CVE Vulnerability Catalog

IBM Common Cryptographic Architecture (CCA) w wersjach 7.5.52 i 8.4.82 może pozwolić nieautoryzowanemu użytkownikowi na wykonywanie dowolnych poleceń z podwyższonymi uprawnieniami w systemie.

FacturaScripts to oprogramowanie do zarządzania przedsiębiorstwem i księgowości typu open-source. Przed wersją 2025.81, w FacturaScripts występowała krytyczna podatność na wstrzykiwanie SQL w funkcjonalności autouzupełniania, która pozwalała uwierzytelnionym atakującym na wydobycie wrażliwych danych z bazy danych, w tym danych logowania użytkowników oraz ustawień konfiguracyjnych.

FacturaScripts to oprogramowanie do zarządzania przedsiębiorstwem i księgowości typu open-source. W wersjach przed 2025.81 występuje krytyczna podatność na wstrzykiwanie SQL w REST API, która pozwala uwierzytelnionym użytkownikom API na wykonywanie dowolnych zapytań SQL poprzez parametr sort.

Bambuddy to samodzielnie hostowany system archiwizacji i zarządzania wydrukami dla drukarek 3D Bambu Lab. W wersjach przed 0.1.7 w kodzie źródłowym znajdował się zakodowany klucz tajny używany do podpisywania JWT, a wiele tras ManyAPI nie sprawdzało uwierzytelnienia. Problem ten został naprawiony w wersji 0.1.7.

Langroid to framework do budowania aplikacji opartych na dużych modelach językowych. W wersjach przed 0.59.32 występuje luka, która pozwala na obejście zabezpieczeń wprowadzonych w CVE-2025-46724, umożliwiając wykonanie dowolnego kodu poprzez niewłaściwe przetwarzanie wejścia.

Alist to program do zarządzania listą plików, który przed wersją 3.57.0 zawierał podatność na przechodzenie ścieżek w wielu obsługiwanych operacjach plikowych. Uwierzytelniony atakujący mógł obejść autoryzację na poziomie katalogu, wstrzykując sekwencje przechodzenia w komponentach nazw plików.

Alist to program do zarządzania listą plików, który przed wersją 3.57.0 domyślnie wyłączał weryfikację certyfikatów TLS dla wszystkich komunikacji z driverami magazynów. To stwarzało podatność na ataki typu Man-in-the-Middle (MitM), umożliwiając odszyfrowanie, kradzież i manipulację danymi przesyłanymi podczas operacji magazynowych.

OpenClaw, osobisty asystent AI, przed wersją 2026.1.29 miał podatność na wstrzyknięcie poleceń systemowych poprzez ścieżkę główną projektu w funkcji sshNodeCommand. Funkcja ta nieprawidłowo obsługiwała ścieżkę projektu dostarczoną przez użytkownika, co umożliwiało wykonanie dowolnych poleceń na zdalnym hoście SSH.

Podatność w melange pozwala atakującym na wykonywanie dowolnych poleceń powłoki na hoście budującym, jeśli mają możliwość wpływania na dane wejściowe do potoku łatek. Wersje od 0.10.0 do przed 0.40.3 są narażone na tę lukę, ponieważ wartości pochodzące z wejścia są osadzane w skryptach powłoki bez odpowiedniego cytowania lub walidacji.

Biblioteka Compressing w wersjach 2.0.0 oraz 1.10.3 i wcześniejszych ma lukę, która pozwala na ekstrakcję archiwów TAR z symbolicznymi linkami bez weryfikacji ich celów. Atakujący może wykorzystać tę lukę, aby zapisać pliki w dowolnych lokalizacjach na systemie plików hosta.

Podatność w melange pozwala na wykonywanie dowolnych poleceń powłoki przez atakującego, który może dostarczyć wartości wejściowe do budowy, ale nie ma możliwości modyfikacji definicji pipeline'ów. Problem występuje w wersjach od 0.3.0 do przed 0.40.3, gdy pipeline wykorzystuje substytucje ${{vars.*}} lub ${{inputs.*}} w working-directory.

W wersjach od 0.11.3 do przed 0.40.3, melange pozwalał atakującym, którzy mogli wpływać na strumień tar z maszyny wirtualnej QEMU, na zapis plików poza zamierzonym katalogiem roboczym na hoście. Funkcja retrieveWorkspace nie weryfikowała, czy ścieżki pozostają w obrębie katalogu roboczego, co umożliwiało atak typu path traversal za pomocą sekwencji ../.

Apollo Server w wersjach od 2.0.0 do 3.13.0, 4.2.0 do przed 4.13.0 oraz 5.0.0 do przed 5.4.0 ma domyślną konfigurację startStandaloneServer, która jest podatna na ataki typu denial of service (DoS) poprzez specjalnie przygotowane ciała żądań z egzotycznymi kodowaniami zestawów znaków. Problem ten nie dotyczy użytkowników korzystających z @apollo/server jako zależności dla pakietów integracyjnych.

Water-Melon Melon w wersji 9df9292 i wcześniejszych jest podatny na atak typu Denial of Service. Komponent HTTP nie ma ustalonej maksymalnej długości, co pozwala na wysłanie nadmiernie długiego nagłówka żądania, co może prowadzić do wyczerpania pamięci RAM.

Podatność w apko pozwala atakującemu, który kontroluje lub kompromituje repozytorium APK, na wywołanie wyczerpania zasobów na hoście budującym. Funkcja ExpandApk nie narzuca limitów dekompresji, co umożliwia dostarczenie małego, mocno skompresowanego pliku .apk, który po rozpakowaniu zajmuje dużo miejsca na dysku i zużywa czas CPU.

W apko, które umożliwia budowanie i publikowanie obrazów kontenerów OCI z pakietów apk, odkryto podatność typu path traversal w abstrakcji systemu plików dirFS. Atakujący mogąc dostarczyć złośliwy pakiet APK, może tworzyć katalogi lub symlinki poza zamierzonym katalogiem instalacyjnym.

Złośliwie przygotowany plik GIF, przetwarzany przez Autodesk 3ds Max, może spowodować podatność na przepełnienie bufora na stosie. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

RIOT to otwartoźródłowy system operacyjny dla mikrokontrolerów, zaprojektowany z myślą o urządzeniach IoT i innych urządzeniach wbudowanych. W wersji 2025.10 i wcześniejszych, występuje wiele przypadków odczytu poza zakresem, które pozwalają nieautoryzowanym użytkownikom na odczytanie sąsiednich lokalizacji pamięci lub awarię podatnego urządzenia działającego na stosie 6LoWPAN.

W n8n, platformie do automatyzacji procesów, zidentyfikowano podatność na wstrzykiwanie poleceń w funkcjonalności instalacji pakietów społecznościowych. Problem dotyczy wersji od 0.187.0 do przed 1.120.3 i pozwalał uwierzytelnionym użytkownikom z uprawnieniami administracyjnymi na wykonywanie dowolnych poleceń systemowych na hoście n8n.

OpenSTAManager to oprogramowanie open source do zarządzania pomocą techniczną i fakturowania. W wersji 2.9.8 i wcześniejszych występuje podatność na wstrzykiwanie SQL w module Stampe. W momencie publikacji nie istnieje znana łatka.