CVE Vulnerability Catalog

Seria AP180 z wersjami oprogramowania układowego przed AP_RGOS 11.9(4)B1P8 zawiera podatność na wstrzykiwanie poleceń systemowych. W przypadku wykorzystania tej podatności, na urządzeniach mogą być wykonywane dowolne polecenia.

Wersja 7.0.3 Altium Enterprise Server (AES) na wszystkich platformach zawiera podatność na wstrzykiwanie HTML. Umożliwia to uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez spreparowaną treść HTML.

AES zawiera podatność na wstrzykiwanie SQL spowodowaną nieaktywną konfiguracją, która uniemożliwia zastosowanie najnowszej logiki analizy SQL. Gdy ta konfiguracja nie jest włączona, złośliwe dane wejściowe mogą być niewłaściwie obsługiwane, co pozwala atakującym na wstrzykiwanie i wykonywanie dowolnych zapytań SQL.

Hustoj to otwartoźródłowy system oceny online, który jest podatny na atak CSV Injection (wstrzykiwanie formuł) poprzez funkcjonalność eksportu rankingu konkursu. Aplikacja nie sanitizuje danych wejściowych użytkownika w polu 'Nickname' przed eksportem do pliku .xls, co pozwala na wykonanie formuły Excel przez złośliwego użytkownika.

Backstage is vulnerable to symlink-based path traversal attacks in Scaffolder actions and archive extraction utilities. An attacker with access to create and execute Scaffolder templates can read, delete, or write files outside the workspace.

Copier to biblioteka i aplikacja CLI do renderowania szablonów projektów. W wersjach przed 9.11.2, Copier sugerował, że generowanie projektu z bezpiecznego szablonu jest bezpieczne, jednakże bezpieczny szablon może obecnie zapisywać w dowolnych katalogach poza ścieżką docelową, wykorzystując dowiązania symboliczne oraz odpowiednią strukturę katalogów.

Podatność w seroval umożliwia nieprawidłowe przetwarzanie danych wejściowych w komponencie deserializacji JSON, co może prowadzić do wykonania dowolnego kodu JavaScript. Dotyczy to wersji 1.4.0 i wcześniejszych, a problem występuje w funkcjach fromJSON i fromCrossJSON w scenariuszu transmisji klient-serwer.

Podatność w seroval umożliwia zanieczyszczenie prototypu podczas deserializacji JSON z powodu niewłaściwej walidacji wejścia. Dotyczy to wersji 1.4.0 i starszych, gdzie złośliwy klucz obiektu może prowadzić do problemów z bezpieczeństwem.

Stored XSS vulnerability in Argo Workflows allows arbitrary JavaScript execution in another user's browser via artifact directory listing. Affects versions prior to 3.6.17 and 3.7.8.

CVAT to narzędzie open source do interaktywnej adnotacji wideo i obrazów w dziedzinie wizji komputerowej. W wersjach od 1.0.0 do 2.54.0 użytkownicy z uprawnieniami pracownika mogą swobodnie zmieniać swoje uprawnienia, w tym nadawać sobie status superużytkownika oraz dołączać do grupy administratorów, co daje im pełny dostęp do danych w instancji CVAT.

Laravel Reverb to backend komunikacji WebSocket w czasie rzeczywistym dla aplikacji Laravel. W wersjach 1.6.3 i starszych, Reverb przekazuje dane z kanału Redis bez ograniczeń dotyczących klas, które mogą być zainicjowane, co naraża użytkowników na zdalne wykonanie kodu.

Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach wcześniejszych niż 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala atakującemu na przesyłanie fałszywych tokenów uwierzytelniających, które nie są odpowiednio weryfikowane.

Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach przed 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 wystąpił problem z kontrolą dostępu, który pozwalał uwierzytelnionym użytkownikom na dostęp do punktów końcowych debugowania i profilowania, niezależnie od ich roli.

A vulnerability in External Secrets Operator (versions 0.20.2 to 1.2.0) allows bypassing security mechanisms via the `getSecretKey` template function, which can fetch secrets across namespaces using the controller's roleBinding. This function was completely removed in version 1.2.0.

A vulnerability in vLLM allows arbitrary Python code execution during model loading if an attacker can influence the model repository path. The issue affects versions 0.10.1 through 0.13.9, where Hugging Face dynamic modules are loaded without trust_remote_code gating.

5ire is a cross-platform desktop AI assistant and MCP client. Prior to version 0.15.3, an unsafe option parsing vulnerability in the ECharts Markdown plugin allows arbitrary JavaScript execution in the renderer context, potentially leading to RCE in environments with privileged APIs like electron.mcp and full host compromise. Version 0.15.3 patches the issue.

5ire prior to version 0.15.3 has an unsafe HTML rendering vulnerability that allows untrusted HTML (including on* event attributes) to execute in the renderer context. An attacker can inject an <img onerror=...> payload to run arbitrary JavaScript, enabling calls to bridge APIs like window.bridge.mcpServersManager.createServer, leading to unauthorized MCP server creation and remote command execution. Version 0.15.3 fixes the issue.

ManageIQ API before version radjabov-2 contains a flaw that allows creation of a malformed TimeProfile, causing later UI and API requests to timeout, leading to a Denial of Service.

Claude Code to narzędzie do kodowania, które przed wersją 2.0.65 miało podatność w procesie ładowania projektów. Złośliwe repozytoria mogły wykradać dane, w tym klucze API Anthropic, zanim użytkownicy potwierdzili zaufanie.

EVerest to oprogramowanie do ładowania pojazdów elektrycznych. Przed wersją 2025.10.0, podczas deserializacji wiadomości `DC_ChargeLoopRes`, występowało nieprawidłowe odwołanie do wektora `<DetailedTax>tax_costs`, co prowadziło do dereferencji wskaźnika null i powodowało awarię modułu.