje, że subdomeny *.github.com są traktowane jako github.com, co prowadzi do nieautoryzowanego przekazywania tokenów.

Dokploy to darmowa, samodzielna platforma jako usługa (PaaS). W wersjach 0.29.0 i wcześniejszych funkcja deleteRegistry wykonuje polecenie docker logout ${response.registryUrl} bez odpowiedniego zabezpieczenia przed wstrzyknięciem poleceń, co prowadzi do podatności na wstrzyknięcie poleceń podczas usuwania rejestru z wykorzystaniem spreparowanego registryUrl.

The template upload feature in Emlog Pro v2.6.9 has a path traversal vulnerability, allowing authenticated administrators to execute arbitrary PHP code. By uploading a malicious ZIP archive containing directory traversal sequences in filenames, an attacker can overwrite default template files or directly include malicious code files in the current template.

OpenClaw przed wersją 2026.5.18 zawiera podatność na obejście zakresu w trasie Gateway chat.send, która pozwala klientom z ograniczonym zakresem na wykonywanie uprzywilejowanych poleceń. Atakujący z zakresem operator.write mogą dostarczać polecenia przez dziedziczone zewnętrzne trasy, omijając wymagania dotyczące operator.approvals i operator.admin.

OpenClaw przed wersją 2026.5.18 zawiera lukę w autoryzacji, która pozwala użytkownikom bez uprawnień na klikanie przycisków zatwierdzania w QQBot. Luka ta nie egzekwuje tożsamości zatwierdzającego, co umożliwia nieautoryzowanym użytkownikom rozwiązywanie oczekujących wniosków o zatwierdzenie wykonania lub wtyczki.

OpenClaw przed wersją 2026.5.4 zawiera lukę w autoryzacji w wtyczce do parowania urządzeń, która pozwala nieuprawnionym nadawcom czatu na wydawanie kodów bootstrap do parowania urządzeń bez odpowiedniej walidacji zakresu. Atakujący z dostępem do poleceń czatu mogą tworzyć kody konfiguracyjne, aby zarejestrować urządzenia z uprawnieniami operatora/węzła.

Wykryto podatność w Shibby Tomato 1.28, która dotyczy nieznanej funkcji w pliku usr/sbin/miniupnpd. Manipulacja tą funkcją prowadzi do zużycia zasobów i może być przeprowadzona zdalnie.

W Shibby Tomato 1.28 znaleziono lukę w funkcji send pliku usr/sbin/miniupnpd, która dotyczy komponentu SUBSCRIBE Call Handler. Wykorzystanie tej luki może prowadzić do ataku typu server-side request forgery, który może być inicjowany zdalnie.

Wykryto podatność w Shibby Tomato 1.28, która dotyczy funkcji sub_90F0 w pliku multimon.cgi. Manipulacja prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w Shibby Tomato do wersji 1.28, która dotyczy funkcji sub_9068 w pliku tomatoups.cgi komponentu UPS Service. Manipulacja prowadzi do przepełnienia bufora na stosie, co może być zdalnie wykorzystane przez atakującego.

Zidentyfikowano słabość w Shibby Tomato 1.28, która dotyczy funkcji get_ups_field w pliku tomatodata.cgi. Manipulacja argumentem Date może prowadzić do przepełnienia bufora na stosie, co umożliwia zdalne przeprowadzenie ataku.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrze ticket_id. Atakujący mogą wysyłać żądania GET do pliku add_facnote.php z odpowiednio skonstruowanymi ładunkami SQL, aby wydobyć wrażliwe informacje z bazy danych, w tym szczegóły wersji i inne dane.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu przez parametr p1. Atakujący mogą wysyłać żądania GET do city_graph.php z przygotowanymi ładunkami SQL w celu wydobycia wrażliwych informacji z bazy danych, w tym nazw schematów i innych danych.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu przez parametr p1. Atakujący mogą wysyłać żądania GET do inc_types_graph.php z odpowiednio przygotowanymi ładunkami SQL, aby wydobyć wrażliwe informacje z bazy danych, w tym nazwy schematów i inne dane.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu przez parametr p1. Atakujący mogą wysyłać żądania GET do pliku sever_graph.php z odpowiednio skonstruowanymi ładunkami SQL, aby wydobyć wrażliwe informacje z bazy danych, w tym nazwy schematów i inne dane.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrze 'id'. Atakujący mogą wysyłać żądania GET do punktu końcowego ajax/form_post.php z odpowiednio skonstruowanymi ładunkami SQL, aby wydobyć wrażliwe informacje z bazy danych, w tym nazwy schematów i inne dane.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrach tick_lat i tick_lng. Atakujący mogą wysyłać żądania GET do nearby.php z przygotowanymi ładunkami SQL w celu wydobycia wrażliwych informacji z bazy danych, w tym nazw użytkowników, nazw baz danych i szczegółów wersji.