CVE Vulnerability Catalog

A flaw was found in Keycloak that allows a remote, unauthenticated attacker to send specially crafted SOAP requests to the SAML ECP endpoint. By observing distinct fault strings in the responses, the attacker can determine the client's protocol type, leading to information disclosure.

W Keycloak znaleziono lukę, która pozwala na nieprawidłowe przetwarzanie niesygnowanych roszczeń w przypadku przesłania zaszyfrowanego obiektu żądania JSON Web Encryption (JWE). Może to prowadzić do obejścia skonfigurowanej polityki sygnatury i umożliwić zdalnemu atakującemu przesyłanie nieautoryzowanych roszczeń, co narusza integralność danych w procesie autoryzacji OpenID Connect (OIDC).

A flaw was found in Keycloak's Client Policies, specifically within the `org.keycloak.protocol.oidc` component. When certain condition providers (client-type, client-roles, client-attributes, client-scopes) are used to enforce security restrictions, the `reject-ropc-grant` executor is silently bypassed. This allows an unauthenticated remote attacker to obtain tokens via a Resource Owner Password Credentials (ROPC) grant, even when a policy is explicitly configured to block it.

A flaw was found in Keycloak where an authenticated user with existing organization membership can disclose organization metadata in OIDC tokens or via the account API, even after the administrator has disabled the Organizations feature, potentially leading to incorrect authorization decisions by resource servers.

W OpenLearnX, platformie do nauki i oceniania, zidentyfikowano krytyczną podatność na uwierzytelnianie przed wersją 2.0.4, która mogła umożliwić nieautoryzowany dostęp do kont użytkowników w określonych warunkach. Podatność ta została naprawiona w wersji 2.0.4.

Volcano to system planowania wsadowego natywny dla Kubernetes. W wersjach przed v1.14.2, v1.13.3 i v1.12.4 serwer webhook Volcano nie wymusza limitu rozmiaru dla przychodzących ciał żądań HTTP, co pozwala na wysyłanie dowolnie dużych żądań przez pod'y w klastrze.

Błędnie skonfigurowana Polityka Bezpieczeństwa Treści (CSP) w HCL BigFix Remote Control Server WebUI (wersje 10.1.0.0442 i wcześniejsze) nie definiuje dyrektyw bez zapasowych opcji, co umożliwia atakującym obejście zamierzonych ograniczeń bezpieczeństwa i ładowanie nieautoryzowanych zasobów.

Wersje Wireshark od 4.6.0 do 4.6.5 oraz od 4.4.0 do 4.4.15 zawierają błąd w analizatorze protokołu ROHC, który może prowadzić do awarii aplikacji. Wykorzystanie tej podatności może skutkować odmową usługi.

Authlib to biblioteka Pythona, która buduje serwery OAuth i OpenID Connect. W wersjach przed 1.6.12 i 1.7.1 występowała nieautoryzowana otwarta przekierowanie w punkcie autoryzacji OpenIDImplicitGrant i OpenIDHybridGrant, co pozwalało zdalnemu atakującemu na wymuszenie wydania przez serwer autoryzacji HTTP 302 do wybranego przez atakującego adresu URL.

FacturaScripts to oprogramowanie do księgowości i fakturowania typu open source. W wersjach 2025.92 i wcześniejszych występuje podatność typu Cross-Site Scripting (XSS) w modalnym oknie wyszukiwania produktów, która pozwala na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników.

Gryph, który zapewnia warstwę bezpieczeństwa dla agentów kodowania AI, przed wersją 0.7.0, implementował poziomy logowania, które określały, jakie treści są rejestrowane w lokalnej bazie danych sqlite. W rzeczywistości domyślny poziom logowania to standardowy, co prowadzi do rejestrowania potencjalnie wrażliwych treści plików.

Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi. Przed wersją 16.5.0, uwierzytelnieni pracownicy mogli uzyskać dostęp do szczegółów urlopów innych pracowników z powodu niewłaściwych kontroli autoryzacji.

go-ipld-prime to implementacja specyfikacji InterPlanetary Linked Data (IPLD), która przed wersją 0.23.0 miała problem z dekodowaniem DAG-CBOR i DAG-JSON. Dekodery te nie miały limitu głębokości rekurencji, co prowadziło do przepełnienia stosu w przypadku głęboko zagnieżdżonych kolekcji.

Klient Northern.tech Mender w wersji 5 przed 5.0.4 umożliwia obejście weryfikacji podpisu kryptograficznego. To może prowadzić do nieautoryzowanego dostępu do systemu.

Streamlink to narzędzie CLI, które przesyła strumienie wideo z różnych usług do odtwarzacza wideo. W wersjach przed 8.4.0, parsery HLS i DASH w Streamlink nie weryfikowały schematu URI segmentów i innych zasobów, co pozwalało na wczytanie lokalnych plików z nieautoryzowanych źródeł.

Free5GC to otwartoźródłowa implementacja rdzenia sieci 5G. W wersjach przed 4.2.2, AMF w Free5GC nie weryfikuje zdolności zabezpieczeń UE otrzymywanych w wiadomościach NGAP PathSwitchRequest, co pozwala złośliwemu gNB na nadpisanie tych wartości, prowadząc do odmowy usługi przenoszenia dla dotkniętych UE.

A stored cross-site scripting (XSS) vulnerability was found in the /admin/config-module.php component of the simplephp project (commit 5184cff). An attacker can inject a malicious JavaScript payload that will be executed in administrators' browsers.

An authentication bypass vulnerability was discovered in OpenRapid RapidCMS v1.3.1 within the /template/default/menu.php component. The flaw is exploited by injecting a crafted SQL payload into the 'name' cookie parameter.

W GPAC MP4Box występuje dereferencja wskaźnika NULL podczas analizy niektórych skróconych plików MP4. Nieznany lub nieprawidłowy wpis stsd może prowadzić do brakujących pól deskryptora, co skutkuje wywołaniem strlen() na wskaźniku NULL i powoduje awarię.

Wtyczka Jenkins Job Import w wersji 143.v044a_2e819b_27 i wcześniejszych nie przeprowadza weryfikacji uprawnień w jednym z punktów końcowych HTTP, co pozwala atakującym z uprawnieniami Overall/Read na enumerację identyfikatorów poświadczeń przechowywanych w Jenkins.